NSX のインストール後、マネージャ ノードとクラスタに自己署名証明書が作成されます。クラスタのすべてのノードと VIP の FQDN と IP アドレスに一致する SAN (Subject Alternative Name) を使用して、API と MGMT_CLUSTER（別名 VIP）の自己署名付き証明書を CA 署名付き証明書に置き換えることもできます。一度に実行できる証明書の置き換え操作は 1 つだけです。
NSX フェデレーション を使用している場合は、GM API 証明書、GM MGMT_CLUSTER（別名 VIP）証明書、LM API 証明書、LM MGMT_CLUSTER（別名 VIP）証明書を置き換えることができます。
NSX フェデレーション 4.1 以降では、GM-LM 通信に使用される自己署名付き証明書を置き換えることができます。
GLOBAL_MANAGER または LOCAL_MANAGER 証明書を置き換えると、サイト マネージャはこれらを他のすべてのフェデレーション サイトに送信します。通信はそのまま維持されます。
- NSX クラスタ内のノード。
- NSX フェデレーション 内。
- NSX Manager から NSX Edge。
- NSX Manager から NSX エージェント。
- NSX Manager REST API 通信（外部）。
GLOBAL_MANAGER 証明書と LOCAL_MANAGER 証明書を置き換えることもできます。NSX フェデレーション用の自己署名証明書の自動構成の詳細については、NSX と NSX フェデレーション の証明書を参照してください。
NSX 4.2 以降では、各マネージャと VIP の API サービスは同じ証明書を共有します。次のバッチ置換 API を実行して、共有証明書を一括置換することもできます。POST https://{{ip}}/api/v1/trust-management/certificates/action/batch-replace
{
"certificate_replacements": [
{
"old_certificate_id": "fe3d2623-df43-4757-8018-b1d8223a1475"
"new_certificate_id": "66370296-cacf-45a7-9912-6e2718df87bb"
}
]
}
必要に応じて、次の手順に記載されている証明書の適用 API を実行して、各 API サービスと VIP サービスを独自の一意の証明書に置き換えることもできます。
マネージャ クラスタの形成後は、バッチの置き換えと適用の両方の証明書 API を実行する必要があります。これは、NSX 4.2 以降では、参加しているマネージャの API 証明書が、参加先のクラスタの MGMT_CLUSTER（別名 VIP）証明書に置き換えられるためです。
前提条件
- NSX Manager で証明書が使用可能であることを確認します。スタンバイ グローバル マネージャでは、ユーザー インターフェイスのインポート操作は無効になります。スタンバイ グローバル マネージャ のインポート REST API コマンドの詳細については、「自己署名証明書または CA 署名付き証明書のインポート」を参照してください。
- サーバ証明書には、基本的な制約拡張機能
basicConstraints = CA:FALSEが含まれている必要があります。 - 次の API 呼び出しを行い、証明書が有効であることを確認します。
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate - 必要に応じて、ノード ID 文字列を使用できるようにします。この情報をユーザー インターフェイスまたは CLI で見つける方法については、「証明書 API 呼び出しのノード ID の検索」を参照してください。
