用户导入的 CA 签名证书已过期

您导入的 CA 签名证书已过期。

问题

您导入到 NSX Manager 设备主机的 CA 签名证书已过期，您无法继续使用 NSX Application Platform。您必须委派一个自签名 CA 签名证书才能继续使用 NSX Application Platform 及其托管的 NSX 功能。

原因

CA 签名证书的默认过期时间为 825 天。系统自签名证书自动进行续订。如果导入自定义 CA 签名证书，则需要维护该证书的生命周期。如果您忘记续订该证书，NSX Application Platform 和 NSX Manager Unified Appliance 之间的连接将中断，您无法继续使用 NSX Application Platform 及其托管的 NSX 功能。

解决方案

1. 以 root 用户身份登录到 NSX Manager 设备。
2. 在 NSX Manager 命令提示符下，使用以下 kubectl 命令委派一个自签名 CA 签名证书。

   system prompt> kubectl patch certificate ca-cert -n cert-manager --type='json' -p='[{"op": "replace", "path": "/spec/secretName", "value":"ca-key-pair"}]'

3. 等待大约 30 秒，然后在 NSX Manager 系统提示符下输入以下 kubectl 和 cat 命令以导出输出证书（每次导出一个）。

   system prompt> kubectl get secret -n nsxi-platform egress-tls-cert -o=jsonpath='{.data.tls\.crt}' | base64 -d - > tls.crt
   system prompt> kubectl get secret -n nsxi-platform egress-tls-cert -o=jsonpath='{.data.ca\.crt}' | base64 -d - > ca.crt
   system prompt> cat tls.crt ca.crt > egress.crt

4. 使用用户界面将 egress.crt 导入到 NSX Manager 设备并获取证书 UUID。
   1. 从浏览器中，使用企业管理员特权登录到 NSX Manager，网址为 https://<nsx-manager-ip-address>。
   2. 导航到系统 > 证书，单击导入，然后从下拉菜单中选择证书。
   3. 输入证书的名称。
   4. 将服务证书设置为否。
   5. 在证书内容文本框中，粘贴您在上一步中创建的 egress.crt 文件的内容。
   6. 单击保存。
   7. 在“证书”表中，展开新添加的证书的行并复制证书 ID 值。
5. 返回到 NSX Manager 设备 root 用户会话，在系统提示符下使用以下 curl 命令获取 PricinpleIdentity cloudnative_platform_egress UUID。

   system prompt> curl -ku 'admin:yourAdminPassword' https://127.0.0.1/api/v1/trust-management/principal-identities

6. 在系统提示符下，使用以下 curl 命令将 PrincipleIdentity 与导入的证书 ID 绑定在一起。

   curl -ku 'admin:yourAdminPassword' https://127.0.0.1/api/v1/trust-management/principal-identities?action=update_certificate -X POST -H "Content-Type: application/json" -H "X-Allow-Overwrite: true" -d '{"principal_identity_id": "<PI-UUID>", "certificate_id": "<EGRESS-CERT-ID>"}'