Prostředí VCF u sady VxRail: Nahrazení certifikátu podepsaného držitelem místního správce NSX-T

Pozadí:
Máme různé typy certifikátů NSX-T.

Název certifikátu	Účel	Vyměnitelné	Výchozí platnost
Tomcat	Jedná se o certifikát API, který se používá pro externí komunikaci s jednotlivými uzly NSX Manager prostřednictvím uživatelského rozhraní nebo API.	Ano	825 dní
Mp-cluster	Jedná se o certifikát API, který se používá pro externí komunikaci s clusterem NSX Manager pomocí virtuální IP adresy clusteru prostřednictvím uživatelského rozhraní nebo rozhraní API.	Ano	825 dní
LocalManager (Místní správce)	Toto je certifikát hlavní identity platformy pro federaci. Pokud nepoužíváte federaci, tento certifikát se nepoužívá.	Ano	825 dní

Pro řešení VCF:
Tomcat a mp-cluster jsou nahrazeny certifikáty certifikační autority podepsanými nástrojem VMCA z nástroje vCenter. Certifikáty mp-cluster a Tomcat mohou být stále k dispozici, ale nepoužívají se.

Nástroj NSX-T Manager s VCF:

• Tomcat – uzel 1 > se nepoužívá
• mp-cluster – VIP > se nepoužívá

Nahrazeno během vyvolávání níže:

• CA – uzel1
• CA - VIP

Pokud chcete zjistit, jestli se certifikát používá, použijte na platformě Postman následující rozhraní API:

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Certifikát místního správce je certifikát hlavní identity, který se používá ke komunikaci s jinými lokalitami ve federaci.

Prostředí federace NSX-T obsahuje aktivní a pohotovostní cluster globálního správce a jeden nebo více clusterů místního správce.
 
Chcete-li zkontrolovat prostředí a zjistit, kolik clusterů Local Manager existuje, postupujte podle níže uvedených kroků a snímku obrazovky:

Konfigurace>systému >Umístění Správar

• V horní části nástroje Local Manager se dozvíte, ke kterému clusteru jste přihlášeni. V tomto příkladu jsme přihlášeni do clusteru Local Manager.
• Uprostřed stránky se zobrazí clustery globálního správce a který cluster je aktivní a který je v pohotovostním režimu.
• Další clustery místního správce se zobrazují v dolní části v části Vzdálené lokality.

Postup nahrazení certifikátů podepsaných držitelem místního správce:

1. Přihlaste se do nástroje NSX Manager v clusteru Local Manager.
2. Než budete pokračovat, shromážděte zálohu NSX-T. Tento krok je velmi důležitý.
   1. Systému >Správa> životního cyklu Zálohování a obnovení>Spustit zálohování

3. Zkontrolujte certifikáty a datum vypršení platnosti.
   1. Klikněte na Nastavení>systému >Certifikáty

Pro každý cluster Local Manager existuje jeden certifikát bez ohledu na počet správců NSX, kteří jsou v clusteru.

1. 1. krok: Přihlaste se do libovolného nástroje NSX Manager v clusteru Local Manager 1.
2. 2. krok: Vygenerujte nový požadavek CSR.
   1. Klikněte na Nastavení>systému >Certifikáty>CSR>Generovat CSR

2. Zadejte běžný název jako local-manager.
3. Zadejte název jako LocalManager.
4. Zbytek jsou údaje o firmě a místě uživatele. (Ty lze zkopírovat ze starého certifikátu, kterému končí platnost.)
5. Klikněte na tlačítko Uložit.

3. 3. krok: Vytvořte certifikát podepsaný držitelem pomocí vygenerovaného požadavku CSR.
   1. Klikněte na zaškrtávací políčko >Nový požadavek CSR Generovat certifikát CSR>podepsaný držitelem pro požadavek CSR.

2. Ujistěte se, že je servisní certifikát nastaven na "Ne", a klikněte na tlačítko Uložit.
3. Vraťte se na kartu Certifikáty , vyhledejte nový certifikát a zkopírujte ID certifikátu.

4. 4. krok: Nahraďte hlavní certifikát identity pro místního správce.
   1. Uživatel nainstaluje platformu Postman.
   2. Na kartě Autorizace vyberte Typ >základního ověřování.
   3. Zadejte přihlašovací údaje k nástroji NSX-T Manager.

4. Na kartě Záhlaví změňte "application/xml" na "application/json".

5. Na kartě Text vyberte příkaz POST API .
   1. Vyberte raw a pak vyberte JSON.
   2. Do pole vedle položky POST zadejte adresu URL https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
   3. Ve výše uvedeném případě je adresa URL IP adresa IP adresa používaná pro libovolného správce NSX v rámci konkrétního clusteru Local Manager.
   4. V části textu zadejte níže na dvou řádcích, jak je vidět na snímku obrazovky:

{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }

6. Klikněte na tlačítko Odeslat a ujistěte se, že se zobrazí výsledek 200 OK.

 

5. Krok 5: Opakujte kroky 1 > , 4 v každém clusteru Local Manager 2 a 3.

1. Zkontrolujte, zda se certifikát již nepoužívá.
   1. Zkopírovat ID certifikátu
   2. Otevřít nástroj Postman
   3. Vyberte možnost GET API namísto POST.
   4. Zadejte adresu URL https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>.
   5. Vyhledejte výraz "used_by" a zkontrolujte, zda jsou u něj prázdné závorky.

    "used_by" : [ ],
    "resource_type" : "certificate_self_signed",
    "id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
    "display_name" : "local-manager",
    "description" : "",
    "tags" : [ ],
    "_create_user" : "admin",
    "_create_time" : 1677468138846,
    "_last_modified_user" : "admin",
    "_last_modified_time" : 1677468138846,
    "_system_owned" : false,
    "_protection" : "NOT_PROTECTED",
    "_revision" : 0
  }

2. Přejděte do části Nastavení >systému >Certifikáty > a vyberte požadovaný certifikát.

3. Klikněte na Odstranit>, Odstranit.

4. Potvrzení, že identita objektu zabezpečení funguje a používá nové certifikáty:
   1. Otevřít nástroj Postman
   2. Vyberte možnost GET.
   3. Spusťte příkaz URL https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie.
   4. Výstup by měl být podobný jako níže. "certificate_id" by mělo ukazovat ID nově vytvořeného certifikátu.

Při výměně certifikátu globálního správce postupujte stejným způsobem, ale změňte "LOCAL_MANAGER" na "GLOBAL_MANAGER" a proveďte postup z clusteru Global Manager.

Další informace naleznete v dokumentech společnosti VMware:

• Typy certifikátů 
• Konfigurace globálního správce a místních správců
• Nahrazení certifikátů ve verzi 3.2 
• Výměna certifikátů ve verzi 3.1
• Vytvoření souboru žádosti o podpis certifikátu