NSX-T Federation3.2.1证书替换

最新推荐文章于 2025-04-24 09:32:25 发布
最新推荐文章于 2025-04-24 09:32:25 发布
阅读量989 收藏 14
点赞数 27
文章标签： fabric 系统架构 运维 网络安全 云计算
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_52447431/article/details/146014662
版权

NSX Manager证书替换

  1.  目标概述

现网环境NSX-T Federation3.2.1中，自签证书过期，导致GM与LM之间部分组件无法正常连线，但不影响环境中ESXI主机和虚拟机的运行。

  1.  环境信息

过期证书统计：

NameTypeIssued ToIssued ByNumber
8de8*Self signedlocal-managerlocal-manager1
d9e1*Self signedlocal-managerlocal-manager1
b0c1*Self signedglobal-managerglobal-manager1
GlobalManagerSelf signedglobal-managerglobal-manager1
mp-clusterSelf signed cent with private keyabc01-nsxgm.local.comabc01-nsxgm.local.com1
tomcatSelf signed cent with private keyabc01-nsxgm.local.comabc01-nsxgm.local.com1
tomcatSelf signed cent with private keyabc02-nsxgm.local.comabc02-nsxgm.local.com1
tomcatSelf signed cent with private keyabc03-nsxgm.local.comabc03-nsxgm.local.com1
Site certificateSelf signed*12abc01-nsxlm.local.comabc01-nsxlm.local.com2
Site certificateSelf signed*12abc02-nsxlm.local.comabc02-nsxlm.local.com1
Site certificateSelf signed*12abc03-nsxlm.local.comabc03-nsxlm.local.com1
Site certificateSelf signed*12abc01-nsxgm.local.comabc01-nsxgm.local.com2
Site certificateSelf signed*12abc02-nsxgm.local.comabc02-nsxgm.local.com1
Site certificateSelf signed*12abc03-nsxgm.local.comabc03-nsxgm.local.com1
Site certificateSelf signed*12abc01-nsxlm.local.comabc01-nsxlm.local.com2
Site certificateSelf signed*12abc02-nsxlm.local.comabc02-nsxlm.local.com1
Site certificateSelf signed*12abc03-nsxlm.local.comabc03-nsxlm.local.com1

  1.  证书替换思路

  1. 操作之前记录过期证书上的信息。
  2. 操作当天确保已有NSX的有效备份记录。
  3. 替换证书成功之后，暂时保留旧的证书，必要时可以回退，待稳定观察一周后再删除过期证书。
  4. 验证NSX网络、应用访问等业务。

风险及时间评估

影响范围：

根据二线确认替换证书本身不会影响ESXI主机和虚拟机的运行。建议操作前确保有一份成功的NSX备份。

时间预估：

略

证书替换实施（示例）


重置证书需要用到postman工具，然后在进行更新操作

5.1 配置 postman
创建一个新的Environment：
 
添加如下参数：


 


 
应用配置的变量：


 右上角应用配置的变量：
TYPE 选择【Basic Auth】：

 
参考结果：


 
5.2使用GET查看所有证书API：
 

GET https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=validate

本次替换为3.2.1环境


5.3 替换tomcat证书：（也就是类型是API的证书）
 
生成CSR：


 
按照已有的tomcat证书填写，特别注意Commmon Name是nsx manager的FQDN（如果三个nsx manager，那么要为每个nsx manager分别生成。）


生成自签名证书：
 Service Certificate要选No：
新生成的证书在这里：记录下UUID=0a111c12-c628-4aed-8c31-b5de3202xxxx


 
替换证书：
用


POST https://<nsx-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=API&node_id=e61c7537-3090-4149-b2b6-19915c20504f


随后新开页面访问nsx manager，查看证书和证书过期时间，替换成功。


 
成功应用后使用postman get证书的结果：

GET https://<nsx-mgr>/api/v1/trust-management/certificates/0a111c12-c628-4aed-8c31-b5de3202d603


 


5.4替换mp-cluster证书：
照着已有的mp-cluster证书内容填写CSR，再生成自签名证书，使用postman执行如下API，其中ip为nsx manager vip：

POST https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=MGMT_CLUSTER


生成之后但是还没应用的证书：


 
应用之后：


 
5.5替换Local Manager证书：（Local Manager证书用于NSX federation）
照着已有的Local Manager证书内容填写CSR，再生成自签名证书。
 
3.1版本：使用root账户ssh到nsx manager，执行如下curl命令：其中100.80.80.240为nsx manager vip，password替换成admin密码：
curl -k -u 'admin:password' -H "Content-Type: application/json" -X POST  https://100.80.80.42.240/api/v1/trust-management/certificates?action=set_pi_certificate_for_federation -d '{ "cert_id": "233166d4-28b5-407c-b3ce-db31b546a2fb","service_type": "LOCAL_MANAGER"}'
 

3.2版本：

POST https://<local-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=LOCAL_MANAGER

5.6使用API替换GM证书

POST https://<global-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=GLOBAL_MANAGER

证书替换API命令汇总：

使用API替换GM（GlobalManager）证书
POST 
https://<global-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=GLOBAL_MANAGER

使用API替换LM（LocalManager）证书
POST https://<local-mgr>/api/v1/trust-management/certificates/77c5dc5c-6ba5-4e74-a801-c27dc09be76b?action=apply_certificate&service_type=LOCAL_MANAGER

使用API替换集群（mp-cluster）证书
POST 
https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=MGMT_CLUSTER

使用API替换管理节点（tomcat）证书
POST https://<nsx-mgr>/api/v1/trust-management/certificates/<cert-id>?action=apply_certificate&service_type=API&node_id=<node-id> 

回退步骤

将备份还原：

  1. 安装新的 GM-VM，其 IP 地址与丢失的 GM-Loc1-Active 服务器相同。使用 NSX Manager OVA（从而创建 GM-Loc1）。确保先删除活动服务器，然后再执行该安装。有关说明，请参见NSX 安装指南。
  2. 在安装后，访问 UI 并选择系统 > 备份和还原，然后：
  3. 输入存储备份的 SFTP 服务器的信息。
  4. 选择最新的备份文件。
  5. 单击还原
VMware NSX-T Manager 替换证书
AvenjanCSDN博客
02-21 1431
本文将介绍使用NSX自签名方式来申请和替换即将到期的证书。
vsphere 7.0 NSX-T 更换证书
水彩橘子
08-08 2317
1、登录nsx 并导航到证书栏 2、生成证书csr请求文件 3、填写csr证书文件信息 4、生成证书文件 选择证书的天数（最多就825天） 5、查看生成的证书和证书id 6、验证证书的合法性（注意密码特殊符合需要进行转译） curl -k -u admin:1qazXSW\@\_gbsz -X GET "https://10.99.12.171/api/v1/trust-management/certificates/92fb6641-b75f-45b8-907e-8d5c1f57cfb5?ac
【云服务提供商选择与部署】：VMware开源项目指导
!...# 1. 云服务提供商选择与部署概述 云计算作为当前IT领域的核心驱动力之一，为许多企业提供了灵活性和可扩展性，同时降低了成本。选择云服务提供商和部署策略是企业数字化转型的重要步骤。本章将简要介绍如何根据...
VMware网络与安全策略深度解析：掌握关键配置（安全先行）
!...# 1. VMware网络基础 ## 1.1 网络技术概述 VMware技术在现代IT基础设施中扮演着关键角色，它允许用户在单一物理硬件上创建和管理多个虚拟环境。网络作为这些虚拟环境之间数据交换的通道，其基础配置对系统的稳定...
VMware虚拟化产品系列及功能比较
!...# 1. VMware虚拟化产品概述** VMware虚拟化产品是一套全面的解决方案，可帮助企业实现虚拟化基础设施，提高效率、降低成本并增强安全性。这些产品涵盖了虚拟化、存储和网络的所有方面，为企业提供了全面的解决方案...
自主可控鸿道Intewell工业实时操作系统
Kyland2020的博客
04-23 278
Intewell-H实时拓展构型：在已安装第三方非实时操作系统的设备上，增加RTOS实时核运行环境，适用于无功能安全认证需求、资源较富集的场景，可运行在Inteli3\i5\i7等CPU上。-Intewell-C全实时构型：设备上只运行自研RTOS的全实时系统，适用于有功能安全认证需求的实时控制场景，硬件成本低，可运行在龙芯2K、飞腾E2000等资源有限的CPU上。-架构灵活可扩展：可根据用户需求，提供灵活可扩展的系统架构，支持自由分配硬件资源、外设接口等。
分布式微服务系统架构第120集：专业WebSocket鉴权
程序员哆啦A梦，蓝胖子
04-23 501
仓库地址：https://webvueblog.github.io/JavaPlusDoc/，可以自定义 WebSocket握手拦截器 → 返回HTTP状态码，比如401。不光从 URL，也能从 WebSocket 请求头拿 token。，统一管理所有在线Session（方便批量踢人/广播消息），比如客户端定时发送ping消息，服务端回复pong。可以在服务端定时心跳检测，把死掉的连接清理掉。比如token过期、恶意连接，可以主动断开。方法外包装一层 try-catch。灵活扩展，可以接认证中心、数据库。
分布式微服务系统架构第121集：AppCtxHolder
程序员哆啦A梦，蓝胖子
04-23 800
本身是由 Web容器(Tomcat/Undertow/Jetty)托管的，不是 Spring 托管的！当前类不是被 Spring 托管的（比如普通 Java 类、第三方库、手动 new 出来的对象）是让你在任何地方都能访问 Spring 容器中 Bean 的万能工具。✅ 这样，WebSocket也能用上 Spring 的依赖了！（每连接一个客户端就 new 一个），而Spring容器默认是。里的 session 没移除干净，会慢慢堆积，最好在。根据 bean 名字，获取 Spring 容器里的对象。
系统架构设计师：计算机组成与体系结构（如CPU、存储系统、I/O系统）案例分析与简答题、详细解析与评分要点
m0_74356207的博客
04-19 1079
系统架构设计师：计算机组成与体系结构（如CPU、存储系统、I/O系统）案例分析与简答题、详细解析与评分要点
系统架构师2025年论文《系统架构风格》
04-23 1941
总结分层架构风格在 [某系统] 中的成功应用所带来的成果，如系统的稳定性、可扩展性、开发效率提升等方面的表现，以及用户反馈和实际效益。同时，对分层架构在未来系统开发中的应用趋势进行展望，强调持续学习和探索新技术架构风格的重要性，以应对不断变化的业务需求和技术挑战。
1.1软考系统架构设计师：系统架构的定义与作用 - 超简记忆要点、知识体系全解、考点深度解析、真题训练附答案及解析
m0_74356207的博客
04-21 954
系统架构是系统设计的核心框架，涉及对系统整体结构、组件关系及设计原则的全面规划。结构与决策模型：系统架构是一系列决策和规划的集合，确保系统各部分（如组件、子系统）协同工作，实现目标和需求。例如，B/S（浏览器/服务器）和C/S（客户端/服务器）是两种典型架构模式，分别适用于Web应用和本地化交互场景。抽象与概念化：架构是系统的根本组织形式，体现为元素、关系及与环境交互的原则。根据IEEE 1471标准，架构包含组件的结构、交互约束及设计演进原则。多视图模型。
软考高级-系统架构设计师 论文范文参考（一）
片言可决讼，半纸能缚龙
04-18 1162
系统架构设计师 论文参考
HCIA-Access V2.5_18_网络管理基础_1_网络管理系统架构
荆盼的博客
04-23 135
1.6软考系统架构设计师：架构师的角色与能力要求 - 练习题附答案及超详细解析
m0_74356207的博客
04-23 842
架构师职责聚焦技术设计，进度管理属于项目经理职责。C. 架构师需具备PMP认证，项目经理不需技术背景。A. 架构师负责技术决策，项目经理负责资源协调。：架构师需深入理解业务需求以转化为技术架构。：云平台选型需综合性能、成本与业务匹配度。：结构模型通过构件与连接件刻画系统语义。：演化系统需基于业务需求与现有问题分析。：Jenkins是CI/CD的核心工具。：性能优化常涉及缓存、负载均衡等技术。：技术选型需平衡业务目标与技术可行性。：快速学习能力是应对技术变革的关键。：微服务的核心挑战是服务治理与容错。
1.7软考系统架构设计师：系统架构设计师概述 - 超简记忆要点、知识体系全解、考点深度解析、真题训练附答案及解析
m0_74356207的博客
04-24 573
定义技术实现主导者：负责确认和评估系统需求（尤其是非功能性需求，如性能、可靠性、可维护性等），制定开发规范，搭建系统核心架构，并解决关键技术细节。业务与技术桥梁：需平衡业务需求与技术可行性，确保架构设计既满足功能需求，又具备高效性、可扩展性和安全性。权威技术决策者：拥有技术决策的权威性，需推动技术方案的实施并确保其被团队理解和执行。职责架构设计师的职责可分为技术领导与系统设计技术领导职责领导并协调项目的技术活动（分析、设计、实施等），推动技术决策（如技术选型、风险控制）。
1.8软考系统架构设计师：系统架构设计师概述 - 练习题附答案及超详细解析
最新发布
m0_74356207的博客
04-24 730
架构设计师的定义、职责和任务A. 编写具体功能模块的代码B. 制定系统整体架构和技术选型C. 管理项目预算和进度D. 直接对接客户进行销售支持答案：B系统架构设计师主要负责系统整体架构设计、技术选型和关键决策，而非具体编码或项目管理。A. 编写用户操作手册B. 确认需求规格说明书并理解用户需求C. 设计用户界面原型D. 测试系统性能答案：B架构设计师需在需求阶段与分析人员反复沟通，确保完整理解需求。A. 将系统纵向分层B. 在同一逻辑层横向分块。
分布式微服务系统架构第119集：WebSocket监控服务内部原理和执行流程
程序员哆啦A梦，蓝胖子
04-23 381
通常用来自定义 WebSocket 握手过程，比如：校验token、设置自定义属性、统一Session管理、拦截器（handshake拦截）等。如果你用的 Kafka Server 开了自动建Topic（auto.create.topics.enable=true），也可以不手动建。注解的类，自动注册成 WebSocket 端点。完就不管了，加一个Callback回调，拿到真正的发送成功 or 失败，做链路监控。：这里可以记录日志、发告警（钉钉/飞书/邮件），或者存到DB里，方便后续人工修复。
LX4-数据手册相关
2401_88698300的博客
04-21 260
ST官网：www.st.com中文社区网：淘宝的商品详情页。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值