更新 NSX Manager 叢集的 API 服務組態

您可以修改 NSX Manager 叢集的 API 服務內容，例如 TLS 通訊協定版本與加密套件等。

從 4.2 開始，依預設，TLS 1.1 密碼會停用，但使用者可透過下列程序來啟用。TLS 1.1 支援的密碼包括：

• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_128_CBC_SHA
• TLS_RSA_WITH_AES_256_CBC_SHA

TLS 1.2 支援的密碼包括：

• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_RSA_WITH_AES_128_CBC_SHA
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

TLS 1.3 支援的密碼包括：

• TLS_AES_128_GCM_SHA256
• TLS_AES_256_GCM_SHA384
• TLS_CHACHA20_POLY1305_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (從 NSX 4.2 開始支援)

下列程序說明執行 NSX API 服務呼叫以啟用 TLS 1.1 通訊協定，以及在 API 服務組態中啟用或停用加密套件的工作流程。依預設，會停用 TLS 1.1。您可以使用這項相同程序，視需要停用其他 TLS 版本。請注意，NSX 支援最低和最高版本，因此支援 TLS 1.1 和 TLS 1.3，但不支援 TLS 1.2。例如，可以支援 TLS 1.1 和 TLS 1.2，或 TLS 1.2 和 TLS 1.3。

如需關於 API 結構描述、範例要求、範例回應，以及 NSX API 服務之錯誤訊息的詳細資訊，請閱讀NSX API 指南。

程序

1. 執行下列 GET API 以讀取 NSX API 服務的組態：
   GET https://<NSX-Manager-IP>/api/v1/cluster/api-service
   API 回應會包含加密套件和 TLS 通訊協定的清單。請注意，未列出 TLS 1.0 支援。

   curl -u admin:${PASSWORD} -i -k https://$IP/api/v1/cluster/api-service  "protocol_versions" : [ {
       "name" : "TLSv1.1",
       "enabled" : false
     }, {
       "name" : "TLSv1.2",
       "enabled" : true
     }, {
       "name" : "TLSv1.3",
       "enabled" : true
     } ],

2. 
   

   curl -u admin:${PASSWORD} -i -k https://$IP/api/v1/cluster/api-service
   {
     "global_api_concurrency_limit": 199,
     "client_api_rate_limit": 100,
     "client_api_concurrency_limit": 40,
     "connection_timeout": 30,
     "redirect_host": "",
     "cipher_suites": [
       {"enabled": true, "name": "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"},
       {"enabled": true, "name": "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384"},
       {"enabled": true, "name": "TLS_RSA_WITH_AES_256_GCM_SHA384"},
       {"enabled": true, "name": "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"},
       {"enabled": true, "name": "TLS_RSA_WITH_AES_128_GCM_SHA256"}
       {"enabled": true, "name": "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384}",
       {"enabled": true, "name": "TLS_RSA_WITH_AES_256_CBC_SHA256"},
       {"enabled": true, "name": "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA"},
       {"enabled": true, "name": "TLS_RSA_WITH_AES_256_CBC_SHA"},
       {"enabled": true, "name": "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256"},
       {"enabled": true, "name": "TLS_RSA_WITH_AES_128_CBC_SHA256"},
       {"enabled": false, "name": "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA"},
       {"enabled": false, "name": "TLS_RSA_WITH_AES_128_CBC_SHA"}
       {"enabled": false, "name": "TLS_RSA_WITH_AES_128_CBC_SHA"}         
     ],
     "protocol_versions": [
       {"enabled": false, "name": "TLSv1.1"},
       {"enabled": true, "name": "TLSv1.2"}
       {"enabled": true, "name": "TLSv1.3"}]
   }

3. 啟用或停用 TLS 1.1 通訊協定。
   1. 若要啟用 TLS 版本，舉例來說，可將 TLSv1.1 設定為 enabled = true。若要停用 TLS 版本，請將 TLS 版本設定為 enabled = false。
   2. 執行下列 PUT API，將變更傳送至 NSX API 伺服器：
      PUT https://<NSX-Manager-IP>/api/v1/cluster/api-service
4. 啟用或停用加密套件。
   1. 根據您的需求，將一或多個加密名稱設定為 enabled = true 或 enabled = false。
   2. 執行下列 PUT API，將變更傳送至 NSX API 伺服器：
      PUT https://<NSX-Manager-IP>/api/v1/cluster/api-service
5. 確認已完成啟用。

結果

每個 NSX Manager 節點上的 API 服務在使用 API 更新後，都會重新啟動。從 API 呼叫完成到新組態生效，最多可能會有一分鐘的延遲。API 服務組態中的變更會套用至 NSX Manager 叢集中的所有節點。