【NSX】NSX Manager、Edgeデプロイ時の「OVF certificate validation failed」エラーの原因と対処まとめ

皆様こんにちは！ネットワールドSEの小島です。

最近、NSXのコンポーネント（NSX ManagerやEdge）をデプロイしようとした際に、

「OVF certificate validation failed. Error: [VALIDATION_ERROR:CERTIFICATE_EXPIRED;]」

というエラーで処理が止まってしまうケースが見受けられます。

私自身、最初にこのエラーに遭遇したときは

「え、ついこの間まで普通にデプロイできていたのに…？」

とかなり驚きました。

調査を進めてみると、原因はNSXコンポーネントのOVF署名証明書が 2026/1/3 に期限切れを迎えたこと によるもので、環境固有の問題ではなく広く発生している既知の事象であることが分かりました。

本記事では、このエラーの背景と詳細を整理しつつ、実際に試した対処方法を紹介します。

同じ問題でお困りの方の参考になれば幸いです。

免責事項
こんな問題がある
対処法
- 対処法の持続性
- 手順
まとめ

免責事項

本書は、株式会社ネットワールド（以下弊社）が作成・管理します。
本書の記載内容の一部または全部を弊社に無断で改変・転載することを禁じます。
本書の記載内容は、一部または全部が将来予告無く変更されることがあります。
本書の利用は、利用者様の責任において行われるものとします。
本書の記載内容には、最善の注意を払っておりますが、正確性・完全性を保証するものではありません。従いまして、本書の利用によって生じたあらゆる損害に関して、弊社は一切の責任を負いません。

こんな問題がある

エラーについてBroadcomがKBを公開していました。まずは、そちらをもとに実際に出力されているエラーについてまとめます。

実際のKBは以下からご覧ください。

出力されるエラー

管理画面からNSXコンポーネントをデプロイしようとすると以下のようにエラーが出力されます。

----

OVF certificate validation failed. Error: [VALIDATION_ERROR:CERTIFICATE_EXPIRED; ]

----

また、NSX Managerのログ(/var/log/proton/nsxapi.log)でも以下のようにエラーが出力されます。

----

2026-01-28T06:10:45.857Z ERROR ActivityWorkerPool-1-4 EdgeTNDeploymentPlugin 3263048 FABRIC [nsx@6876 comp="nsx-manager" errorCode="MP16019" level="ERROR" subcomp="manager"] [entId=EdgeTransportNode//infra/sites/default/enforcement-points/default/edge-transport-node/fff46f46-5292-4712-a296-8bf63a4643f6] Edge node deployment failed due to errorDetails='OVF certificate validation failed. Error: [VALIDATION_ERROR: CERTIFICATE_EXPIRED; ]'

----

原因

冒頭でも触れたとおり、今回のエラーはNSXコンポーネントに含まれるOVF署名証明書が 2026/1/3 に期限切れを迎えたことが直接の原因のようです。

NSX Manager や Edge をデプロイする際、内部的に OVF の検証が自動で実行されます。しかし、証明書がすでに期限切れとなっているため、検証プロセスが失敗し、本エラーが出力される仕組みになっているようです。

該当バージョン

KBによると、以下のバージョンでOVF証明書の期限切れによるエラーが確認されているみたいです。

NSX Manager：3.x 系、4.0.x 系
NSX Edge：3.x 系、4.x 系、9.x 系

対処法

KBに対処法が載っていたので試してみました。

手順としては簡単でOVF検証を無効にするスクリプトをNSX Managerで実行するだけです。

また、こちら手順を実行しても本番環境には影響はないとのことです。

それでは見ていきましょう。

対処法の持続性

設定は再起動後も保持される
NSX のアップグレード後も保持される
ただし、Manager を再デプロイした場合は再適用が必要

手順

Broadcom KB から以下スクリプトをダウンロードします
disable_ovf_validation_flag.sh
WinSCPなどを使ってスクリプトをNSX Manager3ノード全てにコピーします
NSX Managerにrootでログインして3ノード全てでスクリプトを実行します
実行例：bash /tmp/disable_ovf_validation_flag.sh
スクリプトが成功したか確認します

ちなみに失敗すると以下のように出力されるとKBに記載がありました

[INFO] ===================================================================
[INFO] FAILURE: Script execution failed
[INFO] ===================================================================
成功した場合、管理画面より再度コンポーネントのデプロイを行います
Edgeデプロイ時には以下点を確認ください
・新しい Edge の展開が失敗した場合は、展開を再試行する前に Edge を削除してください。
・既存の Edge の再デプロイメントが失敗した場合は、再デプロイメントを再試行してください。
デプロイが完了したことを確認します