Después de instalar NSX, el clúster y los nodos de NSX Manager tendrán certificados autofirmados. Reemplace los certificados autofirmados por certificados firmados por una entidad de certificación y utilice el mismo certificado firmado por una entidad de certificación con un SAN (nombre alternativo del sujeto) que coincida con todos los FQDN y las IP de todos nodos y la VIP del clúster. Solo puede ejecutar una operación de reemplazo de certificados a la vez.
Si utiliza Federación de NSX, puede reemplazar los certificados de API de GM, el certificado de clúster de GM, los certificados de API de LM y los certificados de clúster de LM mediante las API siguientes.
A partir de Federación de NSX 4.1, es posible reemplazar el certificado autofirmado utilizado para la comunicación GM-LM. Además, el certificado de Administrador global ahora genera el certificado de Administrador local en el momento en que se registra el Administrador local. El certificado de Administrador local ya no es un certificado predeterminado.
Al reemplazar el certificado del Administrador global o el Administrador local, el administrador del sitio los enviará a los demás sitios federados, por lo que la comunicación permanece intacta.
- entre los nodos de NSX en el clúster.
- en Federación de NSX.
- de NSX Manager a NSX Edge.
- de NSX Manager al agente de NSX.
- de la REST API de NSX Manager (externa).
También puede reemplazar los certificados de identidad principal de la plataforma creados automáticamente para el Administrador global y los dispositivos de Administrador local. Consulte Certificados para NSX y Federación de NSX para obtener más información sobre los certificados autofirmados configurados automáticamente para Federación de NSX.
Requisitos previos
- Compruebe que haya un certificado disponible en NSX Manager. Tenga en cuenta que en los Global Manager en espera, la operación de importación de la interfaz de usuario está desactivada. Para obtener más información sobre el comando de REST API de importación para un Administrador global en espera, consulte Importar un certificado autofirmado o firmado por una entidad de certificación.
- El certificado del servidor debe contener la extensión de restricciones básica
basicConstraints = CA:FALSE
. - Compruebe que el certificado sea válido realizando la siguiente llamada API:
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate
- Si es necesario, tenga disponible la cadena del identificador de nodo. Para obtener ayuda sobre cómo encontrar esta información mediante la interfaz de usuario o la CLI, consulte Buscar identificadores de nodo para llamadas API de certificado.