安装 NSX 后，管理器节点和集群具有自签名证书。您可以选择将 API 和 MGMT_CLUSTER（也称为 VIP）自签名证书替换为包含一个 SAN（主体备用名称）的通用 CA 签名证书，该 SAN 应匹配所有节点的 FQDN 和 IP 以及集群的 VIP。一次只能运行一个证书替换操作。
如果使用的是 NSX 联合，可通过以下 API 替换 GM API 证书、GM MGMT_CLUSTER（也称为 VIP）证书、LM API 证书和 LM MGMT_CLUSTER（也称为 VIP）证书。
从 NSX 联合 4.1 开始，可以替换用于 GM-LM 通信的自签名证书。
替换 GLOBAL_MANAGER 或 LOCAL_MANAGER 证书时，站点管理器会将这些证书发送到所有其他联合站点，因此通信保持不变。
现在，可以使用或替换密码套件 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 以在以下两者之间进行通信：
- 集群内的 NSX 节点。
- NSX 联合 内。
- NSX Manager 到 NSX Edge。
- NSX Manager 到 NSX 代理。
- NSX Manager REST API 通信（外部）。
您还可以替换 GLOBAL_MANAGER 和 LOCAL_MANAGER 证书。有关为 NSX 联合自动配置的自签名证书的详细信息，请参见NSX 和 NSX 联合 的证书。
从 NSX 4.2 开始，每个管理器和 VIP 上的 API 服务均共享同一证书。您还可以通过运行以下“批量替换”API 来批量替换共享的证书。POST https://{{ip}}/api/v1/trust-management/certificates/action/batch-replace
{
"certificate_replacements": [
{
"old_certificate_id": "fe3d2623-df43-4757-8018-b1d8223a1475"
"new_certificate_id": "66370296-cacf-45a7-9912-6e2718df87bb"
}
]
}
或者，也可通过运行以下过程中提到的“应用证书”API，将每个 API 服务和 VIP 服务替换为它们自己独有的证书。
无论批量替换还是通过应用证书 API 来替换，都应在管理器集群形成后执行，因为从 NSX 4.2 开始，加入管理器的 API 证书将替换为要加入的集群的 MGMT_CLUSTER（也称为 VIP）证书。
前提条件
- 确认在 NSX Manager 中具有一个证书。请注意，在备用全局管理器上，将停用 UI 导入操作。有关备用全局管理器的导入 REST API 命令的详细信息，请参阅导入自签名证书或 CA 签名证书。
- 服务器证书必须包含基本限制扩展
basicConstraints = CA:FALSE。 - 通过进行以下 API 调用来验证证书是否有效：
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate - 如果需要，请提供您的节点 ID 字符串。有关使用 UI 或 CLI 查找此信息的帮助，请参阅查找证书 API 调用的节点 ID。
注： 请勿使用自动脚本同时替换多个证书。可能会出现错误。
