Remplacer des certificats

Après l'installation de NSX-T Data Center, les nœuds de gestionnaire et le cluster ont des certificats auto-signés. Remplacez les certificats auto-signés par un certificat signé par une autorité de certification et utilisez un seul certificat signé par une autorité de certification commune avec un SAN (Subject Alternative Name) qui correspond à tous les nœuds et VIP du cluster. Vous ne pouvez exécuter qu'une seule opération de remplacement de certificat à la fois.

Si vous utilisez NSX fédération, vous pouvez remplacer les certificats d'API GM, le certificat de cluster GM, les certificats d'API LM et les certificats de cluster LM à l'aide des API suivantes.

Lorsque vous remplacez le certificat gestionnaire global ou gestionnaire local, le gestionnaire de sites les envoie à tous les autres sites fédérés, afin que la communication reste intacte.

La suite de chiffrement TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 peut désormais être utilisée ou remplacée pour la communication entre les éléments suivants :

les nœuds NSX-T Data Center dans le cluster ;
dans la NSX fédération ;
entre NSX Manager et NSX Edge ;
entre NSX Manager et l'agent NSX-T Data Center ;
La communication REST API NSX Manager (externe).

Vous pouvez également remplacer les certificats d'identité de principal de plate-forme créés automatiquement pour le Gestionnaire global et les dispositifs Gestionnaire local. Reportez-vous à Certificats pour NSX fédération pour plus d'informations sur les certificats auto-signés configurés automatiquement pour NSX fédération.

Note : Dans Cloud Service Manager, il n'est pas possible de remplacer le certificat HTTP dans un environnement NSX-T Data Center.

Conditions préalables

Vérifiez qu'un certificat est disponible dans le dispositif NSX Manager. Notez que sur un Gestionnaire global en veille, l'opération d'importation de l'interface utilisateur est désactivée. Pour plus d'informations sur la commande d'importation REST API d'un Gestionnaire global en veille, reportez-vous à Importer un certificat auto-signé ou signé par une autorité de certification.
Le certificat de serveur doit contenir l'extension des contraintes de base basicConstraints = cA:FALSE.
Vérifiez que le certificat est valide en effectuant l'appel d'API suivant :
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate

Note : N'utilisez pas de scripts automatisés pour remplacer plusieurs certificats en même temps. Des erreurs peuvent se produire.

Procédure

Avec des privilèges d'administrateur, connectez-vous à NSX Manager.
Sélectionnez Système > Certificats.
Dans la colonne ID, sélectionnez l'ID du certificat que vous voulez utiliser et copiez l'ID de certificat dans la fenêtre contextuelle.
Assurez-vous que lorsque ce certificat a été importé, l'option Certificat de service a été définie sur Non.
Remarque : la chaîne de certificats doit être dans l'ordre standard suivant : « certificat–intermédiaire–racine ».
Pour remplacer le certificat d'un nœud de gestionnaire, utilisez l'appel d'API :
```
POST /api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=API&node_id=<node-id>
```
Par exemple :

POST https://<nsx-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=API&node_id=e61c7537-3090-4149-b2b6-19915c20504f
Pour plus d'informations sur l'API, reportez-vous au Guide de l'API de NSX-T Data Center.
Pour remplacer le certificat de l'adresse IP virtuelle d'un cluster de gestionnaires, utilisez l'appel d'API :
```
POST /api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=MGMT_CLUSTER
```
Par exemple :

POST https://<nsx-mgr>/api/v1/trust-management/certificates/d60c6a07-6e59-4873-8edb-339bf75711?action=apply_certificate&service_type=MGMT_CLUSTER
Remarque : la chaîne de certificats doit être dans l'ordre standard suivant : certificat–intermédiaire–racine.

Pour plus d'informations sur l'API, reportez-vous au Guide de l'API de NSX-T Data Center. Cette étape n'est pas nécessaire si vous n'avez pas configuré de VIP.
(Facultatif) Pour remplacer les certificats d'identité de principal de Gestionnaire local et de Gestionnaire global pour NSX fédération, utilisez l'appel d'API suivant. L'intégralité du cluster NSX Manager (Gestionnaire local et Gestionnaire global) nécessite un certificat PI unique.

Note : N'utilisez pas cette procédure pour remplacer un certificat expiré. Pour remplacer un certificat expiré, reportez-vous à Ajouter une attribution de rôle ou une identité de principal pour obtenir des instructions. Si vous avez des difficultés à importer un certificat dans un gestionnaire global en veille, reportez-vous à Importer un certificat auto-signé ou signé par une autorité de certification pour obtenir la commande REST API.
```
POST https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=<service-type>
```
Par exemple :
```
POST https://<local-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=LOCAL_MANAGER
```
Ou
```
POST https://<global-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=GLOBAL_MANAGER
```

Pour remplacer les certificats APH-APR, utilisez l'appel d'API :

POST https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=APH

Par exemple :

POST https://<nsx-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be79b?action=apply_certificate&service_type=APH