Après l'installation de NSX, les nœuds de gestionnaire et le cluster ont des certificats auto-signés. Remplacez les certificats auto-signés par des certificats signés par une autorité de certification et utilisez un seul certificat signé par une autorité de certification commune avec un SAN (Subject Alternative Name) qui correspond aux noms de domaine complets et aux adresses IP de tous les nœuds et VIP du cluster. Vous ne pouvez exécuter qu'une seule opération de remplacement de certificat à la fois.
Si vous utilisez NSX Federation, vous pouvez remplacer les certificats d'API GM, le certificat de cluster GM, les certificats d'API LM et les certificats de cluster LM à l'aide des API suivantes.
À partir de NSX Federation 4.1, vous pouvez remplacer le certificat auto-signé utilisé pour la communication GM-LM. En outre, le certificat Gestionnaire global génère désormais le certificat Gestionnaire local au moment de l'enregistrement du Gestionnaire local. Le certificat Gestionnaire local n'est plus un certificat par défaut.
Lorsque vous remplacez le certificat Gestionnaire global ou Gestionnaire local, le gestionnaire de sites les envoie à tous les autres sites fédérés, de sorte que la communication reste intacte.
- les nœuds NSX dans le cluster ;
- dans la NSX Federation ;
- entre le NSX Manager et NSX Edge ;
- entre l'agent NSX Manager et NSX ;
- La communication REST API NSX Manager (externe).
Vous pouvez également remplacer les certificats d'identité de principal de plate-forme créés automatiquement pour le Gestionnaire global et les dispositifs Gestionnaire local. Reportez-vous à Certificats pour NSX et NSX Federation pour plus d'informations sur les certificats auto-signés configurés automatiquement pour NSX Federation.
Conditions préalables
- Vérifiez qu'un certificat est disponible dans le dispositif NSX Manager. Notez que sur un gestionnaire global en veille, l'opération d'importation de l'interface utilisateur est désactivée. Pour plus d'informations sur la commande d'importation REST API d'un Gestionnaire global en veille, reportez-vous à Importer un certificat auto-signé ou signé par une autorité de certification.
- Le certificat de serveur doit contenir l'extension des contraintes de base
basicConstraints = CA:FALSE
. - Vérifiez que le certificat est valide en effectuant l'appel d'API suivant :
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate
- Ayez votre chaîne d'ID de nœud disponible, le cas échéant. Pour obtenir de l'aide sur la localisation de ces informations à l'aide de l'interface utilisateur ou de la CLI, reportez-vous à Recherche d'ID de nœud pour les appels d'API de certificat.