VCF na VxRail: Wymień certyfikat NSX-T Local-Manager w VCF eEnvironment

Opis:

Istnieją różne typy certyfikatów NSX-T zgodnie z poniższym opisem:
 

W przypadku rozwiązań VCF:

Tomcat i mp-cluster są zastępowane certyfikatami CA podpisanymi przez VMware Certificate Authority (VMCA) z vCenter. Certyfikaty mp-cluster i Tomcat mogą nadal istnieć, ale nie są używane.

NSX-T Manager z VCF:

• Tomcat — węzeł Node1 > nie jest używany
• mp-cluster - VIP > nie jest używany

Podczas instalacji wymieniany na następujący:

• CA — węzeł 1
• CA — VIP

Uruchom następujący interfejs API na platformie Postman , aby sprawdzić, czy certyfikat jest używany:

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Certyfikat menedżera lokalnego jest certyfikatem tożsamości podmiotu głównego używanym do komunikowania się z innymi lokacjami w federacji.

Środowisko federacyjne NSX-T zawiera aktywny i rezerwowy klaster menedżera globalnego oraz co najmniej jeden klaster menedżera lokalnego.
 

Rysunek 1. Pokazuje trzy lokalizacje z aktywnymi i rezerwowymi klastrami menedżera globalnego w lokalizacjach 1 i 2 z klastrami menedżera lokalnego we wszystkich trzech lokalizacjach.

Jak ustalić liczbę klastrów Local Manager:

Aby sprawdzić środowisko i dowiedzieć się, ile jest klastrów Menedżera lokalnego, wykonaj poniższe czynności i rysunek 2:

W Menedżerze lokalizacjikonfiguracji systemu>>:

• W górnej części Menedżera lokalnego widoczny jest klaster, do którego użytkownik jest zalogowany. W tym przykładzie jest zalogowany do klastra Local Manager.
• Na środku strony widoczne są klastry menedżera globalnego oraz klaster aktywny, a który zapasowy.
• Inne klastry Menedżera lokalnego są widoczne u dołu w sekcji Lokalizacje zdalne.

Rysunek 2: Menedżer lokalny środowiska klastra

Procedura zastąpienia certyfikatów z podpisem własnym menedżera lokalnego:

1. Zaloguj się do NSX Manager w klastrze Local Manager.
2. Przed kontynuowaniem zbierz kopię zapasową NSX-T. Ten krok jest ważny!
   System>Zarządzanie cyklem> życia Tworzenie kopii zapasowych i przywracanie danych>Rozpocznij tworzenie kopii zapasowej
   
   Rysunek 3: Zbieranie kopii zapasowych NSX-T.
3. Sprawdź certyfikaty i datę ważności.
   > Kliknij opcję System Settings>Certificates
   W poniższym przykładzie zaznaczono na czerwono datę wygaśnięcia certyfikatów menedżera lokalnego: Rysunek 4: Data wygaśnięcia certyfikatów lokalnego zarządcy

Istnieje jeden certyfikat dla każdego klastra Local Manager , niezależnie od liczby menedżerów NSX w klastrze.

1. Zaloguj się do dowolnego menedżera NSX Managerw klastrze Local Manager 1.
2. Wygeneruj nowy CSR.
   1. >Kliknij opcjęSystem Settings>Certificates>CSR>Generate CSRRysunek 5: Wygeneruj nowy CSR.
   2. Wprowadź nazwę pospolitą jako local-manager.
   3. Wprowadź nazwę jako LocalManager.
   4. Reszta to dane dotyczące firmy użytkownika i lokalizacji (można je skopiować ze starego wygasającego certyfikatu).
   5. Kliknij przycisk Save.
      
      Rysunek 6: Wprowadź nazwy CSR i informacje o miejscowości.
3. Utwórz certyfikat z podpisem własnym przy użyciu wygenerowanego CSR.
   1. Kliknij pole > wyboru New CSRGenerate CSR>Self-Sign Certificate for CSR.
      Rysunek 7: Utwórz certyfikat z podpisem własnym.
   2. Upewnij się, że certyfikat serwisowy jest ustawiony na Nie i kliknij przycisk Save.
   3. Wróć do karty Certificates , znajdź nowy certyfikat i skopiuj identyfikator certyfikatu.
      Rysunek 8: Kopiuj nowy identyfikator certyfikatu
4. Wymień certyfikat tożsamości podmiotuzabezpieczeń dla menedżera lokalnego.
   1. Użytkownik do zainstalowania platformy Postman .
   2. Na karcie Autoryzacja wybierz pozycję Typ>uwierzytelniania podstawowego.
   3. Wprowadź dane logowania NSX-T Manager.
      
      Rysunek 9: Wprowadź dane logowania NSX-T Manager.
   4. Na karcie Nagłówki zmień application/xml na application/json:
      Rysunek 10. Karta Headers 
   5. W narzędziu Postman zmień application/xml na application/json
   6. Na karcie Treść wybierz ikonę POST API .
      1. Wybierz pozycję Raw, a następnie wybierz pozycję JSON.
      2. W polu obok metody POST wpisz adres URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
      3. W powyższym przykładzie adres URL jest adresem IP używanym dla dowolnego menedżera NSX w określonym klastrze Local Manager.
      4. W sekcji treści wprowadź następujące informacje w dwóch wierszach, jak pokazano na zrzucie ekranu:

         { "cert_id": "<certificate id, copied from step 3>",
         "service_type": "LOCAL_MANAGER" }

         
   7. Kliknij Wyślij i upewnij się, że widzisz wynik 200 OK.
5. Powtórz kroki od 1 do 4 dla każdego klastra 2 i 3 menedżera lokalnego.

Po wykonaniu tych kroków utworzono jeden nowy certyfikat i zastąpiono główny certyfikat tożsamości w każdym klastrze usługi Local Manager.

Teraz nadszedł czas, aby usunąć stare, wygasające certyfikaty z każdego z trzech klastrów Local Manager.

1. Sprawdź, czy certyfikat nie jest już używany.
   1. Kopiuj identyfikator certyfikatu
   2. Otwórz listonosza
   3. Wybierz GET API zamiast POST.
   4. Wprowadź adres URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
   5. Szukać used_by i upewnij się, że ma puste nawiasy.
   6.     "used_by" : [ ],     "resource_type": "certificate_self_signed", "id": "9cd133ca-32fc-48a2-898b-7acd928512a5", "display_name": "local-manager", "description": "", "tagi": [ ], "_create_user" : "admin", "_create_time" : 1677468138846, "_last_modified_user": "admin", "_last_modified_time" : 1677468138846, "_system_owned" : false, "_protection" : "NOT_PROTECTED", "_revision": 0   }
2. Przejdź do >opcji System Settings >Certificates i wybierz wymagany certyfikat.
   Rysunek 12. Wybierz żądany certyfikat.
3. Kliknij Usuń>, Usuń.
   
   Rysunek 14. Usuń certyfikat.
4. Upewnij się, że tożsamość podmiotu zabezpieczeń działa i używa nowych certyfikatów:
   1. Otwórz listonosza
   2. Wybierz opcję GET.
   3. Adres URL uruchamiania https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie.
   4.  Dane wyjściowe powinny być podobne do poniższych, "certificate_id" powinien pokazywać nowo utworzony identyfikator certyfikatu.

Rysunek 15. Identyfikator certyfikatu wyświetla nowy identyfikator certyfikatu.

Wymiana certyfikatów menedżera globalnego:

Aby zastąpić certyfikat Global Manager, należy wykonać ten sam proces, ale zmienić "LOCAL_MANAGER" na "GLOBAL_MANAGER" i wykonaj procedurę z poziomu klastra Global Manager.

Inne powiązane artykuły:

• Jak odnowić certyfikat NSX-t-superuser-certificate używany przez użytkownika tożsamości głównej