Merhaba arkadaşlar, bugün sizlere vCenter Server üzerinde sıkça karşılaştığımız “ESXi Host Certificate Status” uyarısını ve ESXi host sertifikalarını VMCA (VMware Certificate Authority) ile nasıl yenileyeceğinizi adım adım anlatacağım. Bu alarm, bir ESXi hostunun SSL sertifikasının süresinin dolmak üzere olduğunu ya da çoktan dolduğunu gösterir. Zamanında müdahale etmezseniz host yönetimi ve güvenli iletişim tarafında sorunlar yaşayabilirsiniz.
“ESXi Host Certificate Status” Uyarısı Nedir?
vCenter Server, envanterindeki ESXi hostlarının sertifikalarını düzenli aralıklarla kontrol eder. Bir hostun sertifikası sona erme tarihine yaklaştığında veya bu tarihi geçtiğinde, vCenter ilgili host nesnesi üzerinde “ESXi Host Certificate Status” alarmını tetikler.
vCenter Server, VMware Endpoint Certificate Store (VECS) içindeki tüm sertifikaları izler. Bu nedenle alarm genellikle sertifikanın bitmesine 30 gün kala ortaya çıkar.
Hostun sertifika geçerlilik tarihini vSphere Client üzerinden görmek için şu adımları izleyebilirsiniz:
- vSphere Client’ta ilgili ESXi hostunu seçin.
- Configure sekmesine geçin.
- System > Certificate bölümünü açın.
Uyarı Neden Oluşur?
Bir hostu vCenter Server’a eklediğinizde vCenter, host için VMCA’ya bir sertifika imzalama isteği (CSR) gönderir. VMCA’nın ürettiği sertifikalar varsayılan olarak 1825 gün (5 yıl) geçerlidir. vCenter ise bu sertifikaların durumunu belirli aralıklarla kontrol eder ve aşağıdaki eşik değerlerine göre hareket eder:
| Gelişmiş Ayar | Varsayılan Değer | Açıklama |
|---|---|---|
vpxd.certmgmt.certs.daysValid | 1825 gün | Yeni sertifikanın geçerlilik süresi. |
vpxd.certmgmt.certs.pollIntervalDays | 5 gün | vCenter’ın sertifika geçerliliğini kontrol etme aralığı. |
vpxd.certmgmt.certs.softThreshold | 240 gün | Sertifika bu eşiğe ulaştığında vCenter bir olay (event) kaydı oluşturur. |
vpxd.certmgmt.certs.hardThreshold | 30 gün | Sertifika bu eşiğe ulaştığında vCenter kırmızı alarm üretir. |
Kısacası sertifikanın sona ermesine 30 gün veya daha az kaldığında alarm karşınıza çıkar. Bu ayarları vCenter nesnesi üzerinde Configure > Settings > Advanced Settings altından görüntüleyebilirsiniz. Varsayılan değerlerin tam listesi için Broadcom’un ESXi Certificate Default Settings dokümanına göz atabilirsiniz.
Uyarıyla Karşılaşabileceğiniz Sürümler
- VMware vSphere ESXi 7.x
- VMware vSphere ESXi 8.x
- VMware vSphere ESX 9.x
Sertifika Yenilemeden Önce Kontrol Etmeniz Gerekenler
Yenileme işlemine geçmeden önce aşağıdaki ön koşulları mutlaka doğrulayın. Bu kontrolleri atlarsanız yenileme işlemi hata verebilir.
- Yedekleme: İşleme başlamadan önce vCenter Server Appliance’ın yedeğini veya snapshot’ını almanızı öneririm.
- VMCA Root sertifikası: Administration > Certificates > Certificate Management altındaki Trusted Root sertifikalarının süresinin dolmadığından emin olun. vCenter, ESXi sertifikasını Trusted Root sertifikasının bitiş tarihinden daha ileri bir tarihe yenileyemez.
- vCenter Machine SSL sertifikası:
MACHINE_SSL_CERTsertifikasının geçerli olduğunu kontrol edin. - Host bağlantısı: İlgili ESXi hostları vCenter envanterinde Connected durumda, sağlık durumları ise yeşil olmalıdır.
- Zaman ve DNS: vCenter Server ile ESXi hostları arasında NTP senkronizasyonu ve DNS çözümlemesi sorunsuz çalışmalıdır.
- Bakım modu: ESXi 8.0 Update 3 öncesi sürümlerde hostları bakım modundan (Maintenance Mode) çıkarın.
VMCA Root veya Machine SSL sertifikanızın süresi dolmuşsa, önce bu sertifikaları yenilemeniz gerekir. Bu işlem için VMCA ile vSphere sertifikalarını yeniden oluşturma rehberimdeki adımları takip edebilirsiniz.
Sertifika Tarihlerini Komut Satırından Kontrol Etme
SSH ile vCenter Server Appliance’a erişip Bash shell’e geçtikten sonra Machine SSL ve Trusted Root sertifikalarının bitiş tarihlerini aşağıdaki komutlarla görebilirsiniz:
/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store MACHINE_SSL_CERT --text | grep -E "Alias|Not After"
/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store TRUSTED_ROOTS --text | grep -E "Alias|Not After"ESXi host tarafında ise SSH ile hosta erişerek sertifikanın geçerlilik tarihlerini şu komutla kontrol edebilirsiniz:
openssl x509 -in /etc/vmware/ssl/rui.crt -noout -subject -issuer -datesÇıktıdaki notAfter değeri, sertifikanın bitiş tarihini gösterir. ESXi üzerinde kullanabileceğiniz diğer komutlar için ESXi 8.0 ESXCLI Command Reference yazıma da göz atabilirsiniz.
ESXi Sertifika Yenileme: VMCA ile Adım Adım Çözüm
Ön koşulları doğruladıktan sonra ESXi host sertifikasını vSphere Client üzerinden birkaç adımda yenileyebilirsiniz:
- vSphere Client’a giriş yapın ve uyarı veren ESXi hostunu seçin.
- Host Disconnected durumdaysa, hosta sağ tıklayıp Connection > Connect ile yeniden bağlayın.
- Configure sekmesine geçin.
- System başlığı altında Certificate seçeneğine tıklayın.
- vCenter sürümünüze göre yenileme işlemini başlatın (aşağıdaki tabloya bakın).
- Ekrana gelen onay penceresinde Yes butonuna tıklayarak işlemi onaylayın.
| vCenter Sürümü | Yapmanız Gereken |
|---|---|
| vCenter 8.0 Update 3 ve sonrası | Sağ üst köşedeki MANAGE WITH VMCA menüsüne tıklayın, ardından Renew seçin. |
| vCenter 8.0 Update 3 öncesi sürümler | Doğrudan Renew veya Refresh CA Certificates butonuna tıklayın. |
İşlem bittiğinde Recent Tasks panelinden görevin durumunu, Certificate ekranından da yeni geçerlilik tarihini kontrol edin. vCenter alarmı genellikle kendiliğinden kaldırır; alarm kalkmazsa Reset to Green seçeneğini kullanabilirsiniz.
Yenileme görevi uzun süre ilerlemiyorsa, vCenter veya ESXi host’ta askıda kalan görevi iptal etme rehberimdeki yöntemlerle görevi sonlandırabilirsiniz.
Renew ile Refresh CA Certificates Arasındaki Fark
- Renew: Host için VMCA’dan yeni ve imzalı bir sertifika alır. Süresi dolan veya dolmak üzere olan host sertifikası için kullanmanız gereken seçenek budur.
- Refresh CA Certificates: vCenter Server’ın VECS içindeki
TRUSTED_ROOTSdeposunda yer alan tüm sertifikaları hosta gönderir. Bu seçeneği hostun güvendiği kök sertifikaları güncellemek için kullanırsınız; host sertifikasının süresini uzatmaz.
Sertifikanın Süresi Zaten Dolmuşsa Ne Yapmalı?
Sertifikayı yenilemeden süresi dolduysa, hostu vCenter’dan Disconnect edip ardından tekrar Connect etmek, vCenter’ın sertifikayı yenilemesini tetikler. Hostu envantere yeniden bağladığınızda vCenter güven ilişkisini yeniden kurar ve host için yeni bir sertifika üretir. Ayrıca vCenter varsayılan olarak Expired, Expiration imminent veya Expiring shortly durumundaki host sertifikalarını, hostu envantere her eklediğinizde veya yeniden bağladığınızda otomatik olarak yeniler.
Disconnect işlemi sırasında host geçici olarak vCenter yönetiminden çıkacağı için bu adımı uygun bir bakım penceresinde uygulamanızı öneririm.
Özel (Custom) CA Sertifikası Kullanıyorsanız
Ortamınızdaki hostlar kurumsal CA’nızın imzaladığı sertifikalarla çalışıyorsa (vpxd.certmgmt.mode = custom), VMCA üzerinden Renew işlemi uygun değildir. Bu durumda yeni sertifikayı kurumsal CA’nızdan alıp hosta yeniden içe aktarmanız gerekir. Detaylı adımlar için Broadcom’un Configuring CA signed certificates for ESXi hosts makalesini inceleyebilirsiniz.
vCenter 8.0 U3h ve Sonrasında Otomatik Sertifika Yenileme
vCenter Server 8.0 Update 3h ve VMware Cloud Foundation (VCF) 9.0.2 ile birlikte Machine SSL ve ESXi SSL sertifikaları için otomatik yenileme özelliği geldi. vCenter üzerinde yapılandırdığınız otomatik yenileme şu şekilde çalışır:
- vCenter, ESXi SSL sertifikasını bitiş tarihinden 10 gün önce otomatik olarak yeniler. Bu süreyi
vpxd.certmgmt.certs.autoRenewThresholdparametresiyle değiştirebilirsiniz. - vCenter, kendi Machine SSL sertifikasını bitiş tarihinden 5 gün önce yeniler. Bu süre sabittir; değiştiremezsiniz.
- Otomatik yenileme sırasında vCenter servisleri yeniden başlamaz.
- Sertifika modu
customise otomatik yenileme çalışmaz; özelliğin çalışması için modunvmcaolması gerekir.
VCF 9.0.2 ortamlarında Fleet Management üzerinden yapılandırdığınız otomatik yenileme ise sertifikanın bitişinden 60 gün önce devreye girer. Yine de bu sürümlerde bile 30 günlük alarmı gördüğünüzde beklemeden manuel yenileme yapmak, olası sürprizlerin önüne geçer.
Sorun Devam Ederse
Tüm adımlara rağmen alarm devam ediyorsa veya yenileme hata veriyorsa, Broadcom desteğine kayıt açmadan önce log paketini hazırlamanız süreci hızlandırır. Bunun için vCenter Support Bundle oluşturma rehberimi inceleyebilirsiniz. Ayrıca vCenter tarafında farklı sertifika alarmları alıyorsanız VCSA’da BACKUP_STORES Sertifikalarını Temizleme yazım da işinize yarayabilir.
Sıkça Sorulan Sorular
vCenter “ESXi Host Certificate Status” alarmını ne zaman tetikler?
vCenter bu alarmı varsayılan olarak ESXi host sertifikasının sona ermesine 30 gün veya daha az kaldığında tetikler. Bu eşiği vpxd.certmgmt.certs.hardThreshold gelişmiş ayarı belirler.
Yeni ESXi sertifikası ne kadar süre geçerli olur?
Varsayılan olarak 1825 gün (5 yıl) geçerli olur. Ancak sertifikanın bitiş tarihi, Trusted Root sertifikasının bitiş tarihini aşamaz. Örneğin root sertifikanızın 2 yıl ömrü kaldıysa, yeni ESXi sertifikası da en fazla 2 yıl geçerli olur.
Renew ve Refresh CA Certificates aynı işlemi mi yapar?
Hayır. Renew, host için VMCA’dan yeni bir sertifika alırken; Refresh CA Certificates yalnızca vCenter’daki Trusted Root (kök) sertifikalarını hosta gönderir. Süresi dolan host sertifikası için Renew işlemini kullanmalısınız.
Sonuç
“ESXi Host Certificate Status” uyarısı, ESXi host sertifikasının süresinin dolmak üzere olduğunu haber veren önemli bir erken uyarıdır. Ön koşulları kontrol edip VMCA üzerinden Renew işlemini uyguladığınızda sorunu kısa sürede çözersiniz. Ayrıca ortamınızdaki sertifikaların bitiş tarihlerini düzenli olarak takip etmek, plansız kesintilerin önüne geçmenin en kolay yoludur.
Umarım bu rehber, vCenter’da “ESXi Host Certificate Status” Uyarısını Çözme konusunda sizlere yol gösterici olmuştur. Bir sonraki makalede görüşmek üzere, faydalı olması dileğiyle!
Kaynaklar
- Broadcom Knowledge Base: “ESXi Host Certificate Status” alert in vCenter Server
- Broadcom Knowledge Base: Configuring CA signed certificates for ESXi hosts
- Broadcom Knowledge Base: SSL certificate auto-renew for Machine SSL and ESXi
- Broadcom TechDocs: Renew or Refresh ESXi Certificates
- Broadcom TechDocs: ESXi Certificate Default Settings
