NSX를 설치하면 관리자 노드 및 클러스터에 자체 서명된 인증서가 생깁니다. 자체 서명된 인증서를 CA 서명 인증서로 대체하고 클러스터의 모든 노드의 FQDN 및 IP와 클러스터의 VIP와 일치하는 단일 공통 CA 서명 인증서를 SAN(주체 대체 이름)과 함께 사용합니다. 한 번에 하나의 인증서 교체 작업만 실행할 수 있습니다.
NSX 페더레이션을 사용하는 경우 다음 API를 사용하여 GM API 인증서, GM 클러스터 인증서, LM API 인증서 및 LM 클러스터 인증서를 대체할 수 있습니다.
NSX 페더레이션 4.1부터 GM-LM 통신에 사용되는 자체 서명된 인증서를 교체할 수 있습니다. 또한 글로벌 관리자 인증서는 이제 로컬 관리자가 등록될 때 로컬 관리자 인증서를 생성합니다. 로컬 관리자 인증서는 더 이상 기본 인증서가 아닙니다.
글로벌 관리자 또는 로컬 관리자 인증서를 교체하는 경우 사이트 관리자는 이러한 인증서를 다른 모든 페더레이션된 사이트로 전송하므로 통신이 그대로 유지됩니다.
이제 다음 사이의 통신에 대해 암호 그룹 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384를 사용하거나 교체할 수 있습니다.
- 클러스터에 있는 NSX 노드
- NSX 페더레이션 내에서
- NSX Edge에서 NSX Manager로
- NSX Manager에서 NSX 에이전트로
- NSX Manager REST API 통신(외부)
글로벌 관리자 및 로컬 관리자 장치에 대해 자동으로 생성된 플랫폼 주체 ID 인증서를 교체할 수도 있습니다. NSX 페더레이션을 위해 자동으로 구성된 자체 서명된 인증서에 대한 자세한 내용은 NSX 및 NSX 페더레이션에 대한 인증서 항목을 참조하십시오.
사전 요구 사항
- NSX Manager에서 인증서를 사용할 수 있는지 확인합니다. 대기 글로벌 관리자에서 UI 가져오기 작업이 비활성화됩니다. 대기 글로벌 관리자에 대한 가져오기 REST API 명령에 대한 자세한 내용은 자체 서명된 인증서 또는 CA 서명된 인증서 가져오기 항목을 참조하십시오.
- 서버 인증서에는 기본 제약 조건 확장
basicConstraints = CA:FALSE
가 포함되어야 합니다. - 다음 API 호출을 수행하여 인증서가 유효한지 확인합니다.
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate
- 필요한 경우 노드 ID 문자열을 사용할 수 있습니다. UI 또는 CLI를 사용하여 이 정보를 찾는 데 도움을 얻으려면 인증서 API 호출에 대한 노드 ID 찾기 항목을 참조하십시오.
참고: 자동화된 스크립트를 사용하여 여러 인증서를 동시에 교체하지 마십시오. 오류가 발생할 수 있습니다.