VCF op VxRail: NSX-T local-manager-certificaat vervangen in VCF-omgeving

Achtergrond:

Er zijn verschillende soorten NSX-T-certificaten, zoals hieronder beschreven:
 

Certificaatnaam	Doel	Vervangbaar	Default Validity
Kater	Dit is een API-certificaat dat wordt gebruikt voor externe communicatie met afzonderlijke NSX Manager-knooppunten via UI of API.	Ja	825 dagen
mp-cluster	Dit is een API-certificaat dat wordt gebruikt voor externe communicatie met het NSX Manager cluster met behulp van het cluster VIP, via de gebruikersinterface of API.	Ja	825 dagen
LocalManager	Dit is een platform Principal Identity-certificaat voor de Federatie. Als u geen federatie gebruikt, wordt dit certificaat niet gebruikt.	Ja	825 dagen

Voor VCF-oplossingen:

De Tomcat en het mp-cluster worden vervangen door CA-certificaten die zijn ondertekend door VMCA van vCenter. De mp-cluster en Tomcat certificaten kunnen er nog zijn, maar ze worden niet gebruikt.

NSX-T Manager met VCF:

• Tomcat - Node1 > wordt niet gebruikt
• mp-cluster - VIP > wordt niet gebruikt

Tijdens de installatie vervangen door het onderstaande:

• CA - Knooppunt1
• CA - VIP

Als u wilt controleren of het certificaat wordt gebruikt, voert u de volgende API uit op het Postman-platform:

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Het local-manager-certificaat is het primaire identiteitscertificaat dat wordt gebruikt om te communiceren met andere sites in de Federatie.

Een NSX-T Federation-omgeving bevat een actief en een stand-by Global Manager-cluster en een of meer Local Manager-clusters.
 

Het aantal Local Manager Clusters bepalen:

Als u de omgeving wilt controleren en wilt weten hoeveel Local Manager-clusters er zijn, volgt u de onderstaande stappen en schermafbeelding:

Van System>Configuration>Location Manager:

• Bovenin de Local Manager zie je op welk cluster je bent ingelogd. In dit voorbeeld zijn we aangemeld bij een Local Manager Cluster.
• In het midden van de pagina worden de Global Manager-clusters weergegeven en welk cluster actief is en welk cluster stand-by is.
• Andere Local Manager Clusters zijn onderaan te zien onder Remote Sites.

Procedure voor het vervangen van zelfondertekende certificaten van de lokale manager:

1. Meld u aan bij NSX Manager in het Local Manager Cluster.
2. Verzamel een NSX-T-back-up voordat u verdergaat. Deze stap is belangrijk!
   1. Systeem> Beheer >van de levenscyclusBack-up en herstel>Back-up starten

3. Controleer de certificaten en de vervaldatum.
   1. Klik op Certificatenvoor systeeminstellingen>>

Er is één certificaat per Local Manager-cluster, ongeacht het aantal NSX-managers binnen het cluster.

1. Meld u aan bij een NSX Manager op Local Manager cluster 1.
2. Genereer een nieuwe CSR.
   1. Klik op Systeeminstellingen>>Certificaten>CSR's>Genereer CSR

2. Voer de algemene naam in als local-manager.
3. Voer de Name in als LocalManager.
4. De rest zijn bedrijfs- en locatiegegevens van de gebruiker (dit kan worden gekopieerd van een oud certificaat dat verloopt ).
5. Klik op Opslaan.

3. Maak een zelfondertekend certificaat met behulp van de gegenereerde CSR.
   1. Klik op het selectievakje >Nieuwe CSRGenereer CSR>Self-Sign Certificate for CSR.

2. Zorg ervoor dat het servicecertificaat is ingesteld op Nee en klik op Opslaan.
3. Ga terug naar het tabblad Certificaten, zoek het nieuwe certificaat en kopieer de certificaat-id.

4. Vervang het primaire identiteitscertificaat voor de Local Manager.
   1. Gebruiker om het Postman-platform te installeren.
   2. Selecteer op het tabblad Autorisatie de optie Type>basisverificatie.
   3. Voer de aanmeldingsgegevens van NSX-T Manager in.

4. Wijzig op het tabblad Headers"application/xml" in "application/json".

5. Selecteer op het tabblad Body het pictogram POST API bevelen.
   1. Selecteer Raw en selecteer vervolgens JSON.
   2. Voer in het vak naast POST de URL in https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
   3. In het bovenstaande is de URL het IP-adres dat wordt gebruikt voor elke NSX-manager binnen een specifiek Local Manager Cluster.
   4. Voer in het gedeelte met de hoofdtekst het onderstaande in twee regels in, zoals te zien is in de schermafbeelding:

{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }

6. Klik op Verzenden en zorg ervoor dat u het resultaat 200 OK ziet.

5. Herhaal stap 1 tot en met 4 op Local Manager Cluster 2 en 3.

Zodra deze stappen zijn voltooid, hebt u één nieuw certificaat gemaakt op elk Local Manager Cluster en het belangrijkste identiteitscertificaat vervangen op elk Local Manager Cluster.

Het is nu tijd om de oude verlopende certificaten uit elk van de drie Local Manager-clusters te verwijderen.

1. Controleer of het certificaat niet meer in gebruik is.
   1. Certificaat-ID kopiëren
   2. Postbode openen
   3. Selecteer GET API in plaats van POST.
   4. Voer URL in https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
   5. Zoek naar "used_by" en controleer of er lege haakjes staan.

    "used_by" : [ ],
    "resource_type" : "certificate_self_signed",
    "id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
    "display_name" : "local-manager",
    "description" : "",
    "tags" : [ ],
    "_create_user" : "admin",
    "_create_time" : 1677468138846,
    "_last_modified_user" : "admin",
    "_last_modified_time" : 1677468138846,
    "_system_owned" : false,
    "_protection" : "NOT_PROTECTED",
    "_revision" : 0
  }

2. Ga naar Certificaten voor systeeminstellingen >> en selecteer het vereiste certificaat.

3. Klik op Verwijderen>, Verwijderen.

4. Controleer of de Principal Identity werkt en de nieuwe certificaten gebruikt:
   1. Postbode openen
   2. Selecteer GET.
   3. Uitvoerings-URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie.
   4. De uitvoer moet vergelijkbaar zijn met het onderstaande, certificate_id moet de zojuist gemaakte certificaat-ID weergeven.

Global-Manager certificaten vervangen:

Volg hetzelfde proces om het Global Manager-certificaat te vervangen, maar verander "LOCAL_MANAGER" in "GLOBAL_MANAGER" en voer de procedure uit vanuit het Global Manager-cluster.

Andere gerelateerde artikelen:

Zie deze gerelateerde Broadcom VMware-artikelen voor meer informatie:

• Typen certificaten 
• De Global Manager en lokale managers configureren
• Replace Certificates on Version 3.2  
• Certificaten vervangen op versie 3.1
• Een aanvraagbestand voor certificaatondertekening maken 
• Het NSX-t-superuser-certificaat vernieuwen dat wordt gebruikt door de Principal Identity-gebruiker

VxRail G410, VxRail G Series Nodes, VxRail E560 VCF, VxRail E560F, VxRail E560F VCF, VxRail E560N, VxRail E560N VCF, VxRail E660, VxRail E660F, VxRail E660N, VxRail E665, VxRail E665F, VxRail E665N, VxRail G560, VxRail G560 VCF, VxRail G560F , VxRail G560F VCF, VxRail Gen2 Hardware, VxRail P Series Nodes, VxRail P470, VxRail P570, VxRail P570 VCF, VxRail P570F, VxRail P570F VCF, VxRail P580N, VxRail P580N VCF, VXRAIL P670F, VxRail P670N, VxRail P675F, VxRail P675N, VxRail S Series Nodes, VxRail S470, VxRail S570, VxRail S570 VCF, VxRail S670, VxRail Software, VxRail V Series Nodes, VxRail V470, VxRail V570, VxRail V570 VCF, VxRail V570F, VxRail V570F VCF, VXRAIL V670F, VxRail VD-4000R, VxRail VD-4000W, VxRail VD-4000Z, VxRail VD-4510C, VxRail VD-4520C, VxRail VD Series Nodes ... View More View Less