vCenter: Abgelaufenes Zertifikat nicht im UI sichtbar

Nehmen wir an, Sie erhalten folgenden Alarm in vCenter, und das Zertifikat scheint nirgends auffindbar zu sein:

Certificate “OU=mID-…, CN=data-encipherment” from “data-encipherment” expires on 2023-09-22 Aber in Certificate Management ist es nicht sichtbar, und dort wird alles als gültig aufgeführt

Das liefert bereits einen entscheidenden Hinweis. Es handelt sich hierbei mit an Sicherheit grenzender Wahrscheinlichkeit um keines der gewöhnlichen Machine-SSL- oder Solution-User-Zertifikate, die Sie in der Weboberfläche verwalten. Es ist ein internes VMware-Datenverschlüsselungszertifikat, das im VECS (VMware Endpoint Certificate Store) hinterlegt ist.

Aus genau diesem Grund sehen Sie es an keiner der folgenden Stellen, da es an einem anderen Ort abgelegt ist:

• Administration → Certificate Management
• Machine SSL
• Solution Users

Was „data-encipherment“ normalerweise bedeutet

In vCenter ist dieser CN typischerweise einem der folgenden Bereiche zugeordnet:

• vSphere-VM-Verschlüsselung
• vSAN-Verschlüsselung
• KMS-Integration
• Interne Verschlüsselungsdienste
• Interne vCenter-Vertrauenskomponenten

Diese Zertifikate werden häufig automatisch erzeugt, sind nicht für Endanwender gedacht und liegen in VECS-Stores wie DATA_ENCIPHERMENT. Manchmal laufen sie ab und werden ersetzt, während der alte Eintrag im Store verbleibt und Alarme auslöst: ein klassisches Verhalten von vCenter.

Schritt 1: Per SSH auf die VCSA verbinden

ssh root@your-vcenter

Aktivieren Sie anschließend die Bash:

shell

Schritt 2: Alle VECS-Stores auflisten

/usr/lib/vmware-vmafd/bin/vecs-cli store list

In der Ausgabe suchen Sie nach Store-Namen, die etwa wie folgt lauten:

• MACHINE_SSL_CERT
• TRUSTED_ROOTS
• data-encipherment
• DATA_ENCIPHERMENT

Sehen Sie einen Store namens data-encipherment oder ähnlich, haben Sie das Ziel gefunden.

Schritt 3: Zertifikate in diesem Store auflisten

Der folgende Befehl listet beispielsweise jeden Eintrag im Store samt Details auf:

/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store DATA_ENCIPHERMENT --text

Die Ausgabe sollte den Alias, das Ablaufdatum (Not After) und den Subject-Namen jedes Eintrags anzeigen. Suchen Sie nach dem abgelaufenen Zertifikat mit:

CN=data-encipherment

Schritt 4: Das abgelaufene Zertifikat entfernen

Wenn das Zertifikat eindeutig abgelaufen und nicht mehr das aktive ist:

/usr/lib/vmware-vmafd/bin/vecs-cli entry delete --store DATA_ENCIPHERMENT --alias <alias_name>

Gehen Sie hier vorsichtig vor. Löschen Sie keinesfalls das aktuell gültige Zertifikat, sondern ausschließlich das abgelaufene Duplikat.

Schritt 5: Zertifikatsdienste neu starten

Starten Sie nach der Bereinigung die Zertifikatsdienste neu:

service-control --restart vmcad
service-control --restart vpxd

Alternativ können Sie auch alle Dienste auf einmal neu starten:

service-control --stop --all
service-control --start --all

Warum es in der UI nicht angezeigt wird

Die Certificate-Management-Oberfläche listet ausschließlich Machine SSL, Solution Users und Trusted Roots auf. Sie zeigt interne Verschlüsselungs-Stores, manche Altbestände oder bestimmte VECS-Einträge schlicht nicht an. Deshalb wirkt das Zertifikat unsichtbar.

Wichtig: Vor dem Löschen prüfen

Falls Sie vSphere-VM-Verschlüsselung, vSAN-Verschlüsselung oder einen externen KMS einsetzen, prüfen Sie die Einträge vorab nochmals sorgfältig:

/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store DATA_ENCIPHERMENT --text

Stellen Sie sicher, dass ein neueres, gültiges Zertifikat vorhanden ist und Sie nicht das einzige Zertifikat dieses Stores löschen. Wenn Sie nur ein einziges abgelaufenes Zertifikat und keinen Ersatz sehen, müssen Sie es möglicherweise neu generieren, anstatt es zu entfernen.

Zusätzliche Sicherheit vorab

Erstellen Sie vorab ein VECS-Backup, um den Zustand des Stores festzuhalten:

mkdir /root/vecs_backup
/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store DATA_ENCIPHERMENT --text > /root/vecs_backup/data_enc.txt

Sie können vor diesen Änderungen zusätzlich einen Snapshot der VCSA anlegen.

Das zu 90 % wahrscheinliche Szenario

Folgender Ablauf liegt meist zugrunde:

1. vCenter hat das Verschlüsselungszertifikat automatisch erneuert
2. Das alte Zertifikat ist abgelaufen
3. Der abgelaufene Eintrag wurde nicht automatisch gelöscht
4. Der Alarm blieb dauerhaft aktiv

Sobald Sie den abgelaufenen Eintrag aus dem Store entfernen, verschwindet der Alarm in vCenter.