Broadcom stellt am 21. November 2026 um 02:00 Uhr mitteleuropäischer Zeit das Zertifikat für signierte SAML-Anmeldeanforderungen um. Bei der Anmeldung an VMware Cloud on AWS und die Broadcom Cloud Console kann es danach zu Fehlern kommen, wenn der eingesetzte Identitätsanbieter ausschließlich das bisherige Broadcom-Zertifikat akzeptiert. Administratoren sollten deshalb vor dem Termin prüfen, ob ihre SSO-Konfiguration die Signaturen eingehender Authentifizierungsanforderungen kontrolliert und wie sie neue Prüfzertifikate übernimmt.
Die Umstellung erfolgt am Freitag, 20. November, um 17:00 Uhr Pacific Standard Time (PST). In Deutschland entspricht das dem Samstag, 21. November, um 02:00 Uhr MEZ. Es handelt sich um einen geplanten Zertifikatswechsel im zentralen Broadcom-Anmeldedienst access.broadcom.com, nicht um ein Update des Hypervisors auf den verwalteten Servern.
Welche Anmeldungen betroffen sind
Der Wechsel betrifft den von Broadcom verwendeten Signaturschlüssel für SAML-AuthnRequests. Bei einer solchen Anfrage stellt ein Service Provider, hier der zentrale Broadcom-Anmeldedienst, eine Authentifizierungsanforderung an den Identity Provider (IdP). Prüft dieser die Signatur, benötigt er das dazugehörige vertrauenswürdige Zertifikat.
Betroffen sein können die Anmeldung an der VMware Cloud on AWS Console sowie an der Broadcom Cloud Console. Entscheidend ist nicht allein, ob ein Unternehmen Microsoft Entra ID, Okta, PingFederate oder einen anderen SAML-Anbieter einsetzt. Ausschlaggebend ist, ob die konkrete Anwendung signierte Anmeldeanforderungen validiert und wie ihre Prüfzertifikate gepflegt werden. Ist die entsprechende Signaturprüfung deaktiviert, besteht nach Broadcoms Beschreibung durch diesen Zertifikatswechsel kein Handlungsbedarf.
Auch automatisch eingelesene SAML-Metadaten bedeuten nicht zwangsläufig, dass die Anwendung den Wechsel ohne weitere Prüfung bewältigt. Die IdP-Konfiguration muss die neuen Zertifikatsdaten tatsächlich übernehmen und gegebenenfalls mehrere Signaturzertifikate parallel akzeptieren.
Microsoft Entra ID: Zertifikat vorab zusätzlich hinterlegen
Bei Microsoft Entra ID können mehrere Zertifikate für die Überprüfung signierter SAML-Anfragen gleichzeitig hinterlegt sein. Wenn für die betreffende Unternehmensanwendung die Zertifikatsprüfung verlangt wird, empfiehlt Broadcom, das neue Prüfzertifikat schon vor der Umstellung zusätzlich zu importieren. Das bisherige bleibt während der Übergangszeit bestehen.
Dazu wird die betroffene Enterprise Application im Microsoft-Entra-Administrationsportal geöffnet. Unter Single Sign-on und den Verification certificates lässt sich das neue Broadcom-Zertifikat hochladen. Ob die Funktion zur verpflichtenden Zertifikatsprüfung aktiviert ist, muss anhand der tatsächlichen Konfiguration kontrolliert werden. Entra ID übernimmt diesen speziellen AuthnRequest-Signaturschlüssel nach Herstellerangaben nicht automatisch aus den Service-Provider-Metadaten.
Wenn nach dem Umschalttermin die Anmeldung erfolgreich getestet wurde, kann das alte Prüfzertifikat entfernt werden. Das bisherige Zertifikat vorsorglich schon vor der Umstellung zu löschen, wäre dagegen unnötig riskant.
Okta, Ping und andere Identitätsanbieter: Wechselzeitpunkt beachten
Bei Okta ist zunächst in den erweiterten SAML-Einstellungen der Broadcom-Anwendung zu prüfen, ob eine Signaturprüfung der Anmeldeanforderungen mit hinterlegtem Signature Certificate aktiv ist. Wo nur ein solches Zertifikat eingesetzt werden kann, muss der Austausch mit Broadcoms Wechsel abgestimmt werden. Wird das neue Zertifikat zu früh anstelle des alten aktiviert, können Anmeldeanforderungen bereits vor dem 21. November zurückgewiesen werden. Broadcom nennt hierfür ausdrücklich die Umstellung am 20. November um 17:00 Uhr PST.
Bei Ping Identity hängt der Ablauf vom konkreten Produkt und der Konfiguration ab. Sofern ein zweites vertrauenswürdiges Prüfzertifikat unterstützt wird, kann es vorab ergänzt werden. In Konfigurationen ohne parallele Zertifikate ist stattdessen ein abgestimmter Austausch zum Umschaltzeitpunkt notwendig.
Für andere SAML-Identitätsanbieter gelten dieselben Grundsätze: Die automatische Übernahme der Broadcom-Metadaten muss tatsächlich funktionieren. Manuell hinterlegte Zertifikate müssen aktualisiert werden; kann nur ein einziges Zertifikat vertraut werden, darf der Wechsel nicht vorzeitig erfolgen.
Administrationszugang vor und nach der Umstellung prüfen
IT-Verantwortliche sollten ermitteln, welche Broadcom-Anwendungen über einen eigenen SAML-Identity-Provider angebunden sind, wer die Signaturprüfungen verwaltet und ob ein zweites Zertifikat vorab aktiviert werden kann. Sinnvoll ist außerdem ein vereinbarter Test der betroffenen Konsolenanmeldung nach dem Wechsel, damit ein Zertifikatsfehler nicht erst beim nächsten produktiven Administrationsvorgang auffällt.
Broadcom weist ausdrücklich darauf hin, dass die direkte Anmeldung an vCenter- und NSX-Verwaltungsinstanzen durch diese zentrale SAML-Zertifikatsumstellung nicht betroffen ist. Vor dem Termin sollten Unternehmen deshalb die vorhandenen direkten Verwaltungs- und Notfallzugänge einschließlich der erforderlichen Berechtigungen dokumentieren und ihre Nutzbarkeit prüfen. Diese Zugänge ersetzen keine fehlerfreie SSO-Konfiguration, ermöglichen aber im Störungsfall weiterhin wichtige Verwaltungsarbeiten.
Herstellerhinweis und neues Zertifikat
Die offizielle Broadcom-Kundeninformation 458465 enthält den genauen Zeitplan, die Schritte für Microsoft Entra ID, Okta und Ping Identity sowie das neue Zertifikat als Download-Anhang. Alternativ stellt Broadcom seine SAML-Metadaten bereit. Der Zertifikatswechsel sollte ausschließlich anhand dieser offiziellen Daten vorbereitet werden; ein ungeprüftes Zertifikat aus anderen Quellen gehört nicht in die Vertrauenskonfiguration eines Identity Providers.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten