安裝 NSX 之後，管理程式節點和叢集會具有自我簽署的憑證。您可以選擇性地將 API 和 MGMT_CLUSTER (也稱為 VIP) 自我簽署憑證更換為包含一個 SAN (主體替代名稱) 的通用 CA 簽署憑證，該 SAN 應符合所有節點的 FQDN 和 IP 以及叢集的 VIP。一次只能執行一項憑證更換作業。
如果使用的是 NSX 聯盟，可透過以下 API 更換 GM API 憑證、GM MGMT_CLUSTER (也稱為 VIP) 憑證、LM API 憑證和 LM MGMT_CLUSTER (也稱為 VIP) 憑證。
從 NSX 聯盟 4.1 開始，您可以更換用於 GM-LM 通訊的自我簽署憑證。
更換 GLOBAL_MANAGER 或 LOCAL_MANAGER 憑證時，站台管理程式會將這些憑證傳送到其他所有聯盟站台，因此通訊保持不變。
現在可以使用或更換加密套件 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384，在以下兩者之間進行通訊：
- 叢集內的 NSX 節點。
- NSX 聯盟 內。
- NSX Manager 至 NSX Edge。
- NSX Manager 至 NSX 代理程式。
- NSX Manager REST API 通訊 (外部)。
您還可以更換 GLOBAL_MANAGER 和 LOCAL_MANAGER 憑證。請參閱NSX 和 NSX 聯盟的憑證，以進一步瞭解為 NSX 聯盟自動設定的自我簽署憑證。
從 NSX 4.2 開始，每個管理程式和 VIP 上的 API 服務均共用同一個憑證。您還可以透過執行以下「批次更換」API 來大量更換共用的憑證。POST https://{{ip}}/api/v1/trust-management/certificates/action/batch-replace
{
"certificate_replacements": [
{
"old_certificate_id": "fe3d2623-df43-4757-8018-b1d8223a1475"
"new_certificate_id": "66370296-cacf-45a7-9912-6e2718df87bb"
}
]
}
或者，您也可以透過執行以下程序中提到的 [套用憑證] API，將每個 API 服務和 VIP 服務更換為它們自己唯一的憑證。
無論是透過批次更換還是套用憑證 API 來更換，都應在管理程式叢集形成後執行，因為從 NSX 4.2 開始，加入管理程式的 API 憑證將更換為要加入叢集的 MGMT_CLUSTER (也稱為 VIP) 憑證。
必要條件
- 確認 NSX Manager 中可以使用憑證。請注意，在待命全域管理程式上，會停用 UI 匯入作業。如需適用於待命全域管理員的匯入 REST API 命令的詳細資料，請參閱匯入自我簽署的憑證或 CA 簽署的憑證。
- 伺服器憑證必須包含基本限制延伸
basicConstraints = CA:FALSE。 - 透過進行下列 API 呼叫，確認憑證有效：
GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate - 如果需要，請提供您的節點識別碼字串。如需有關使用 UI 或 CLI 搜尋此資訊的説明，請參閱尋找憑證 API 呼叫的節點識別碼。
備註： 請勿使用自動指令碼來同時更換多份憑證。可能會發生錯誤。
