このドキュメントでは、vCenter Server のルート証明書を取得する方法について説明します。
GKE on VMware などのクライアントが vCenter Server にリクエストを送信すると、サーバーは、証明書または証明書バンドルを提示して、ID をクライアントに証明する必要があります。証明書またはバンドルを確認するには、GKE on VMware に信頼チェーン内のルート証明書が必要です。
管理ワークステーションの構成ファイルに入力する際に、vCenter.caCertPath フィールドにルート証明書のパスを指定します。
ご使用の VMware インストレーションには、vCenter サーバーに証明書を発行する認証局（CA）があります。信頼チェーンのルート証明書は、VMware が作成した自己署名証明書です。
デフォルトの VMWare CA を使用しない場合は、別の認証局を使用するように VMware を構成できます。
vCenter Server でデフォルトの VMware CA が発行した証明書を使用している場合は、次のように証明書をダウンロードします。
curl -k "https://[SERVER_ADDRESS]/certs/download.zip" > download.zip
[SERVER_ADDRESS] は、vCenter Server のアドレスに置き換えます。
unzip コマンドをインストールし、証明書ファイルを解凍します。
sudo apt-get install unzip unzip download.zip
1 回の unzip コマンドで解凍できない場合は、再度コマンドを入力します。
certs/lin で証明書ファイルと取り消しファイルを見つけます。次に例を示します。
457a65e8.0 457a65e8.r0
前述の例では、457a65e8.0 は証明書ファイル、457a65e8.r0 は取り消しファイルです。
証明書ファイルの名前はお好みの名前に変更できます。ファイル拡張子は .pem にできますが、.pem にする必要はありません。
たとえば、証明書ファイルの名前を vcenter-ca-cert.pem に変更したとします。
vcenter-ca-cert.pem の内容を表示します。
cat vcenter-ca-cert.pem
出力には、base64 でエンコードされた証明書が示されます。次に例を示します。
-----BEGIN CERTIFICATE----- MIIEGTCCAwGgAwIBAgIJAPW1akYrS5L6MA0GCSqGSIb3DQEBCwUAMIGXMQswCQYD VQQDDAJDQTEXMBUGCgmSJomT8ixkARkWB3ZzcGhlcmUxFTATBgoJkiaJk/IsZAEZ FgVsb2NhbDELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWExGTAXBgNV ... 0AaWpaT9QCTS31tbBgBYB1W+IS4qeMK5dz5Tko5460GgbSNLuz5Ml+spW745RbGA 76ePS+sXL0WYqZa1iyAb3x8E3xn5cVGtJlxXu4PkJa76OtdDjqWAlqkNvVZB -----END CERTIFICATE-----
デコードされた証明書を表示します。
openssl x509 -in vcenter-ca-cert.pem -text -noout
出力には、デコードされた証明書が示されます。次に例を示します。
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
f5:b5:6a:46:2b:4b:92:fa
Signature Algorithm: sha256WithRSAEncryption
Issuer: CN = CA, DC = vsphere, DC = local, C = US, ST = California, O = uphc-vc01.anthos, OU = VMware Engineering
Validity
...
Subject: CN = CA, DC = vsphere, DC = local, C = US, ST = California, O = uphc-vc01.anthos, OU = VMware Engineering
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public-Key: (2048 bit)
Modulus:
00:e0:39:28:9d:c1:f5:ac:69:04:3f:b0:a0:31:9e:
89:0b:6e:f7:1e:2b:3b:94:ac:1c:47:f0:52:2e:fa:
6d:52:2c:de:66:3e:4e:40:6a:58:c7:cc:99:46:81:
...
5c:d6:a9:ab:a9:87:26:0f:d2:ef:9e:a1:61:3d:38:
18:bf
Exponent: 65537 (0x10001)
X509v3 extensions:
...
Signature Algorithm: sha256WithRSAEncryption
58:24:57:36:a4:66:fa:16:e1:82:b1:ee:a7:1a:77:db:77:6c:
0a:b7:2e:7a:11:ca:0b:38:21:d2:d2:ab:3c:30:82:3f:ae:22:
...
ad:26:5c:57:bb:83:e4:25:ae:fa:3a:d7:43:8e:a5:80:96:a9:
0d:bd:56:41
証明書ファイルをお好みの場所にコピーします。
次に、構成ファイルに caCertPath の値を指定する必要がある場合は、証明書ファイルのパスを入力します。
たとえば、管理ワークステーションの構成ファイルでは次のように入力します。
gcp: ... vCenter: ... caCertPath: "/path/to/vcenter-ca-cert.pem"