Skip to main content
Sign Out

Welcome to Dell

My Account
  • Place orders quickly and easily
  • View orders and track your shipping status
  • Enjoy members-only rewards and discounts
  • Create and access a list of your products
Sign In Create an Account Dell Financial Services Premier Sign In Partner Program Sign In
Contact Us

Your Dell.com Carts

VxRail 上的 VCF：更換 VCF 環境中的 NSX-T 本機管理員憑證

Summary: 本文為在 VCF 管理的聯合環境中更換 NSX-T 本機管理員自我簽署憑證的指南。確保您的系統保持安全且符合規範。

This article applies to   This article does not apply to 
Check out resources for

Instructions

注意：請僅遵循 VCF 管理的 NSX-T 聯合環境適用本文！


背景：

NSX-T 憑證有不同類型的類型，如下所述：
 
憑證名稱 用途 可更換 預設效期
公貓 這是用於透過 UI 或 API 與個別 NSX Manager 節點進行外部通訊的 API 憑證。 是 825天
MP-叢集 這是透過 UI 或 API 使用叢集 VIP 與 NSX Manager 叢集進行外部通訊的 API 憑證。 是 825天
本機管理員 這是聯合身份驗證的平台主體標識證書。如果不使用聯合身份驗證，則不會使用此證書。 是 825天


針對 VCF 解決方案：

Tomcat 和 mp-cluster 會由 VMCA 從 vCenter 簽署的 CA 憑證取代。mp-cluster 和 Tomcat 憑證可能仍存在，但並未被使用。


含 VCF 的 NSX-T Manager：

  • Tomcat - 未使用 Node1 >
  • mp-cluster - 未使用 VIP >
在安裝期間更換為以下內容：
  • CA - 節點 1
  • CA - 貴賓
如果您想要檢查憑證是否正在使用中，請在 Postman 平台上執行以下 API： 
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

本地管理員證書是用於與聯合中的其他網站通信的主體標識證書。

NSX-T 聯合環境包含一個活動和備用全域管理器集群以及一個或多個本地管理器集群。
 
顯示位置 1 和位置 2 中具有活動和備用全域管理器群集的三個位置，以及所有三個位置中的本地管理器群集。
圖 1：顯示位置 1 和位置 2 中具有活動和備用全域管理器群集的三個位置，以及所有三個位置中的本地管理器群集。


如何確定本地管理員集群的數量：

若要檢查環境並瞭解有多少本機管理員叢集，請按照下列步驟和螢幕擷取畫面操作：

從 系統>組態>位置管理員：
  • 在本地管理員的頂部，它會顯示您登錄的集群。在此範例中，我們登錄到本地管理器群集。
  • 在頁面中間，它會顯示 全域管理器群集，以及哪個群集處於活動狀態，哪個群集處於備用狀態。
  • 其他本地管理器群集位於 底部的「遠端網站」 下。
本機管理員叢集環境
圖 2：本機管理員叢集環境


更換本機管理員自我簽署憑證的程序：

  1. 登入本機管理員叢集中的 NSX 管理員。
  2. 先收集 NSX-T 備份再繼續。這一步很重要！
    1. 系統>生命週期管理>備份及還原>開始備份
收集 NSX-T 備份
圖 3：收集 NSX-T 備份。
  1. 檢查憑證與到期日期。
    1. 按一下 系統>設定>憑證
以下範例以紅色顯示本機管理員憑證的到期日期：
本機管理員憑證即將到期
圖 4：本機管理員憑證即將到期

無論集群中有多少 NSX 管理器，每個本地管理器集群都有一個證書。
  1. 登入本機管理員叢集 1 上的任何 NSX 管理員。
  2. 產生新的 CSR。
    1. 按一下 系統>設定>憑證>CSR>產生 CSR
產生新的 CSR
圖 5：產生新的 CSR。
  1. 輸入 通用名稱 作為 local-manager。
  2. 輸入 名稱 作為 LocalManager。
  3. 剩下的就是使用者業務和位置詳細資料 （可以從即將到期的舊憑證複製。）
  4. 按一下儲存。
輸入 CSR 名稱和地點資訊
圖 6：輸入 CSR 名稱和位置資訊。
  1. 使用產生的 CSR 建立自我簽署憑證。
    1. 按一下新 CSR 核取方塊>產生 CSR 的 CSR>自我簽署憑證。
建立自我簽署認證
圖 7：建立自我簽署認證。
  1. 確定服務憑證設為 否 ，然後按一下 儲存。
  2. 返回到 「證書 」選項卡，找到 「新建證書 」並 複製證書ID。
複製新憑證 ID
圖 8：複製新憑證 ID
  1. 替換本地管理員的主體身份證書。
    1. 使用者安裝郵遞員平臺。
    2. 在 “授權 ”選項卡中，選擇 “鍵入>基本身份驗證”。
    3. 輸入 NSX-T Manager 登入詳細資料。
輸入 NSX-T Manager 登入詳細資料
圖 9：輸入 NSX-T Manager 登入詳細資料。
  1. 在標頭標籤中，將「application/xml」變更為「application/json」
在 Postman 中，將「application/xml」變更為「application/json」
圖 10：在 Postman 中，將「application/xml」變更為「application/json」
  1. 在 「正文 」選項卡中，選擇 POST API 命令。
    1. 選取 原始，然後選取 JSON。
    2. 在 POST 旁的方塊中，輸入 URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
    3. 在上面，URL 是用於特定本地管理器集群內任何 NSX 管理器的 IP。
    4. 在 「body 」區段中，以兩行的格式輸入以下內容，如螢幕截圖所示：
{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }
輸入特定本地管理器集群中任何 NSX 管理員的 URL
圖 11：輸入特定本地管理器集群中任何 NSX 管理器的 URL。
  1. 按一下傳送，並確定您看到結果 200 OK。
  1. 在每個本地管理器群集 2 和 3 上重複步驟 1 到 4。
完成這些步驟后，您在每個本地管理器集群上創建了一個新證書，並替換了每個本地管理器集群上的主體身份證書。

現在可以從三個本地管理器集群中的每一個中刪除舊的過期證書了。
  1. 檢查憑證是否已停止使用。
    1. 複製 憑證 ID
    2. 開啟 郵遞員
    3. 選取 取得 API 而非 POST。
    4. 輸入 URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
    5. 尋找「used_by」並確認其有空括弧。
    "used_by" : [ ],
    "resource_type" : "certificate_self_signed",
    "id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
    "display_name" : "local-manager",
    "description" : "",
    "tags" : [ ],
    "_create_user" : "admin",
    "_create_time" : 1677468138846,
    "_last_modified_user" : "admin",
    "_last_modified_time" : 1677468138846,
    "_system_owned" : false,
    "_protection" : "NOT_PROTECTED",
    "_revision" : 0
  }
  1. 前往 系統 >設定 >憑證 ，然後選取所需的憑證。
選取所需的憑證
圖 12：選取所需的憑證。
  1. 按一下刪除>刪除。
刪除憑證
圖 13：刪除憑證。
  1. 確認主體身分正常運作，並使用新憑證：
    1. 開啟 郵遞員
    2. 選取 GET“。
    3. 執行 URL https://<nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie.
    4. 輸出應類似以下內容，「certificate_id」應顯示新建立的憑證 ID。
憑證 ID 顯示新的憑證 ID
圖 14：憑證 ID 顯示新的憑證 ID。

Additional Information

更換全域管理員憑證：

若要更換全域管理員憑證，請依照相同的程序，但將「LOCAL_MANAGER」變更為「GLOBAL_MANAGER」，然後從全域管理員叢集執行程序。


其他相關文章：

如需詳細資訊，請參閱這些相關的 Broadcom VMware 文章：

Affected Products

VMWare Cloud on Dell EMC VxRail E560F, VMWare Cloud on Dell EMC VxRail E560N, VxRail Appliance Family, VxRail Appliance Series, VxRail D Series Nodes, VxRail D560, VxRail D560F, VxRail E Series Nodes, VxRail E460, VxRail E560

Products

VxRail G410, VxRail G Series Nodes, VxRail E560 VCF, VxRail E560F, VxRail E560F VCF, VxRail E560N, VxRail E560N VCF, VxRail E660, VxRail E660F, VxRail E660N, VxRail E665, VxRail E665F, VxRail E665N, VxRail G560, VxRail G560 VCF, VxRail G560F , VxRail G560F VCF, VxRail Gen2 Hardware, VxRail P Series Nodes, VxRail P470, VxRail P570, VxRail P570 VCF, VxRail P570F, VxRail P570F VCF, VxRail P580N, VxRail P580N VCF, VXRAIL P670F, VxRail P670N, VxRail P675F, VxRail P675N, VxRail S Series Nodes, VxRail S470, VxRail S570, VxRail S570 VCF, VxRail S670, VxRail Software, VxRail V Series Nodes, VxRail V470, VxRail V570, VxRail V570 VCF, VxRail V570F, VxRail V570F VCF, VXRAIL V670F, VxRail VD-4000R, VxRail VD-4000W, VxRail VD-4000Z, VxRail VD-4510C, VxRail VD-4520C, VxRail VD Series Nodes ...