Примітка: Дотримуйтесь цієї статті лише для керованих VCF середовищ федерації NSX-T!
Тло:
Існують різні типи сертифікатів NSX-T, як описано нижче:
Назва сертифіката |
Мета |
Змінні |
Термін дії за замовчуванням |
Томкат |
Це сертифікат API, який використовується для зовнішнього зв'язку з окремими вузлами NSX Manager через UI або API. |
Так |
825 днів |
МП-кластер |
Це сертифікат API, який використовується для зовнішнього зв'язку з кластером NSX Manager за допомогою кластера VIP, через UI або API. |
Так |
825 днів |
Локальний менеджер |
Це сертифікат довірителя платформи для Федерації. Якщо ви не користуєтеся Федерацією, цей сертифікат не використовується. |
Так |
825 днів |
Для VCF-рішень:
Tomcat і mp-cluster замінюються на сертифікати CA, підписані VMCA від vCenter. Сертифікати mp-cluster і Tomcat можуть ще бути, але вони не використовуються.
Менеджер NSX-T з VCF:
- Tomcat - Node1 > не використовується
- mp-cluster - VIP > не використовується
Замінюється під час встановлення на наступне:
- ЦС - Вузол1
- Каліфорнія - VIP
Якщо ви хочете перевірити, чи використовується сертифікат, запустіть наступний API на платформі Postman:
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>
Сертифікат local-manager — це сертифікат Principal Identity, який використовується для зв'язку з іншими сайтами у Федерації.
Середовище
федерації NSX-T містить активний і резервний кластер Global Manager, а також один або кілька кластерів Local Manager.
Малюнок 1: Відображає три локації з активними та резервними кластерами Глобального менеджера в місцях 1 і 2 та кластерами локального менеджера в усіх трьох розташуваннях.
Як визначити кількість кластерів локальних менеджерів:
Щоб перевірити оточення та дізнатися, скільки існує кластерів локального менеджера, дотримуйтесь наведених нижче кроків та знімка екрана:
З
Диспетчера розташуванняконфігурації системи>
>:
- У верхній частині локального менеджера він показує, в якому кластері ви ввійшли в систему. У цьому прикладі ми входимо в кластер локальних менеджерів.
- Посередині сторінки відображається кластери глобального менеджера, а також який кластер активний, а який – резервний.
- Інші кластери локальних менеджерів відображаються внизу під пунктом «Віддалені сайти».
Малюнок 2: Середовище кластера локального менеджера
Процедура заміни самопідписаних сертифікатів local-manager:
- Увійдіть в NSX Manager в кластері локальних менеджерів.
- Перш ніж продовжити, зберіть резервну копію NSX-T. Цей крок важливий!
- Система> Управління >життєвим цикломРезервне копіювання та відновлення>Запустити резервне копіювання
Малюнок 3: Збирайте резервні копії NSX-T.
- Перевірте сертифікати та термін придатності.
- Клацніть «Сертифікати системних>параметрів>»
У наведеному нижче прикладі червоним кольором позначено дату закінчення терміну дії сертифікатів local-manager:
Малюнок 4: Дата закінчення терміну дії сертифікатів local-manager
На кожен кластер локальних менеджерів припадає один сертифікат, незалежно від кількості менеджерів NSX у кластері.
- Увійдіть у будь-який NSX Manager на кластері Local Manager 1.
- Згенеруйте новий CSR.
- Натисніть «Системні>параметри>» Сертифікати>>CSRСтворення CSR
Малюнок 5: Згенеруйте новий CSR.
- Введіть Common Name як local-manager.
- Введіть ім'я як LocalManager.
- Решта – це відомості про компанію користувача та місцезнаходження (це можна скопіювати зі старого сертифіката, термін дії якого закінчується).
- Натисніть Зберегти.
Малюнок 6: Введіть назви CSR та інформацію про населений пункт.
- Створіть самопідписаний сертифікат за допомогою згенерованого CSR.
- Установіть прапорець >Створитисертифікат самопідписуCSR для CSR>.
Малюнок 7: Створіть сертифікат із власним підписом.
- Переконайтеся, що для сертифіката служби встановлено значення Ні, і натисніть Зберегти.
- Поверніться на вкладку «Сертифікати », знайдіть «Новий сертифікат » і «Копіювати ідентифікатор сертифіката».
Малюнок 8: Копіювання нового ідентифікатора сертифіката
- Замініть сертифікат Principal Identity для Local Manager.
- Користувач для встановлення платформи Postman.
- У вкладці Авторизація виберіть Type>Basic Auth.
- Введіть дані для входу в NSX-T Manager.
Малюнок 9: Введіть дані для входу в NSX-T Manager.
- У вкладці Заголовкизмініть "application/xml" на "application/json".
Малюнок 10: У Postman змініть "application/xml" на "application/json"
- На вкладці Тіло виберіть піктограму
POST API
команда.
- Виберіть Raw, а потім виберіть JSON.
- У полі поруч із POST введіть URL-адресу
https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
- У наведеному вище розділі URL – це IP-адреса, яка використовується для будь-якого менеджера NSX у певному кластері локальних менеджерів.
- У розділі тіло введіть наведене нижче у два рядки, як показано на скріншоті:
{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }
Малюнок 11: Введіть URL-адресу будь-якого менеджера NSX у певному кластері локального менеджера.
- Натисніть «Відправити» і переконайтеся, що ви бачите результат 200 OK.
- Повторіть кроки з 1 по 4 для кожного кластера локального менеджера 2 і 3.
Після виконання цих кроків ви створюєте по одному новому сертифікату на кожному кластері локального менеджера та замінюєте сертифікат профілю на кожному кластері локального менеджера.
Настав час видалити старі сертифікати, термін дії яких закінчується, з кожного з трьох кластерів локальних менеджерів.
- Переконайтеся, що сертифікат більше не використовується.
- Скопіювати ідентифікатор сертифіката
- Відкрийте Postman
- Виберіть GET API замість POST.
-
Введіть URL-адресу https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
- Знайдіть «used_by» і переконайтеся, що в ньому є порожні дужки.
"used_by" : [ ],
"resource_type" : "certificate_self_signed",
"id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
"display_name" : "local-manager",
"description" : "",
"tags" : [ ],
"_create_user" : "admin",
"_create_time" : 1677468138846,
"_last_modified_user" : "admin",
"_last_modified_time" : 1677468138846,
"_system_owned" : false,
"_protection" : "NOT_PROTECTED",
"_revision" : 0
}
- Перейдіть до розділу «Сертифікати системних >параметрів>» і виберіть потрібний сертифікат.
Малюнок 12: Виберіть необхідний сертифікат.
- Натисніть «Видалити», «Видалити>».
Малюнок 13: Видалити сертифікат.
- Підтвердьте, що Principal Identity працює та використовує нові сертифікати:
- Відкрийте Postman
- Виберіть ОТРИМАТИ.
- URL-адреса запуску
https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie
.
- Виведення має бути подібним до наведеного нижче, "certificate_id" має показувати щойно створений ідентифікатор сертифіката.
![Ідентифікатор сертифіката відображає новий ідентифікатор сертифіката](https://supportkb.dell.com/img/ka06P0000011FpsQAE/ka06P0000011FpsQAE_uk_6.jpeg)
Малюнок 14: Ідентифікатор сертифіката відображає новий ідентифікатор сертифіката.