VCF op VxRail: Replace NSX-T Local-Manager Self-Signed Certificate

Achtergrond:
We hebben verschillende soorten NSX-T certificaten.

Certificaatnaam	Doel	Vervangbare	Default Validity
Tomcat	Dit is een API-certificaat dat wordt gebruikt voor externe communicatie met afzonderlijke NSX Manager-knooppunten via UI of API.	Ja	825 dagen
mp-cluster	Dit is een API-certificaat dat wordt gebruikt voor externe communicatie met het NSX Manager cluster met behulp van het cluster VIP, via de gebruikersinterface of API.	Ja	825 dagen
LocalManager	Dit is een platform Principal Identity-certificaat voor Federation. Als u geen federatie gebruikt, wordt dit certificaat niet gebruikt.	Ja	825 dagen

Voor VCF-oplossingen:
De Tomcat en het mp-cluster worden vervangen door CA-certificaten die zijn ondertekend door VMCA van vCenter. De mp-cluster en Tomcat certificaten kunnen er nog zijn, maar worden niet gebruikt.

NSX-T Manager met VCF:

• Tomcat - Node1 > wordt niet gebruikt
• mp-cluster - VIP > wordt niet gebruikt

Vervangen tijdens het naar boven brengen door het onderstaande:

• CA -knooppunt1
• CA - VIP

Als u wilt zien of het certificaat wordt gebruikt, gebruikt u de volgende API op het Postman-platform:

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>

Het local-manager-certificaat is het primaire identiteitscertificaat dat wordt gebruikt om te communiceren met andere sites in Federatie.

Een NSX-T Federation-omgeving bevat een actief en een stand-by Global Manager-cluster en een of meer Local Manager-clusters.
 
Om de omgeving te controleren en erachter te komen hoeveel Local Manager Clusters er zijn, volgt u de onderstaande stappen en schermafbeelding:

System >Configuration>Location Manager

• Bovenaan Local Manager zie je op welk cluster je bent ingelogd. In dit voorbeeld zijn we aangemeld bij een Local Manager Cluster.
• In het midden van de pagina worden de Global Manager-clusters weergegeven en welk cluster actief is en welk cluster stand-by is.
• Andere Local Manager Clusters zijn onderaan te zien onder Remote Sites.

Procedure voor het vervangen van zelfondertekende certificaten van de lokale manager:

1. Meld u aan bij NSX Manager in het Local Manager Cluster.
2. Verzamel een NSX-T-back-up voordat u verdergaat. Deze stap is erg belangrijk.
   1. Systeem > Beheer >van de levenscyclusBack-up en herstel>Back-up starten

3. Controleer de certificaten en de vervaldatum.
   1. Klik op Certificatenvoor systeeminstellingen>>

Er is één certificaat per Local Manager-cluster, ongeacht het aantal NSX-managers binnen het cluster.

1. Stap 1: Meld u aan bij een NSX Manager op Local Manager cluster 1.
2. Stap 2: Genereer nieuwe CSR.
   1. Klik op Systeeminstellingen >>Certificaten>CSR's>Genereer CSR

2. Voer de algemene naam in als local-manager.
3. Voer de Name in als LocalManager.
4. De rest zijn bedrijfs- en locatiegegevens van de gebruiker (dit kan worden gekopieerd van een oud certificaat dat verloopt.)
5. Klik op Opslaan.

3. Stap 3: Maak een zelfondertekend certificaat met behulp van de gegenereerde CSR.
   1. Klik op het nieuwe selectievakje >voor CSR Genereer CSR>Self-Sign Certificate for CSR.

2. Zorg ervoor dat Servicecertificaat is ingesteld op "Nee" en klik op Opslaan.
3. Ga terug naar het tabblad Certificaten, zoek het nieuwe Certificaat en kopieer Certificaat-ID.

4. Stap 4: Vervang het primaire identiteitscertificaat voor de Local Manager.
   1. Gebruiker om Postman-platform te installeren.
   2. Selecteer op het tabblad Autorisatie de optie Type >basisverificatie.
   3. Voer de aanmeldingsgegevens van NSX-T Manager in.

4. Wijzig op het tabblad Headers "application/xml" in "application/json".

5. Selecteer op het tabblad Body de POST API-opdracht .
   1. Selecteer RAW en selecteer vervolgens JSON.
   2. Voer in het vak naast POST de URL in https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation
   3. In het bovenstaande is de URL het IP-adres dat wordt gebruikt voor elke NSX-manager binnen een specifiek Local Manager Cluster.
   4. Voer in het gedeelte met de hoofdtekst het onderstaande in twee regels in, zoals te zien is in de schermafbeelding:

{ "cert_id": "<certificate id, copied from step 3>",
"service_type": "LOCAL_MANAGER" }

6. Klik op Verzenden en zorg ervoor dat u het resultaat 200 OK ziet.

 

5. Stap 5: Herhaal stap 1 > en 4 op elk Local Manager cluster 2 en 3.

1. Controleer of het certificaat niet langer in gebruik is.
   1. Certificaat-ID kopiëren
   2. Postbode openen
   3. Selecteer GET API in plaats van POST.
   4. Voer URL in https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/certificates/<certificate-id>
   5. Zoek naar "used_by" en controleer of er lege haakjes staan.

    "used_by" : [ ],
    "resource_type" : "certificate_self_signed",
    "id" : "9cd133ca-32fc-48a2-898b-7acd928512a5",
    "display_name" : "local-manager",
    "description" : "",
    "tags" : [ ],
    "_create_user" : "admin",
    "_create_time" : 1677468138846,
    "_last_modified_user" : "admin",
    "_last_modified_time" : 1677468138846,
    "_system_owned" : false,
    "_protection" : "NOT_PROTECTED",
    "_revision" : 0
  }

2. Ga naar Certificaten voor systeeminstellingen >>> en selecteer het vereiste certificaat.

3. Klik op Verwijderen>, Verwijderen.

4. U kunt als volgt controleren of de primaire identiteit werkt en de nieuwe certificaten gebruikt:
   1. Postbode openen
   2. Selecteer GET.
   3. Voer de URL https://< nsx-mgr-IP-local-manager-clusterX>/api/v1/trust-management/principal-identitie uit.
   4. De uitvoer moet vergelijkbaar zijn met het onderstaande, certificate_id moet de zojuist gemaakte certificaat-ID weergeven.

Volg hetzelfde proces om het Global Manager-certificaat te vervangen, maar verander "LOCAL_MANAGER" in "GLOBAL_MANAGER" en voer de procedure uit vanuit het Global Manager-cluster.

Zie VMware-documenten voor meer informatie:

• Typen certificaten 
• De Global Manager en lokale managers configureren
• Replace Certificates on Version 3.2 
• Certificaten vervangen op versie 3.1
• Een aanvraagbestand voor certificaatondertekening maken