VMware vCenterの自己署名証明書による警告を解消する方法

はじめに：表示される警告について

VMware vCenterサーバーにWebブラウザで接続すると、「信頼されていない認証局が発行した自己署名証明書」に関するセキュリティ警告が表示されます。Firefoxであれば、例外サイトのリストにvCenterのサイトを追加するだけで警告を回避できますが、Internet Explorerでは手順がやや複雑になります。

ESXiおよびvCenterサーバーにデフォルトでインストールされているSSL証明書は自己署名証明書であるため、他のシステムはこれを信頼せず、警告を表示したり接続をブロックしたりします。この警告を解消するには、①自己署名証明書を信頼された証明書の一覧に追加する、②信頼できる認証局（CA）が発行した独自の証明書に置き換える、という2つの方法があります。本記事では前者の方法を取り上げます。手順自体は簡単ですが、いくつか分かりにくいポイントがあるため、順を追って詳しく解説します。

ブラウザに表示される警告の内容

vCenterサーバーのWebページをブラウザで開くと、次のような警告ウィンドウが表示されます。

このWebサイトのセキュリティ証明書には問題があります。
このWebサイトから提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません。
このWebサイトから提示されたセキュリティ証明書は、別のWebサイトのアドレス用に発行されています。
セキュリティ証明書に問題がある場合、あなたを欺こうとしたり、サーバーに送信するデータを傍受しようとしている可能性があります。

補足：「別のWebサイトのアドレス用に発行されています」という警告が表示されるのは、アクセスに使用しているホスト名が、証明書のCN（コモンネーム）と一致していないためです。この警告を表示させたくない場合は、証明書の発行対象となっているFQDN（完全修飾ドメイン名）でサーバーにアクセスしてください。なお、New-SelfSignedCertificateコマンドレットを使用すれば任意のCNに対して証明書を発行できるため、独自の証明書に置き換えるのも有効な選択肢です。

ステップ1：ルートCA証明書のダウンロード

[このWebサイトの閲覧を続行する（推奨されません）]のリンクをクリックすると、vCenterのスタートページにアクセスできます。証明書をダウンロードするには、[信頼されたルートCA証明書のダウンロード]をクリックします。

ファイルを任意のディレクトリに保存します。保存されるファイル名は拡張子なしの download です。

次に、download の拡張子を download.zip に変更し、Windows標準の圧縮フォルダ機能（[すべて展開]）で解凍します。

アーカイブの中には、拡張子が .0 と .r0 の2つのファイルが含まれています。.0 ファイルの拡張子を .cer に変更しましょう。

ステップ2：証明書を信頼されたルート証明機関へインポート

あとは、このルートCA証明書を信頼された証明書の一覧に追加するだけです。ここでは、現在のユーザーアカウントでのみ証明書を信頼するケースを想定して説明します。certmgr.msc コンソールを開き、[証明書] > [信頼されたルート証明機関] へ移動し、右クリックのコンテキストメニューから証明書インポートウィザード（[インポート]）を起動します。

先ほど取得した証明書ファイルを選択し、[信頼されたルート証明機関] ストアに配置します。

証明書の追加を確定します。

証明書の一覧に「CA」という名前の新しい証明書が追加されていることを確認できます。

ステップ3：動作確認

改めてブラウザでvCenterのWebページを開いてください。今度はセキュリティ警告が表示されなくなり、安全にアクセスできるようになっています。

補足：ドメインに参加しているすべてのコンピューターにこの証明書を配布したい場合は、グループポリシー（GPO）の機能を利用すると効率的です。

Windows版vCenter Serverを使用している場合

上記の手順は vCenter Server Appliance 向けのものです。Windows版のvCenter Server を使用している場合は、証明書アーカイブをダウンロードするリンクが表示されないため、この方法でファイルを取得できません。その代わり、証明書ファイルはvCenterサーバー（Windows稼働マシン）上の C:\ProgramData\VMware\SSL\ フォルダに保存されています（旧バージョンでは C:\Programdata\VMware\VMware VirtualCenter\SSL）。クライアント側では、このフォルダ内の証明書を同じ手順でインポートしてください。