このドキュメントでは、vCenter Server のルート証明書を取得する方法について説明します。
Anthos clusters on VMware（GKE On-Prem）などのクライアントが vCenter Server にリクエストを送信すると、サーバーは、証明書または証明書バンドルを提示して、ID をクライアントに証明する必要があります。証明書またはバンドルを確認するには、Anthos clusters on VMware に信頼チェーン内のルート証明書が必要です。
管理ワークステーションの構成ファイルに入力する際に、vCenter.caCertPath フィールドにルート証明書のパスを指定します。
ご使用の VMware インストレーションには、vCenter サーバーに証明書を発行する認証局（CA）があります。信頼チェーンのルート証明書は、VMware が作成した自己署名証明書です。
デフォルトの VMWare CA を使用しない場合は、別の認証局を使用するように VMware を構成できます。
vCenter Server でデフォルトの VMware CA が発行した証明書を使用している場合は、次のように証明書をダウンロードします。
curl -k "https://[SERVER_ADDRESS]/certs/download.zip" > download.zip
[SERVER_ADDRESS] は、vCenter Server のアドレスに置き換えます。
unzip コマンドをインストールし、証明書ファイルを解凍します。
sudo apt-get install unzip unzip download.zip
1 回の unzip コマンドで解凍できない場合は、再度コマンドを入力します。
certs/lin で証明書ファイルと取り消しファイルを見つけます。次に例を示します。
457a65e8.0 457a65e8.r0
前述の例では、457a65e8.0 は証明書ファイル、457a65e8.r0 は取り消しファイルです。
証明書ファイルの名前は任意の名前に変更できます。ファイル拡張子は .pem にできますが、.pem にする必要はありません。
たとえば、証明書ファイルの名前を vcenter-ca-cert.pem に変更するとします。
vcenter-ca-cert.pem の内容を表示します。
cat vcenter-ca-cert.pem
出力に、base64 でエンコードされた証明書が表示されます。次に例を示します。
-----BEGIN CERTIFICATE----- MIIEGTCCAwGgAwIBAgIJAPW1akYrS5L6MA0GCSqGSIb3DQEBCwUAMIGXMQswCQYD VQQDDAJDQTEXMBUGCgmSJomT8ixkARkWB3ZzcGhlcmUxFTATBgoJkiaJk/IsZAEZ FgVsb2NhbDELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWExGTAXBgNV ... 0AaWpaT9QCTS31tbBgBYB1W+IS4qeMK5dz5Tko5460GgbSNLuz5Ml+spW745RbGA 76ePS+sXL0WYqZa1iyAb3x8E3xn5cVGtJlxXu4PkJa76OtdDjqWAlqkNvVZB -----END CERTIFICATE-----
デコードされた証明書を表示します。
openssl x509 -in vcenter-ca-cert.pem -text -noout
出力には、デコードされた証明書が表示されます。例:
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
f5:b5:6a:46:2b:4b:92:fa
Signature Algorithm: sha256WithRSAEncryption
Issuer: CN = CA, DC = vsphere, DC = local, C = US, ST = California, O = uphc-vc01.anthos, OU = VMware Engineering
Validity
...
Subject: CN = CA, DC = vsphere, DC = local, C = US, ST = California, O = uphc-vc01.anthos, OU = VMware Engineering
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public-Key: (2048 bit)
Modulus:
00:e0:39:28:9d:c1:f5:ac:69:04:3f:b0:a0:31:9e:
89:0b:6e:f7:1e:2b:3b:94:ac:1c:47:f0:52:2e:fa:
6d:52:2c:de:66:3e:4e:40:6a:58:c7:cc:99:46:81:
...
5c:d6:a9:ab:a9:87:26:0f:d2:ef:9e:a1:61:3d:38:
18:bf
Exponent: 65537 (0x10001)
X509v3 extensions:
...
Signature Algorithm: sha256WithRSAEncryption
58:24:57:36:a4:66:fa:16:e1:82:b1:ee:a7:1a:77:db:77:6c:
0a:b7:2e:7a:11:ca:0b:38:21:d2:d2:ab:3c:30:82:3f:ae:22:
...
ad:26:5c:57:bb:83:e4:25:ae:fa:3a:d7:43:8e:a5:80:96:a9:
0d:bd:56:41
証明書ファイルを任意の場所にコピーします。
構成ファイルで caCertPath の値を指定する必要がある場合は、証明書ファイルのパスを入力します。
たとえば、管理ワークステーションの構成ファイルでは次のようになります。
gcp: ... vCenter: ... caCertPath: "/path/to/vcenter-ca-cert.pem"