vCenter Sertifikaları Değiştirildikten Sonra ESXi Host Üzerinde NSX VIB (6.2) Kurulumu Hatalarının Giderilmesi

VMware NSX for vSphere ortamlarında güvenlik, altyapı bütünlüğü ve sertifika yönetimi kritik bir role sahiptir. vCenter Server üzerindeki SSL/TLS sertifikaları zamanla değiştirilebilir, yenilenebilir ya da kurum politikaları gereği güncellenebilir. Ancak bu sertifika değişikliklerinin ardından bazı NSX bileşenlerinde uyumsuzluklar görülebilir.

Özellikle vCenter sertifikaları değiştirildikten sonra sıklıkla karşılaşılan bir problem NSX VIB (vSphere Installation Bundle) dağıtımlarının ESXi hostlar üzerinde başarısız olmasıdır.

Bu durum NSX Manager ve vCenter Server arasındaki güven ilişkisini bozar ve EAM (ESX Agent Manager) servisi üzerinden yapılan işlemlerin çalışmaz hale gelmesine neden olur.

Sertifika değişikliğinden sonra aşağıdaki sorunlarla karşılaşabilirsiniz:

• NSX VIB dağıtımları ESXi hostlar üzerinde başarısız olur.
• WCP (Workload Control Plane) servisi vCenter 7.0’da başlatılamaz.
• NSX Manager loglarında EAM ile bağlantı hataları görülür:

GMT ERROR taskScheduler-15 InstallTask:190 - error while creating eam agency for deployment
com.vmware.vim.binding.eam.fault.NoConnectionToVCenter:
inherited from com.vmware.vim.binding.eam.fault.EamRuntimeFault:
inherited from com.vmware.vim.binding.eam.fault.NoConnectionToVCenter

Bu sorunun temel nedeni, EAM agentinin vCenter Server’a yeni sertifikalarla bağlanamamasıdır.

• vCenter Server sertifikaları değiştirildiğinde, vpxd-extension çözüm kullanıcısının sertifikası otomatik olarak güncellenmez.
• EAM (ESX Agent Manager) servisi, vCenter ile güvenli bir oturum açmaya çalıştığında eski veya uyumsuz sertifika nedeniyle oturum açma başarısız olur.
• Bunun sonucunda NSX Manager, EAM üzerinden VIB dağıtımını gerçekleştiremez.

Bu nedenle extension sertifikasının yeniden güncellenmesi ve EAM servisine tanıtılması gerekir.

Sorunu gidermek için yapılması gereken temel işlem vpxd-extension kullanıcı sertifikasının alınarak EAM extension için vCenter üzerinde yeniden güncellenmesidir.

SSH ile bağlanın ve Bash shell’i etkinleştirin:

shell.set --enabled true
shell

Geçici klasör oluşturun:

mkdir /certificate

vpxd-extension sertifikası ve anahtarını çıkarıniz.

/usr/lib/vmware-vmafd/bin/vecs-cli entry getcert --store vpxd-extension --alias vpxd-extension --output /certificate/vpxd-extension.crt
/usr/lib/vmware-vmafd/bin/vecs-cli entry getkey --store vpxd-extension --alias vpxd-extension --output /certificate/vpxd-extension.key

Extension sertifikasını güncelleyiniz.

python /usr/lib/vmware-vpx/scripts/updateExtensionCertInVC.py -e com.vmware.vim.eam -c /certificate/vpxd-extension.crt -k /certificate/vpxd-extension.key -s localhost -u Administrator@domain.local

Not: localhost yerine FQDN kullanmanız gerekebilir.

EAM servisini yeniden başlatıniz.

service-control --stop vmware-eam
service-control --start vmware-eam