Le système crée des certificats requis pour la communication entre les dispositifs NSX et la communication externe, y compris les dispositifs Fédération NSX.

Pour remplacer des certificats auto-signés existants par des certificats signés par une autorité de certification, reportez-vous aux détails dans Remplacer des certificats. Pour en savoir plus sur les événements de conformité de sécurité, reportez-vous au Catalogue d'événements NSX.

Tableau 1. Certificats pour des instances de NSX Manager
Convention de dénomination des certificats Objectif Remplaçable à l'aide de service_type Validité par défaut
APH-AR Clé publique du serveur APH (Appliance Proxy Hub) et module de réplication asynchrone Oui, utilisez service_type=APH. 825 jours
APH-TN Certificat APH (Appliance Proxy Hub) pour le nœud de transport (TN) et la communication intra-cluster Oui, utilisez service_type=APH_TN. 825 jours
API (alias Tomcat) Certificat de serveur API pour le nœud NSX Manager Oui, utilisez service_type=API. 825 jours
Client API-Corfu Certificat client Corfu Oui, utilisez service_type=CBM_API. 100 ans
Client AR-Corfu Certificat client Corfu Oui, utilisez service_type=CBM_AR. 100 ans
Client CCP-Corfu Certificat client Corfu du plan de configuration de contrôle Oui, utilisez service_type=CBM_CCP. 100 ans
Cluster (alias mp-cluster) Certificat client Corfu Oui, utilisez service_type=MGMT_CLUSTER. 825 jours
Gestionnaire de cluster Corfu Certificat client Corfu Oui, utilisez service_type=CBM_CLUSTER_MANAGER. 100 ans
Client Inventaire-Corfu CM Certificat client Corfu

Oui, utilisez service_type=CBM_CM_INVENTORY.

 100 ans
Serveur Corfu Certificat client Corfu Oui, utilisez service_type=CBM_CORFU. 100 ans
Rapports IDPS - Client Corfu Certificat client Corfu Oui, utilisez service_type=CBM_IDPS_REPORTING. 100 ans
Gestionnaire de messagerie - Client Corfu Certificat client Corfu Oui, utilisez service_type=CBM_MESSAGING_MANAGER. 100 ans
Surveillance - Client Corfu Certificat client Corfu Oui, utilisez service_type=CBM_MONITORING. 100 ans
Client MP-Corfu Certificat client Corfu Oui, utilisez service_type=CBM_MP. 100 ans
Gestionnaire de site- Client Corfu Certificat client Corfu Oui, utilisez service_type=CBM_SITE_MANAGER 100 ans
Coordinateur de mise à niveau - Client Corfu Certificat client Corfu Oui, utilisez service_type=CBM_UPGRADE_COORDINATOR. 100 ans

Certificats pour la communication de Fédération NSX

Par défaut, le Gestionnaire global utilise des certificats auto-signés pour communiquer avec des composants internes, des Gestionnaire local enregistrés et pour l'authentification pour l'interface utilisateur ou des API NSX Manager.

Vous pouvez afficher les certificats externes (UI/API) et inter-sites dans NSX Manager. Les certificats internes ne sont pas visibles ou modifiables.

Note : N'activez pas l'adresse IP virtuelle externe de Gestionnaire local avant d'enregistrer le Gestionnaire local sur le Gestionnaire global. Lorsque Fédération NSX et PKS doivent être utilisés sur le même Gestionnaire local, terminez les tâches PKS pour créer un VIP externe et changer le certificat Gestionnaire local avant l'enregistrement de Gestionnaire local sur Gestionnaire global.

Certificats pour les Gestionnaire global et les Gestionnaire local

Une fois que vous avez ajouté un Gestionnaire local au Gestionnaire global, une approbation est établie en échangeant des certificats entre Gestionnaire local et Gestionnaire global. Ces certificats sont également copiés dans chacun des sites enregistrés dans le Gestionnaire global. À partir de NSX 4.1.0, le certificat utilisé pour établir une relation de confiance avec le Gestionnaire global est généré uniquement lorsque le Gestionnaire local s'enregistre dans le Gestionnaire global. Ce même certificat est supprimé si Gestionnaire local sort de l'environnement Fédération NSX.

Reportez-vous au tableau Certificats pour les gestionnaires globaux et les gestionnaires locaux pour obtenir la liste de tous les certificats spécifiques Fédération NSX créés pour chaque dispositif et les certificats que ces dispositifs échangent entre eux :

Tableau 2. Certificats pour les Gestionnaire global et les Gestionnaire local
Convention de nommage dans le Gestionnaire global ou le Gestionnaire local Objectif Remplaçable ? Validité par défaut
Les certificats suivants sont spécifiques à chaque dispositif Fédération NSX.
APH-AR certificate
  • Pour le Gestionnaire global et chaque Gestionnaire local.
  • Utilisé pour la communication inter-sites à l'aide du canal AR (canal asynchrone-réplicateur).
 Oui, utilisez service_type=APH. Reportez-vous à la section Remplacer des certificats. 10 ans
GlobalManager
  • Pour le Gestionnaire global.
  • Certificat PI pour le Gestionnaire global.
 Oui, utilisez service_type=GLOBAL_MANAGER. Consultez Remplacer des certificats. 825 jours
Cluster certificate
  • Pour le Gestionnaire global et chaque Gestionnaire local.
  • Utilisé pour la communication avec l'interface utilisateur/API avec l'adresse IP virtuelle du Gestionnaire global ou du cluster du Gestionnaire local.
Oui, utilisez service_type=MGMT_CLUSTER. Consultez Remplacer des certificats. 825 jours
API certificate
  • Pour le Gestionnaire global et chaque Gestionnaire local.
  • Utilisé pour la communication avec l'interface utilisateur/API avec des nœuds de Gestionnaire global et Gestionnaire local individuels pour chacun des emplacements ajoutés au Gestionnaire global.
Oui, utilisez service_type=API. Reportez-vous à la section Remplacer des certificats. 825 jours
LocalManager
  • À partir de NSX 4.1, génère uniquement lorsque des serveurs Gestionnaire local se trouvent dans l'environnement Fédération NSX. Le certificat est supprimé si le Gestionnaire local sort de l'environnement Fédération NSX .
  • Certificat PI pour ce Gestionnaire local spécifique.
Oui, utilisez service_type=LOCAL_MANAGER. Reportez-vous à la section Remplacer des certificats. 825 jours
Le LM et le GM partagent leurs certificats de cluster, d'API et APH-AR entre eux. Si un certificat est signé par une autorité de certification, l'autorité de certification est synchronisée mais pas le certificat.

Utilisateurs d'identité de principal (PI) pour Fédération NSX

Après avoir ajouté un Gestionnaire local au Gestionnaire global, les utilisateurs PI suivants avec les rôles correspondants sont créés.
Tableau 3. Utilisateurs d'identité de principal (PI) créés pour Fédération NSX
Dispositif Fédération NSX Nom d'utilisateur PI Rôle d'utilisateur PI
Gestionnaire global LocalManagerIdentity

Un pour chaque Gestionnaire local enregistré avec ce Gestionnaire global.

 Auditeur
Gestionnaire local GlobalManagerIdentity Administrateur d'entreprise
LocalManagerIdentity
Un pour chaque Gestionnaire local enregistré avec le même Gestionnaire global. Pour obtenir une liste de tous les utilisateurs PI Gestionnaire local, car ils ne sont pas visibles dans l'interface utilisateur, entrez la commande API suivante : 
GET https://<local-mgr>/api/v1/trust-management/principal-identities
Auditeur