VCF на VxRail: Замена сертификата NSX-T Local-Manager в среде VCF

Предпосылка.

Существуют различные типы сертификатов NSX-T, описанные ниже.
 

Имя сертификата	Назначение	Заменимый	Срок действия по умолчанию
Кот	Это сертификат API, используемый для внешнего взаимодействия с отдельными узлами NSX Manager через пользовательский интерфейс или API.	Да	825 дней
mp-кластер	Это сертификат API, используемый для внешнего взаимодействия с кластером NSX Manager с помощью VIP-адреса кластера через пользовательский интерфейс или API.	Да	825 дней
Локальный диспетчер	Это сертификат основного удостоверения платформы для федерации. Если федерация не используется, этот сертификат не используется.	Да	825 дней

Для решений VCF:

Tomcat и mp-cluster заменяются сертификатами CA, подписанными VMCA из vCenter. Сертификаты mp-cluster и Tomcat могут по-прежнему присутствовать, но не используются.

NSX-T Manager с VCF.

• Tomcat — узел 1 > не используется
• mp-cluster — VIP-адрес > не используется

Заменено во время установки на следующие компоненты:

• CA — узел 1
• CA - VIP

Если вы хотите проверить, используется ли сертификат, запустите следующий API на платформе Postman:

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Сертификат локального диспетчера — это основной сертификат удостоверения, используемый для связи с другими площадками в федерации.

Среда федерации NSX-T содержит активный и резервный кластеры глобального диспетчера и один или несколько кластеров локального диспетчера.
 

Как определить количество кластеров локального диспетчера:

Чтобы проверить среду и узнать, сколько существует кластеров Local Manager, выполните следующие действия и сделайте снимок экрана:

В>System Configuration>Location Manager:

• В верхней части окна Local Manager отображается кластер, в который выполнен вход. В данном примере мы вошли в кластер локального диспетчера.
• В середине страницы отображаются кластеры глобального диспетчера, а также кластер активный, а какой резервный.
• Другие кластеры локального диспетчера отображаются внизу в разделе Удаленные площадки.

Процедура замены самозаверяющих сертификатов локального диспетчера:

1. Войдите в NSX Manager в кластере локального диспетчера.
2. Прежде чем продолжить, создайте резервную копию NSX-T. Этот шаг очень важен!
   1. Система>Управление жизненным циклом>Резервное копирование и восстановление>Начать резервное копирование

3. Проверьте сертификаты и срок их действия.
   1. Нажмите System>Settings>Certificates

Для каждого кластера Local Manager имеется один сертификат, независимо от количества диспетчеров NSX в кластере.

1. Войдите в любой NSX Manager в кластере Local Manager 1.
2. Создайте новый CSR.
   1. Нажмите Настройки системы>Сертификаты>>>CSR Создать CSR

2. Введите Common Name в качестве local-manager.
3. Введите имя в виде LocalManager.
4. Остальная информация — это сведения о бизнесе и местоположении пользователя (их можно скопировать из старого сертификата с истекающим сроком действия).
5. Нажмите Save.

3. Создайте самозаверяющий сертификат с помощью созданного запроса подписи сертификата.
   1. Установите флажок >Создать CSR Создать самозаверяющий сертификатCSR> для CSR.

2. Убедитесь, что для параметра Сертификат сервиса установлено значение Нет , и нажмите Сохранить.
3. Вернитесь на вкладку Сертификаты , найдите Новый сертификат и скопируйте идентификатор сертификата.

4. Замените сертификат удостоверения основного субъекта для локального управляющего.
   1. Пользователь для установки платформы Postman.
   2. На вкладке Авторизация выберите Введите>базовую проверку подлинности.
   3. Введите данные для входа в NSX-T Manager.

4. На вкладке «Headers» измените «application/xml» на «application/json».

5. На вкладке Текст выберите POST API .
   1. Выберите Raw, а затем выберите JSON.
   2. В поле рядом с POST введите URL-адрес https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
   3. В приведенном выше примере URL-адрес — это IP-адрес, используемый для любого диспетчера NSX в конкретном кластере Local Manager.
   4. В разделе body введите следующую информацию в две строки, как показано на снимке экрана:

{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }

6. Нажмите «Отправить» и убедитесь, что отображается результат 200 OK.

5. Повторите шаги с 1 по 4 для каждого кластера локального диспетчера 2 и 3.

После выполнения этих действий вы создадите один новый сертификат в каждом кластере локального диспетчера и замените основной сертификат удостоверения в каждом кластере локального диспетчера.

Пришло время удалить старые сертификаты с истекающим сроком действия из каждого из трех кластеров локального диспетчера.

1. Убедитесь, что сертификат больше не используется.
   1. Копировать идентификатор сертификата
   2. Открыть Postman
   3. Выберите GET API вместо POST.
   4. Введите URL-адрес https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
   5. Найдите «used_by» и убедитесь, что в нем есть пустые скобки.

    "used_by" : [ ],
    "resource_type" : "certificate_self_signed",
    "id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
    "display_name" : "local-manager",
    "description" : "",
    "tags" : [ ],
    "_create_user" : "admin",
    "_create_time" : 1677468138846,
    "_last_modified_user" : "admin",
    "_last_modified_time" : 1677468138846,
    "_system_owned" : false,
    "_protection" : "NOT_PROTECTED",
    "_revision" : 0
  }

2. Перейдите в раздел System >Settings >Certificates и выберите необходимый сертификат.

3. Нажмите УдалитьУдалить>.

4. Убедитесь, что Principal Identity работает и использует новые сертификаты:
   1. Открыть Postman
   2. Выберите GET.
   3. URL-адрес запуска https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie.
   4. Выходные данные должны быть такими же, как показано ниже. «certificate_id» должен отображать только что созданный идентификатор сертификата.

Замена сертификатов Global-manager:

Чтобы заменить сертификат глобального управляющего, выполните тот же процесс, но измените «LOCAL_MANAGER» на «GLOBAL_MANAGER» и выполните процедуру из кластера Global Manager.

Другие статьи по теме:

Дополнительные сведения см. в следующих статьях о Broadcom VMware:

• Виды сертификатов 
• Настройка глобального менеджера и локальных менеджеров
• Замена сертификатов в версии 3.2  
• Замена сертификатов в версии 3.1
• Создание файла запроса подписи сертификата 
• Как обновить сертификат NSX-t-superuser-certificate, используемый пользователем основного удостоверения

VxRail G410, VxRail G Series Nodes, VxRail E560 VCF, VxRail E560F, VxRail E560F VCF, VxRail E560N, VxRail E560N VCF, VxRail E660, VxRail E660F, VxRail E660N, VxRail E665, VxRail E665F, VxRail E665N, VxRail G560, VxRail G560 VCF, VxRail G560F , VxRail G560F VCF, VxRail Gen2 Hardware, VxRail P Series Nodes, VxRail P470, VxRail P570, VxRail P570 VCF, VxRail P570F, VxRail P570F VCF, VxRail P580N, VxRail P580N VCF, VxRail P670F, VxRail P670N, VxRail P675F, VxRail P675N, VxRail S Series Nodes, VxRail S470, VxRail S570, VxRail S570 VCF, VxRail S670, VxRail Software, VxRail V Series Nodes, VxRail V470, VxRail V570, VxRail V570 VCF, VxRail V570F, VxRail V570F VCF, VXRAIL V670F, VxRail VD-4000R, VxRail VD-4000W, VxRail VD-4000Z, VxRail VD-4510C, VxRail VD-4520C, VxRail VD Series Nodes ... View More View Less