为负载均衡器配置全局 FIPS 合规性模式

有一个全局设置，用于配置负载均衡器的 FIPS 合规性。默认情况下，将禁用该设置以提高性能。

更改负载均衡器的 FIPS 合规性全局配置会影响新的负载均衡器实例，但不会影响任何现有的负载均衡器实例。

如果将负载均衡器的 FIPS 全局设置 (lb_fips_enabled) 设为 true，则新的负载均衡器实例将使用符合 FIPS 140-2 的模块。现有负载均衡器实例可能使用的是不合规的模块。

要使所做的更改在现有负载均衡器上生效，必须从 tier-1 网关中分离并重新连接负载均衡器。

您可以使用 GET /policy/api/v1/compliance/status 检查负载均衡器的全局 FIPS 合规性状态。

        ...
        {
            "non_compliance_code": 72024,
            "description": "Load balancer FIPS global setting is disabled.",
            "reported_by": {
                "target_id": "971ca477-df1a-4108-8187-7918c2f8c3ba",
                "target_display_name": "971ca477-df1a-4108-8187-7918c2f8c3ba",
                "target_type": "FipsGlobalConfig",
                "is_valid": true
            },
            "affected_resources": [
                {
                    "path": "/infra/lb-services/LB_Service",
                    "target_id": "/infra/lb-services/LB_Service",
                    "target_display_name": "LB_1",
                    "target_type": "LBService",
                    "is_valid": true
                }
            ]
        },
        ...

注：合规性报告将显示负载均衡器的 FIPS 合规性全局设置。任何给定的负载均衡器实例都可以具有与全局设置不同的 FIPS 合规性状态。

过程

检索负载均衡器的全局 FIPS 设置。

GET https://nsx-mgr1/policy/api/v1/infra/global-config

响应正文示例：

{
    "fips": {
        "lb_fips_enabled": false
    },
    "resource_type": "GlobalConfig",
    "id": "global-config",
    "display_name": "global-config",
    "path": "/infra/global-config",
    "relative_path": "global-config",
    "marked_for_delete": false,
    "_create_user": "system",
    "_create_time": 1561225479619,
    "_last_modified_user": "admin",
    "_last_modified_time": 1561937915337,
    "_system_owned": true,
    "_protection": "NOT_PROTECTED",
    "_revision": 2
}

更改负载均衡器的全局 FIPS 设置。

在创建新的负载均衡器实例时，将使用该全局设置。更改该设置不会影响现有的负载均衡器实例。

PUT https://nsx-mgr1/policy/api/v1/infra/global-config

请求正文示例：

{
    "fips": {
        "lb_fips_enabled": true
    },
    "resource_type": "GlobalConfig",
    "_revision": 2
}

响应正文示例：

{
    "fips": {
        "lb_fips_enabled": true
    },
    "resource_type": "GlobalConfig",
    "id": "global-config",
    "display_name": "global-config",
    "path": "/infra/global-config",
    "relative_path": "global-config",
    "marked_for_delete": false,
    "_create_user": "system",
    "_create_time": 1561225479619,
    "_last_modified_user": "admin",
    "_last_modified_time": 1561937960950,
    "_system_owned": true,
    "_protection": "NOT_PROTECTED",
    "_revision": 3
}

如果您希望任何现有的负载均衡器实例使用此全局设置，则必须从 tier-1 网关中分离并重新连接负载均衡器。

小心：从 tier-1 网关中分离负载均衡器会导致负载均衡器实例出现流量中断。
1. 导航到网络 > 负载均衡。
2. 在要分离的负载均衡器上，单击三个圆点菜单 ()，然后单击编辑。
3. 单击，然后单击保存以从 tier-1 网关中分离该负载均衡器。
4. 单击三个圆点菜单 ()，然后单击编辑。
5. 从 Tier-1 网关下拉菜单中选择正确的网关，然后单击保存以将该负载均衡器重新连接到 tier-1 网关。