{"id":23,"date":"2020-10-06T03:00:10","date_gmt":"2020-10-06T03:00:10","guid":{"rendered":"https:\/\/tecno-experts.com\/fransilvablog\/?p=23"},"modified":"2020-10-06T03:00:10","modified_gmt":"2020-10-06T03:00:10","slug":"cambio-de-certificados-digitales-vcloud-director-10-1","status":"publish","type":"post","link":"https:\/\/tecno-experts.com\/fransilvablog\/vmware-cloud-director\/cambio-de-certificados-digitales-vcloud-director-10-1\/","title":{"rendered":"Cambio de certificados digitales VMware Cloud Director 10.1"},"content":{"rendered":"

<\/span><\/p>\n

Hola, en este post vamos a realizar el cambio de los certificados digitales en la c\u00e9lulas de vCD.\u00a0<\/span>Para este caso en particular, los certificados que usaremos son del tipo Wildcard y fueron generados previamente usando un archivo de petici\u00f3n de certificado o CSR y una llave privada\u00a0(archivos que podemos generar con\u00a0<\/span>OpenSSL<\/a>\u00a0por ejemplo); por lo tanto como prerequisitos es necesario tener los archivos <\/span>PEM\/CER\/CRT *.domain.com <\/em>que se adquiere enviado el CSR a la entidad autenticadora o CA para que los firme,\u00a0<\/span>los archivos de <\/span>root<\/em> o <\/span>intermediate<\/em> de la Autoridad Certificadora y el archivo de llave privada\u00a0<\/span>KEY<\/em>.<\/span><\/p>\n

Primero, debemos realizar un snapshot, se recomienda realizar el snapshot sin habilitar la opci\u00f3n de capturar memoria de la VM<\/strong> para evitarnos problemas con la memoria que usa la BDD vPostgres embebida.<\/span><\/p>\n

Importaci\u00f3n de certificados Wildcard<\/span><\/strong><\/span><\/p>\n

Para importar los certificados que hemos obtenido de la CA, debemos seguir los siguientes pasos:<\/span><\/p>\n

Usando OpenSSL podemos convertir los certificados en cadenas PFX o en PKCS12 que son formatos est\u00e1ndar.<\/span><\/p>\n

openssl pkcs12 -export -in certificado_wildcard.crt -inkey llave_privada.key -CAfile certificados_CA.crt -name http -passout pass:'password' -out http.pfx -chain\r\n<\/code><\/pre>\n
y<\/span><\/p>\n
openssl pkcs12 -export -in certificado_wildcard.crt -inkey llave_privada.key -CAfile certificados_CA.crt -name consoleproxy -passout pass:'password' -out consoleproxy.pfx -chain<\/code><\/pre>\n
Porque no olvidemos que tenemos dos servicios dentro de vCD el servicio de HTTPS<\/strong> y el servicio CONSOLEPROXY<\/strong> para que funcionen las consolas de las VMs.<\/span><\/p>\n
Las cadenas han sido creadas,\u00a0el siguiente paso es importar las cadenas al contenedor JAVA que usa vCD en este caso certificates.ks<\/em><\/span><\/p>\n
EL comando que se debe usar es KEYTOOL\u00a0<\/em>previamente JAVA debe estar instalado en el servidor que estamos usando, generalmente se corren los comandos en las c\u00e9lulas de vCD.<\/span><\/p>\n
$VCLOUD_HOME\/jre\/bin\/keytool -importkeystore -deststorepass 'password' -destkeystore \/opt\/vmware\/vcloud-director\/certificates.ks -deststoretype JCEKS -srckeystore http.pfx -srcstoretype PKCS12 -srcstorepass 'password'\r\n<\/code><\/pre>\n
para el servicio HTTP<\/span><\/p>\n
$VCLOUD_HOME\/jre\/bin\/keytool -importkeystore -deststorepass 'password' -destkeystore \/opt\/vmware\/vcloud-director\/certificates.ks -deststoretype JCEKS -srckeystore consoleproxy.pfx -srcstoretype PKCS12 -srcstorepass 'password'<\/code><\/pre>\n
para el servicio de CONSOLEPROXY<\/span><\/p>\n
donde;\u00a0<\/span><\/p>\n
importkeystore = sentencia para importar la cadena de certificados en el contenedor KS<\/span><\/p>\n
destkeystore = ubicaci\u00f3n del contenedor JAVA de los certificados que posterior se usaran para el reemplazo<\/span><\/p>\n
deststoretype = formato de archivo contenedor que vCD soporta JCEKS\/PKCS12, recomendado usar PKCS12<\/span><\/p>\n
srckeystore = archivo que contiene la cadena de certificados, por lo general tiene formato PFX<\/span><\/p>\n
Luego de realizar estos pasos tendremos un archivo certificates.ks<\/em> con contrase\u00f1a password<\/i><\/span><\/p>\n
Configurar certificados en servicios de vCloud Director<\/strong><\/span><\/h3>\n
Debemos asegurarnos que el archivo certificates.ks tenga como propietario al usuario vcloud usando chown vcloud.vcloud certificates.ks<\/strong><\/span>\u00a0<\/p>\n
Y para evitar que clientes est\u00e9n realizando trabajos debemos colocar las c\u00e9lulas en modo mantenimiento corriendo el siguiente comando:<\/span><\/p>\n
$VCLOUD_HOME\/bin\/cell-management-tool -u administrator cell --quiesce true<\/code><\/pre>\n
Luego usando cell-management-tool cambiamos los certificados que esta usando el vCD por los nuevos<\/span><\/p>\n
$VCLOUD_HOME\/bin\/cell-management-tool certificates -j -p -k certificates.ks -w 'password'<\/code><\/pre>\n
donde;<\/span><\/p>\n
certificates = opci\u00f3n para manipular certificados<\/span><\/p>\n
j = opci\u00f3n para manipular certificados de HTTP<\/span><\/p>\n
p = opci\u00f3n para manipular certificados de CONSOLEPROXY<\/span><\/p>\n
k = opci\u00f3n para usar el contenedor en nuestro ejemplo certificates.ks<\/span><\/p>\n
w = opci\u00f3n para colocar la contrase\u00f1a del contenedor que en nuestro caso es \u00abpassword\u00bb<\/span><\/p>\n
Al finalizar, se debe realizar un reinicio de los servicios de vCD<\/span><\/p>\n
service vmware-vcd restart<\/em><\/span><\/p>\n
Importante,\u00a0<\/strong> si tenemos un ambiente con HA de vPostgres y varios vCD app, debemos realizar los cambios en la c\u00e9lula primaria, luego ir cambiando en cada una de las c\u00e9lulas secundarias o de aplicaci\u00f3n.<\/span>\u00a0<\/p>\n","protected":false},"excerpt":{"rendered":"
Hola, en este post vamos a realizar el cambio de los certificados digitales en la c\u00e9lulas de vCD.\u00a0Para este caso en particular, los certificados que usaremos son del […]<\/p>\n","protected":false},"author":1,"featured_media":24,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[22,27,10,31,35,30,36],"class_list":["post-23","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-vmware-cloud-director","tag-appliance","tag-certificados","tag-cloud","tag-clouddirector","tag-vcd10-2","tag-vmwareclouddirector","tag-wildcard"],"_links":{"self":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts\/23","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/comments?post=23"}],"version-history":[{"count":0,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/posts\/23\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/media\/24"}],"wp:attachment":[{"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/media?parent=23"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/categories?post=23"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/tecno-experts.com\/fransilvablog\/wp-json\/wp\/v2\/tags?post=23"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}