【vSphere7.0u2】vCenterに追加したESXiホスト証明書が切れるとどうなるのか&直す方法

どうも、Tです。

先日、vcsa周りの証明書を確認しました。

今回は、ESXiホスト証明書が切れるとどうなるか確認していきます。

ここでの結論

個人的には、vcsa周りのVMCA関連の証明書ほど、神経質似ならなくて大丈夫かなという感じです。

ESXiホスト証明書切れ2か月前には、ESXiホスト証明書ステータスエラーが表示される
ESXiホスト証明書ステータスエラーが出たら証明書の更新をすると新しい証明書がプロビジョニングされる
ESXiホストの証明書期限を過ぎた場合は、vCenterから切断→接続する新しい証明書がプロビジョニングされる
ESXiホスト証明書切れ8か月前のESXiホスト証明書ステータス（黄色？）は確認できなかった。ドキュメントの誤記っぽい。
ESXiホストの証明書期限を過ぎても、ざっと見た感じ機能的制約やトラブルはなかった。

やりたいこと

ESXiホスト証明書も定義済みアラームがあり、こちらがちゃんとでるか確認します。

証明書が [間もなく期限切れ] 状態（8 か月未満）になっている場合は、黄色のアラームが表示されます。証明書が [期限切れ間近] 状態（2 か月未満）になっている場合は、赤のアラームが表示されます。

アラーム定義を見てる感じは、黄色アラームでなさそうなんですがね・・・・

また、期限が切れたときにどうなるかと回復方法についても確認します。

環境

ESXiホスト証明書で確認した環境を使います。

vCenterServer：7.0.2 17958471
vSphere ESXi: 7.0.2 17867351

ESXiホスト証明書とvcsa周りの証明書の有効期限はおおむね下記の状態からスタートします。

ESXiホストの証明書期限：2026年8月
vcsaのマシンSSL証明書：2023年8月
vcsaのソリューションユーザー証明書(wcp)：2023年8月
vcsaのソリューションユーザー証明書(wcp以外)：2031年8月

ESXiホスト証明書

vcsa周りの証明書(VMCA)

for i in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list); do echo STORE $i; /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $i --text | egrep "Alias|Not After"; done

検証方法

下記の順番で進めていきます。

パターンとしては、vcsa周りの証明書は更新し続けてたけど、ESXiホストの証明書更新をすっかり忘れていたという、現実にはありえなさそうな想定です。

2023年8月1日：vcsaの証明書期限延長
2025年7月1日：vcsaの証明書期限延長
2026年3月1日：ESXiホストの証明書期限8か月未満（黄色アラーム）
2026年8月1日：ESXiホストの証明書期限2か月未満（赤い色アラーム）
2026年9月1日：ESXiホストの証明書期限切れたタイミング

vcsaの証明書期限延長方法

vcsa周りの証明書期限は、certificate-managerのオプション8を利用します。

実施方法は、本ページには記載しないため上記をご参照ください。なお、更新後のBACKUP_STOREにある証明書は手動で削除します。

certificate-managerのオプション8を使用するとソリューションユーザー証明書期限も2年に置き換わってしまうので、ESXiホスト証明書が切れるまでの2回実施します。

留意点

検証方法の順番を行う際に、未来時刻への変更が必要になります。そのため、順番の間には、検証環境をシャットダウン→起動して未来時刻へ合わせます。

本番環境では、継続して稼働している最中に証明書の有効期限が過ぎるので確認できる事象が異なる可能性があるためご留意ください。

2023年8月1日：vcsaの証明書期限延長

検証環境を2023年8月1日に変更して、certificate-managerのオプション8を実行した後の状態です。

vcsa周りの証明書（VMCA）

延長後のvcsa周りの証明です。BACKUP_STOREの証明書は削除済みです。

for i in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list); do echo STORE $i; /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $i --text | egrep "Alias|Not After"; done

ESXiホスト証明書

ESXiホスト証明書は変わりありません。

2025年7月1日：vcsaの証明書期限延長

検証環境を2025年8月1日に変更して、certificate-managerのオプション8を実行した後の状態です。

vcsa周りの証明書（VMCA）

延長後のvcsa周りの証明です。BACKUP_STOREの証明書は削除済みです。

for i in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list); do echo STORE $i; /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $i --text | egrep "Alias|Not After"; done