您可以發出 API 呼叫，取代管理程式節點的憑證或管理程式叢集虛擬 IP (VIP)。

安裝 NSX-T Data Center 之後，管理程式節點和叢集會具有自我簽署的憑證。建議您使用 CA 簽署的憑證取代自我簽署憑證，並使用單一通用的 CA 簽署憑證搭配符合所有節點和叢集 VIP 的 SAN (主體替代名稱) 清單。如需系統所設定預設自我簽署憑證的詳細資料，請參閱憑證類型。

如果您使用的是聯盟，則可以使用下列 API 取代全域管理程式節點、全域管理程式叢集、本機管理程式節點和本機管理程式叢集憑證。您也可以取代針對全域管理程式和本機管理程式應用裝置自動建立的平台主體身分識別憑證。請參閱NSX 聯盟的憑證以取得自動設定聯盟的自我簽署憑證詳細資料。

必要條件

  • 確認 NSX Manager 中可以使用憑證。請參閱匯入自我簽署的憑證或 CA 簽署的憑證。
  • 伺服器憑證必須包含基本限制延伸 basicConstraints = cA:FALSE。
  • 透過進行下列 API 呼叫，確認憑證有效：

    GET https://<nsx-mgr>/api/v1/trust-management/certificates/<certificate-id>?action=validate

程序

  1. 從瀏覽器以管理員權限登入 NSX Manager，網址為 https://<nsx-manager-ip-address>。
  2. 選取系統 > 憑證。
  3. 在識別碼資料行中，按一下所要使用憑證的識別碼，然後複製快顯視窗中的憑證識別碼。
    請確保匯入此憑證時，選項 服務憑證 已設定為 否。
  4. 若要取代管理程式節點的憑證，請使用 POST /api/v1/node/services/http?action=apply_certificate API 呼叫。例如，
    POST https://<nsx-mgr>/api/v1/node/services/http?action=apply_certificate&certificate_id=e61c7537-3090-4149-b2b6-19915c20504f

    附註：憑證鏈結必須採用「憑證 - 中繼 - 根」的業界標準順序。

    如需 API 的詳細資訊，請參閱《NSX-T Data Center API 參考》。

  5. 若要取代管理程式叢集 VIP 的憑證，請使用 POST /api/v1/cluster/api-certificate?action=set_cluster_certificate API 呼叫。例如，
    POST https://<nsx-mgr>/api/v1/cluster/api-certificate?action=set_cluster_certificate&certificate_id=d60c6a07-6e59-4873-8edb-339bf75711ac

    附註：憑證鏈結必須採用「憑證 - 中繼 - 根」的業界標準順序。

    如需 API 的詳細資訊，請參閱《NSX-T Data Center API 參考》。如果您未設定 VIP，則不需要此步驟。

  6. (選擇性) 若要取代聯盟的主體身分識別憑證，請使用 API 呼叫：POST https://<nsx-mgr>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation。例如： 
    POST https://<nsx-mgr>/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation 
{ "cert_id": "<id>", 
"service_type": "LOCAL_MANAGER" }
  7. (選擇性) 如果您的 NSX Manager 叢集目前已部署 NSX Intelligence 應用裝置，則必須更新 NSX Intelligence 應用裝置上的 NSX Manager 節點 IP、憑證和指紋資訊。如需詳細資訊，請參閱 VMware 知識庫文章 https://kb.vmware.com/s/article/78505。