VCF sur VxRail : Remplacement du certificat NSX-T Local-Manager dans VCF eEnvironment

Informations :

Il existe différents types de certificats NSX-T, comme décrit ci-dessous :
 

Pour les solutions VCF :

Tomcat et mp-cluster sont remplacés par des certificats d’autorité de certification signés par VMware Certificate Authority (VMCA) à partir de vCenter. Les certificats mp-cluster et Tomcat sont peut-être toujours présents, mais ils ne sont pas utilisés.

NSX-T Manager avec VCF :

• Tomcat - Node1 > not being used
• mp-cluster - VIP > non utilisée

Lors de l’installation, remplacez-le par les éléments suivants :

• CA - Node1
• CA - VIP

Exécutez l’API suivante sur la plate-forme Postman pour vérifier si le certificat est utilisé :

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Le certificat de gestionnaire local est le certificat d’identité principal utilisé pour communiquer avec d’autres sites de la fédération.

Un environnement NSX-T Federation contient un cluster de gestionnaires globauxactif et en veille et un ou plusieurs clusters de gestionnaires locaux.
 

Figure 1 : Affiche trois emplacements avec des clusters de gestionnaires globauxactifs et en veille aux emplacements 1 et 2 avec des clusters de gestionnaires locaux dans les trois emplacements.

Comment déterminer le nombre de clusters Local Manager :

Suivez les étapes ci-dessous et la Figure 2 pour vérifier l’environnement et déterminer le nombre de clusters Local Manager :

Dans System>Configuration Location>Manager :

• La partie supérieure de Local Manager indique le cluster auquel vous êtes connecté. Dans cet exemple, il est connecté à un cluster Local Manager.
• Au milieu de la page, il affiche les Global Manager Clusters, ainsi que le cluster actif et celui en veille.
• Les autres clusters de gestionnaires locaux s’affichent en bas sous Sites distants.

Figure 2 : Environnement du cluster du gestionnaire local

Procédure de remplacement des certificats auto-signés du gestionnaire local :

1. Connectez-vous à NSX Manager dans le cluster Local Manager.
2. Collectez une sauvegarde NSX-T avant de continuer. Cette étape est importante !
   Système>Gestion du cycle de> vie Sauvegarde et restauration>Démarrer la sauvegarde
   
   Graphique 3 : Collectez la sauvegarde NSX-T.
3. Vérifiez les certificats et la date d’expiration.
   Cliquez sur System>Settings>Certificates
   L’exemple ci-dessous indique en rouge la date d’expiration des certificats du gestionnaire local : Figure 4 : Date d’expiration des certificats du gestionnaire local

Il existe un certificat par cluster de gestionnaires locaux , quel que soit le nombre de gestionnaires NSX au sein du cluster.

1. Connectez-vous à n’importe quel NSX Manager sur le cluster de gestionnaire local 1.
2. Générez une nouvelle CSR.
   1. Cliquez sur Paramètres>système>Certificats>CSR Générer une>CSR.Figure 5 : Générez une nouvelle CSR.
   2. Saisissez le nom commun en tant que local-manager.
   3. Saisissez le nom en tant que LocalManager.
   4. Le reste est constitué de détails sur l’entreprise et le site de l’utilisateur (ils peuvent être copiés à partir d’un ancien certificat arrivant à expiration).
   5. Cliquez sur Enregistrer.
      
      Figure 6 : Saisissez les noms CSR et les informations de localité.
3. Créez un certificat auto-signé à l’aide de la CSR générée.
   1. Cochez la case >New CSRGenerate CSR>Self-Sign Certificate for CSR.
      Figure 7 : Créez un certificat auto-signé.
   2. Vérifiez que Service Certificate est défini sur No , puis cliquez sur Save.
   3. Revenez à l’onglet Certificats , recherchez le nouveau certificat et copiez l’ID du certificat.
      Figure 8 : Copier le nouvel ID de certificat
4. Remplacez le certificat d’identité principal du gestionnaire local.
   1. Utilisateur pour installer la plate-forme Postman .
   2. Dans l’onglet Authorization , sélectionnez Type>Basic Auth.
   3. Saisissez les informations de connexion à NSX-T Manager.
      
      Figure 9 : Saisissez les informations de connexion à NSX-T Manager.
   4. Dans l’onglet Headers , modifiez application/xml to application/json:
      Figure 10 : Onglet Headers 
   5. Dans Postman, changez application/xml to application/json
   6. Dans l’onglet Corps , sélectionnez l’icône POST API .
      1. Sélectionnez Raw, puis JSON.
      2. Dans la zone située en regard de POST, saisissez l’URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
      3. Dans l’exemple ci-dessus, l’URL est l’adresse IP utilisée pour n’importe quel NSX Manager au sein d’un cluster Local Manager spécifique.
      4. Dans la section du corps , saisissez les éléments suivants en deux lignes, comme indiqué dans la capture d’écran :

         { "cert_id": "<certificate id, copied from step 3>",
         "service_type": "LOCAL_MANAGER" }

         
   7. Cliquez sur Envoyer et vérifiez que le résultat est 200 OK.
5. Répétez les étapes 1 à 4 sur chaque Local Manager Cluster 2 et 3.

Une fois ces étapes terminées, vous avez créé un nouveau certificat et remplacé le certificat d’identité principal sur chaque cluster Local Manager.

Il est maintenant temps de supprimer les anciens certificats arrivant à expiration de chacun des trois clusters de gestionnaires locaux.

1. Vérifiez que le certificat n’est plus en cours d’utilisation.
   1. Copier l’ID du certificat
   2. Ouvrir le facteur
   3. Sélectionnez GET API au lieu de POST.
   4. Saisir l’URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
   5. Chercher used_by et vérifiez qu’il comporte des crochets vides.
   6.     "used_by" : [ ],     « resource_type » : « certificate_self_signed », « id » : « 9cd133ca-32fc-48a2-898b-7acd928512a5 », « display_name » : « local-manager », « description » : «  », « tags » : [ ], « _create_user » : « admin », « _create_time » : 1677468138846, « _last_modified_user » : « admin », « _last_modified_time » : 1677468138846, « _system_owned » : false, « _protection » : « NOT_PROTECTED », « _revision » : 0   }
2. Accédez à Paramètres >système >Certificats, puis sélectionnez le certificat requis.
   Figure 12 : Sélectionnez le certificat requis.
3. Cliquez sur Delete>Delete.
   
   Figure 14 : Supprimer le certificat.
4. Vérifiez que l’identité principale fonctionne et utilise les nouveaux certificats :
   1. Ouvrir le facteur
   2. Sélectionnez GET.
   3. URL d’exécution https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie.
   4.  Le résultat doit être similaire à ce qui suit, "certificate_id" doit afficher l’ID de certificat nouvellement créé.

Figure 15 : Certificate ID affiche le nouvel ID de certificat.

Remplacement des certificats Global-manager :

Pour remplacer le certificat de responsable global, suivez le même processus, mais modifiez-le "LOCAL_MANAGER" to "GLOBAL_MANAGER" et effectuez la procédure à partir du Global Manager Cluster.

Autres articles connexes :

• Comment renouveler le certificat NSX-t-superuser-certificate utilisé par l’utilisateur d’identité principal