VMware-Forum

Hallo zusammen, ich habe da ein unschönes Problem, bei dem ich vielleicht hier etwas Hilfe bekommen kann?

Ich habe quasi from scratch eine vSphere 6.0 U2 (inzwischen U3) Umgebung aufgezogen. Zuerst zwei ESXi Standalone Server und dann eine vCenter Appliance welche auf einem dritten kleinen ESXi für sich laufen kann. Es gibt einen zentralen nfs Datenspeicher.

Problem: es gab bis dato weder internes DNS noch eine Domäne, sodass ich mir da erst mal keine weiteren Gedanken gemacht habe und die sso Domäne schlicht sso.name.intern benannt habe, wobei name für den Namen des Unternehmens steht. Ich habe dem vCenter zwar einen Namen gegeben, jedoch nur per IP angesprochen.
Als Hostname wurde mir zudem nur localhost.localdomain angezeigt.

Das SSO Zertifikat bezieht sich daher auch auf die IP und nicht den Namen, also z.B. CN=10.0.0.10
Das Root Zertifikat bezieht sich auf O=localhost.localdomain

Nun habe ich inzwischen DNS und ein AD hochgezogen und den Server sowohl im DNS hinterlegt als auch erfolgreich zur Domäne hinzu gefügt und die Domäne, welche ich (ohne weiter drüber nachzudenken) auch name.intern genannt habe, als Standard-Identitätsquelle hinzu gefügt.

Auf dem vCenter gibt es also nun sso.name.intern , localos und NAME.INTERN

Kann ich die lokale sso Domäne umbenennen um Verwirrungen auszuschließen?

Die Namensauflösung funktioniert und ich kann mich erfolgreich mit einem Domänen-Konto authentifizieren.
Allerdings kann ich den Haken "Windows-Sitzungsauthentifizierung verwenden" nicht setzen. Muss ich dazu noch was bestimmtes tun?

Nervigstes Problem ist aber, dass nun die Zertifikate nicht mehr passen, sodass mir die Browser den Zugriff bei Aufruf des Hostnamen verweigert.
Kann ich auf der vCenter Appliance im Nachgang noch mal neue Zertifikate generieren?

Im "schlimmsten Fall" würde ich hergehen und die vCenter Appliance auch ganz neu aufsetzen, würde es aber vorziehen dass nicht zu tun.
Falls mir jemand da bitte helfen könnte, wäre ich sehr dankbar.

Das der VMware Verzeichnisdienst sso.name.intern heist und nicht gleich wie dein Windows AD name.intern sollte das erstmal nicht so schlimm sein und es funktioniert ja auch bei dir. Aber ich pflichte dir bei das es mehr als unschoen ist

Nein, man kann die Domain nicht umbenennen.

In frueheren Versionen der VCSA gab es einen Button im VAMI welcher da beschriftet war mit "Regenerate SSL". K.a wo der hin ist. Es gibt natuerlich genug VMware KBs welchen sich mit dem Austausch des Zertifikats gegen ein selbstsigniertes beschaeftigen.

Ich aber wuerde aber einfach eine neue VCSA ausrollen in 10min und dann nochmal 20min fuer die Wiederaufnahme der Hosts und Anpassungen. Die Hosts und VMs koennen dabei alle an bleiben.

Was die Anmeldung ueber SSO angeht so funktioniert sie in den meisten Faellen in den Browsern nicht. Geht ja auch nur wenn die passende Version des Plugins installiert ist. Zwecks Tests kannst du dich ja mal mit dem alten C# vSphere Client ausprobieren. Es gibt zu diesem Thema eine Reihe KBs.

Gruss
Joerg

Unter https://kb.vmware.com/kb/2112283 der CA Manger welcher auch eine "Reset all Certs" Option hat. Mach aber vorher einen Snapshot der VM.

Gruss
Joerg

Super. Vielen Dank an Dich. Merci!