Después de instalar NSX, el clúster y los nodos de NSX Manager tendrán certificados autofirmados. Opcionalmente, puede reemplazar los certificados autofirmados MGMT_CLUSTER (VIP) y de API por certificados firmados por una entidad de certificación común con un SAN (nombre alternativo del sujeto) que coincida con todos los FQDN y las IP de todos nodos y la VIP del clúster. Solo puede ejecutar una operación de reemplazo de certificados a la vez.
Si utiliza Federación de NSX, puede reemplazar los certificado API de GM, el certificado MGMT_CLUSTER (VIP) de GM, los certificado API de LM y los certificados MGMT_CLUSTER (VIP) de LM mediante las siguientes API.
A partir de Federación de NSX 4.1, es posible reemplazar un certificado autofirmado que se utilice para la comunicación GM-LM.
Al reemplazar el certificado GLOBAL_MANAGER o LOCAL_MANAGER, el administrador del sitio los enviará a los demás sitios federados, por lo que la comunicación permanece intacta.
- entre nodos de NSX dentro de un clúster.
- dentro de Federación de NSX.
- de NSX Manager a NSX Edge.
- de NSX Manager al agente de NSX.
- de REST API de NSX Manager (externa).
También puede reemplazar los certificados GLOBAL_MANAGER y LOCAL_MANAGER. Consulte Certificados para NSX y Federación de NSX para obtener más información sobre los certificados autofirmados configurados automáticamente para Federación de NSX.
A partir de NSX 4.2, el servicio de API de cada Manager y VIP comparten el mismo certificado. También puede reemplazar en bloque el certificado compartido ejecutando la API 'batch replace'.POST https://{{ip}}/api/v1/trust-management/certificates/action/batch-replace
{
"certificate_replacements": [
{
"old_certificate_id": "fe3d2623-df43-4757-8018-b1d8223a1475"
"new_certificate_id": "66370296-cacf-45a7-9912-6e2718df87bb"
}
]
}
De forma opcional, también puede reemplazar cada servicio de API y el servicio VIP por sus propios certificados únicos ejecutando la API 'apply certificate' mencionada en el siguiente procedimiento.
Las API 'batch replace' y 'apply certificate' deben ejecutarse una vez formado el clúster de Manager, ya que, a partir de NSX 4.2, los certificados de API del administrador de uniones se reemplazarán por los certificados MGMT_CLUSTER (VIP) del clúster que se va a unir.
Requisitos previos
- Compruebe que haya un certificado disponible en NSX Manager. Tenga en cuenta que en los Global Manager en espera, la operación de importación de la interfaz de usuario está desactivada. Para obtener más información sobre el comando de REST API de importación para un Administrador global en espera, consulte Importar un certificado autofirmado o firmado por una entidad de certificación.
- El certificado del servidor debe contener la extensión de restricciones básica
basicConstraints = CA:FALSE. - Compruebe que el certificado sea válido realizando la siguiente llamada API:
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate - Si es necesario, tenga disponible la cadena del identificador de nodo. Para obtener ayuda sobre cómo encontrar esta información mediante la interfaz de usuario o la CLI, consulte Buscar identificadores de nodo para llamadas API de certificado.
