Разделение единого входа vSphere и сертификаты до обновления 6.0

Итак, в настоящее время у нас есть встроенная среда 5.5 и мы хотим разделить роли, чтобы соответствовать рекомендуемой топологии для обновления 6.0. Я вижу, что мне нужно развернуть новые серверы для роли SSO, разорвать связанный режим для среды с несколькими vcenter, а затем перенаправить различные службы на новый сервер SSO. Ничего из того, что я могу найти, не упоминает сертификаты, использованные в процессе. В настоящее время у нас есть внутренние сертификаты, подписанные CA, развернутые в различных сегментах vsphere.

Я изо всех сил пытаюсь понять, когда следует предоставлять новые сертификаты для SSO при переходе на внешний сервер SSO. Многие методы регистрации сертификатов для SSO требуют, чтобы служба была зарегистрирована в vCenter, но для маршрута миграции, похоже, требуется, чтобы SSO было развернуто перед повторной привязкой / регистрацией.

Итак, следует ли развертывать новый SSO с использованием самоподписанного сертификаты, а затем, когда произошло повторное указание, добавление новых сертификатов? Или следует разместить новые сертификаты на новом сервере и назначить их для SSO, а затем выполнить переключение?

Если кто-то недавно прошел через экстернализацию службы SSO перед переходом на контроллер сервисов платформы, я бы действительно был благодарен слышать от вас.