VCF auf VxRail: Ersetzen eines selbstsignierten NSX-T Local-Manager-Zertifikats

Hintergrund:
Wir haben verschiedene Arten von NSX-T-Zertifikaten.

Zertifikatname	Zweck	Austauschbare	Standardgültigkeit
Tomcat	Dies ist ein API-Zertifikat, das für die externe Kommunikation mit einzelnen NSX Manager-Nodes über die Benutzeroberfläche oder API verwendet wird.	Ja	825 Tage
MP-Cluster	Dies ist ein API-Zertifikat, das für die externe Kommunikation mit dem NSX Manager-Cluster mithilfe der Cluster-VIP über die Benutzeroberfläche oder API verwendet wird.	Ja	825 Tage
LocalManager	Dies ist ein Plattform-Prinzipalidentitätszertifikat für den Verbund. Wenn Sie keinen Verbund verwenden, wird dieses Zertifikat nicht verwendet.	Ja	825 Tage

Für VCF-Lösungen:
Tomcat und mp-cluster werden durch CA-Zertifikate ersetzt, die von VMCA über vCenter signiert wurden. Die mp-cluster und Tomcat-Zertifikate sind möglicherweise noch vorhanden, werden jedoch nicht verwendet.

NSX-T Manager mit VCF:

• Tomcat – Node1 > wird nicht verwendet
• mp-cluster – VIP > wird nicht verwendet

Während des Hochfahrens ersetzt mit den nachstehenden:

• CA – Node1
• CA – VIP

Wenn Sie sehen möchten, ob das Zertifikat verwendet wird, verwenden Sie die folgende API auf der Postman-Plattform:

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Das Zertifikat des lokalen Managers ist das Prinzipalidentitätszertifikat, das für die Kommunikation mit anderen Standorten im Verbund verwendet wird.

Eine NSX-T-Verbundumgebung enthält einen aktiven und einen Stand-by-Global Manager-Cluster sowie ein oder mehrere Local Manager-Cluster.
 
Um die Umgebung zu überprüfen und herauszufinden, wie viele lokale Managercluster vorhanden sind, führen Sie die folgenden Schritte aus und machen Sie einen Screenshot:

Systemkonfiguration>>Speicherort Manager

• Oben im Local Manager wird angezeigt, bei welchem Cluster Sie angemeldet sind. In diesem Beispiel sind wir bei einem lokalen Managercluster angemeldet.
• In der Mitte der Seite werden die Global Manager-Cluster angezeigt und es wird angezeigt, welches Cluster aktiv und welches im Stand-by-Modus ist.
• Andere lokale Managercluster werden unten unter Remotestandorte angezeigt.

Verfahren zum Ersetzen selbstsignierter Zertifikate von lokalen Managern:

1. Melden Sie sich bei NSX Manager im lokalen Manager-Cluster an.
2. Erfassen Sie das NSX-T-Backup, bevor Sie fortfahren. Dieser Schritt ist sehr wichtig.
   1. System >Lebenszyklusmanagement>Backup und Wiederherstellung>Backup starten

3. Überprüfen Sie die Zertifikate und das Ablaufdatum.
   1. Klicken Sie auf Systemeinstellungen>>Zertifikate

Es gibt ein Zertifikat pro lokalem Manager-Cluster, unabhängig von der Anzahl der NSX Manager, die im Cluster vorhanden sind.

1. Schritt 1: Melden Sie sich bei einem beliebigen NSX Manager auf einem lokalen Manager-Cluster 1 an.
2. Schritt 2: Neue CSR erstellen.
   1. Klicken Sie auf Systemeinstellungen >>Zertifikate>CSRs>CSR generieren

2. Geben Sie unter Common Name local-manager den allgemeinen Namen ein.
3. Geben Sie den Namen als LocalManager ein.
4. Der Rest sind Unternehmens- und Standortdetails des Nutzers (diese können aus dem alten ablaufenden Zertifikat kopiert werden.)
5. Klicken Sie auf Save.

3. Schritt 3: Erstellen Sie ein selbstsigniertes Zertifikat mithilfe der generierten CSR.
   1. Aktivieren Sie das neue CSR-Kontrollkästchen >CSR-Selbstsignierungszertifikat> für CSR erstellen.

2. Stellen Sie sicher, dass Servicezertifikat auf "Nein" eingestellt ist, und klicken Sie auf Speichern.
3. Kehren Sie zur Registerkarte Zertifikate zurück, suchen Sie das neue Zertifikat und kopieren Sie die Zertifikat-ID.

4. Schritt 4: Ersetzen Sie das Prinzipalidentitätszertifikat für den lokalen Manager.
   1. Nutzer, der die Postman-Plattform installiert
   2. Wählen Sie auf der Registerkarte Authorization die Option Type >Basic Auth aus.
   3. Geben Sie die Anmeldedaten für NSX-T Manager ein.

4. Ändern Sie auf der Registerkarte "Headers " "application/xml" in "application/json".

5. Wählen Sie auf der Registerkarte Body den Befehl POST API aus.
   1. Wählen Sie raw und dann JSON aus.
   2. Geben Sie in das Feld neben POST die URL https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation ein.
   3. Im obigen Beispiel ist die URL die IP-Adresse, die für einen beliebigen NSX Manager in einem bestimmten lokalen Managercluster verwendet wird.
   4. Geben Sie im Abschnitt "Text " in zwei Zeilen Folgendes ein, wie im Screenshot zu sehen:

{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }

6. Klicken Sie auf Senden und stellen Sie sicher, dass das Ergebnis 200 OK angezeigt wird.

 

5. Schritt 5: Wiederholen Sie die Schritte 1 > und 4 auf jedem Local Manager-Cluster 2 und 3.

1. Überprüfen Sie, ob das Zertifikat nicht mehr verwendet wird.
   1. Zertifikats-ID kopieren
   2. Postbote öffnen
   3. Wählen Sie GET API anstelle von POST aus.
   4. URL eingeben https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>.
   5. Suchen Sie nach "used_by" und bestätigen Sie, dass leere Klammern vorhanden sind.

    "used_by" : [ ],
    "resource_type" : "certificate_self_signed",
    "id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
    "display_name" : "local-manager",
    "description" : "",
    "tags" : [ ],
    "_create_user" : "admin",
    "_create_time" : 1677468138846,
    "_last_modified_user" : "admin",
    "_last_modified_time" : 1677468138846,
    "_system_owned" : false,
    "_protection" : "NOT_PROTECTED",
    "_revision" : 0
  }

2. Navigieren Sie zu System >Settings Certificates >> und wählen Sie das erforderliche Zertifikat aus.

3. Klicken Sie auf Delete>Delete.

4. So bestätigen Sie, dass die Prinzipalidentität funktioniert und die neuen Zertifikate verwendet:
   1. Postbote öffnen
   2. Wählen Sie GET aus.
   3. Führen Sie die URL https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie aus.
   4. Die Ausgabe sollte der folgenden ähneln: "certificate_id" sollte die neu erstellte Zertifikat-ID anzeigen.

Um das Global Manager-Zertifikat zu ersetzen, befolgen Sie denselben Prozess, ändern Sie jedoch "LOCAL_MANAGER" in "GLOBAL_MANAGER" und führen Sie das Verfahren vom Global Manager-Cluster aus durch.

Weitere Informationen finden Sie in der VMware-Dokumentation:

• Arten von Zertifikaten 
• Konfigurieren von Global Manager und lokalen Managern
• Ersetzen von Zertifikaten auf Version 3.2 
• Ersetzen von Zertifikaten auf Version 3.1
• Erstellen einer Zertifikatsignieranforderungsdatei