Удаление CA-сертификатов из TRUSTED_ROOTS в vCenter

Расскажем о правильном удалении CA-сертификатов из TRUSTED_ROOTS в vCenter. Стандартными средствами это не всегда получается.

Этот гайд взят с официальной базы знаний Broadcom (VMware). Ссылка в конце статьи.

После обновления устаревших корневых сертификатов в VMware vCenter Server может возникнуть ситуация, когда старый сертификат автоматически возвращается в хранилище TRUSTED_ROOTS после удаления. Это происходит потому, что сертификат всё ещё опубликован в VMware Directory Service (VMDIR). В статье описано, как безопасно удалить ненужные CA-сертификаты из VECS и VMDIR в vCSA 7.0.x и 8.0.x.

Причина проблемы

Сертификаты, опубликованные в VMDIR, автоматически синхронизируются с хранилищем TRUSTED_ROOTS в VECS. Поэтому простое удаление через веб-интерфейс не даёт результата — VMDIR восстанавливает запись при следующей синхронизации.

Подготовка

• Создайте снапшот ВМ vCSA (желательно выключенной).
• Убедитесь, что новый корневой сертификат уже развёрнут и все зависимые сертификаты обновлены.
• Проверьте, что удаляемый сертификат не используется vCenter:

  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store MACHINE_SSL_CERT --text

  Сравните Authority Key Identifier с Subject Key Identifier целевого CA:

  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store TRUSTED_ROOTS --text

Решение через скрипт removeroot.sh (100% вариант)

1. Загрузите скрипт removeroot.sh в каталог /tmp на vCSA (например, через WinSCP).
2. Если используется WinSCP, убедитесь, что оболочка root — /bin/bash:

   chsh -s /bin/bash root

3. Сделайте скрипт исполняемым и запустите:

   cd /tmp
   chmod +x removeroot.sh
   ./removeroot.sh

4. Выберите номер удаляемого сертификата из списка и введите пароль администратора SSO.

• Завершение

После удаления перезапустите все службы vCenter:

service-control --stop --all
service-control --start --all

Убедитесь, что веб-интерфейс доступен и все сервисы работают корректно.

Важно: Неправильное удаление корневого сертификата может привести к полной неработоспособности vCenter. Действуйте только при полной уверенности в необходимости удаления.

Источник