| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende ÜberarbeitungLetzte ÜberarbeitungBeide Seiten der Revision |
| de:dfnpki:faq:software [2018/06/01 14:05] – Heike Ausserfeld | de:dfnpki:faq:software [2018/06/01 14:16] – Heike Ausserfeld |
|---|
| ===4. Wie konfiguriere ich VMware vCenter Server?=== | ===4. Wie konfiguriere ich VMware vCenter Server?=== |
| |
| Der VMware vCenter Server benötigt für Verwaltungsaufgaben mehrere Zertifikate. Von VMware existiert hierzu eine Anleitung, für deren Umsetzung in der DFN-PKI einige Punkte zu beachten sind: | Der VMware vCenter Server benötigt für Verwaltungsaufgaben mehrere Zertifikate. Von VMware existiert hierzu eine [[http://kb.vmware.com/kb/2037432|Anleitung]], für deren Umsetzung in der DFN-PKI einige Punkte zu beachten sind: |
| |
| ===== ===== | |
| 1. Nach Anleitung soll zur eindeutigen Unterscheidung der Zertifikate für die verschiendenen Funktionen der Funktionsname in das OU-Feld des DN aufgenommen werden, also OU=InventoryService, OU=SSO, OU=UpdateManager, OU=vCenter, OU=WebClient bzw. OU=LogBrowser, damit der subjectDN der Zertifikate eindeutig wird. Für Zertifikate der DFN-PKI für den Einsatz in VMware-Installationen empfehlen wir ein Schema, das durch folgendes Beispiel illustriert wird: | 1. Nach Anleitung soll zur eindeutigen Unterscheidung der Zertifikate für die verschiendenen Funktionen der Funktionsname in das OU-Feld des DN aufgenommen werden, also OU=InventoryService, OU=SSO, OU=UpdateManager, OU=vCenter, OU=WebClient bzw. OU=LogBrowser, damit der subjectDN der Zertifikate eindeutig wird. Für Zertifikate der DFN-PKI für den Einsatz in VMware-Installationen empfehlen wir ein Schema, das durch folgendes Beispiel illustriert wird: |
| |
| /C=DE/ST=Muster-Bundesland/L=Muster-Stadt/O=Universitaet Muster-Stadt/OU=Rechenzentrum/OU=Virtualisierung/OU=InventoryService/CN=vcenter.example.org | /C=DE/ST=Muster-Bundesland/L=Muster-Stadt/O=Universitaet Muster-Stadt/OU=Rechenzentrum/OU=Virtualisierung/OU=InventoryService/CN=vcenter.example.org |
| |
| Die OU-Attribute stellen hierbei nach Policy physikalische, abstrakte oder logische organisatorische Untereinheiten der im O-Attribut benannten Einrichtung dar. | Die OU-Attribute stellen hierbei nach Policy physikalische, abstrakte oder logische organisatorische Untereinheiten der im O-Attribut benannten Einrichtung dar. |
| 2. Nach Anleitung soll im SubjectAltName ein Eintrag DNS=ShortServerName aufgeführt werden, der einen Host-Namen ohne weiteren qualifizierenden Domain-Namen repräsentiert. | 2. Nach Anleitung soll im SubjectAltName ein Eintrag DNS=ShortServerName aufgeführt werden, der einen Host-Namen ohne weiteren qualifizierenden Domain-Namen repräsentiert. |
| |
| Derartige Zertifikate gibt es in der DFN-PKI (wie in allen Browser-verankerten PKIs) nur noch mit einer Gültigkeit bis Oktober 2015. Ab Oktober 2015 können solche Zertifikate in der DFN-PKI gar nicht mehr ausgestellt werden. | Derartige Zertifikate gibt es in der DFN-PKI (wie in allen Browser-verankerten PKIs) nur noch mit einer Gültigkeit bis Oktober 2015. Ab Oktober 2015 können solche Zertifikate in der DFN-PKI gar nicht mehr ausgestellt werden. |
| |
| Nach unserer Erfahrung funktioniert der vCenter Server auch mit Zertifikaten, die im SubjectAltName keinen Eintrag DNS=ShortServerName tragen. | Nach unserer Erfahrung funktioniert der vCenter Server auch mit Zertifikaten, die im SubjectAltName keinen Eintrag DNS=ShortServerName tragen. |
| |
| Nach Anleitung soll im SubjectAltName ein Eintrag IP=ServerIPAddress aufgeführt werden, der die IP-Adresse des Servers enthält. | 3. Nach Anleitung soll im SubjectAltName ein Eintrag IP=ServerIPAddress aufgeführt werden, der die IP-Adresse des Servers enthält. |
| |
| Wird hier eine IP-Adresse aus den für den allgemeinen Gebrauch reservierten IP-Adressen (10.0.0.0-10.255.255.255 (10/8 Prefix), 172.16.0.0-172.31.255.255 (172.16/12 Prefix) und 192.168.0.0-192.168.255.255 (192.168/16 Prefix) sowie den entsprechenden IPv6-Adressräumen) gewählt, so kann das Zertifikat von der DFN-PKI (wie bei allen Browser-verankerten PKIs) nur noch mit einer Gültigkeit bis Oktober 2015 ausgestellt werden. Ab Oktober 2015 können solche Zertifikate in der DFN-PKI gar nicht mehr ausgestellt werden. | Wird hier eine IP-Adresse aus den für den allgemeinen Gebrauch reservierten IP-Adressen (10.0.0.0-10.255.255.255 (10/8 Prefix), 172.16.0.0-172.31.255.255 (172.16/12 Prefix) und 192.168.0.0-192.168.255.255 (192.168/16 Prefix) sowie den entsprechenden IPv6-Adressräumen) gewählt, so kann das Zertifikat von der DFN-PKI (wie bei allen Browser-verankerten PKIs) nur noch mit einer Gültigkeit bis Oktober 2015 ausgestellt werden. Ab Oktober 2015 können solche Zertifikate in der DFN-PKI gar nicht mehr ausgestellt werden. |
| |
| Nach Anleitung sollen die keyUsages "digitalSignature" und "keyEncipherment " sowie die extendedKeyUsages "clientAuth" und "serverAuth" in das Zertifikat aufgenommen werden. Entgegen der Anleitung ist die keyUsage "nonRepudiation" nach unserer Erfahrung nicht nötig. Das Zertifikatprofil "VoIP Server" stellt diese Zertifikatsverwendungszwecke entsprechend zur Verfügung. | 4. Nach Anleitung sollen die keyUsages "digitalSignature" und "keyEncipherment " sowie die extendedKeyUsages "clientAuth" und "serverAuth" in das Zertifikat aufgenommen werden. Entgegen der Anleitung ist die keyUsage "nonRepudiation" nach unserer Erfahrung nicht nötig. Das Zertifikatprofil "VoIP Server" stellt diese Zertifikatsverwendungszwecke entsprechend zur Verfügung. |