TKGI 用の NSX Manager CA 証明書をローテーションする方法

Products

• VMware NSX
• VMware Tanzu Kubernetes Grid Integrated Edition (Core)

Issue/Introduction

免責事項：これは英文の記事「How to rotate the NSX Manager CA Certificate for TKGI」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

 

TKGIとBOSHの場合NSX Manager CA証明書の有効期限が近づいているため、更新する必要があります。この証明書は2つの異なる場所で使用されています。

 

Bosh Director tile -> vCenter Config -> NSX CA Cert

Tanzu Kubernetes Grid Integrated Edition tile -> Networking -> NSX Manager CA Cert

 

これらの証明書はOps Manager の証明書ページ内で、以下の名前で参照されます。

.iaas_configuration.nsx_ca_certificate    

.properties.network_selector.nsx.nsx-t-ca-cert    

Environment

VMware Tanzu Kubernetes Grid Integrated Edition 1.x
VMware NSX

Resolution

このCA証明書は、まずNSX Manager上で再生成する必要があります。再生成が完了したら、Ops ManagerのUIで更新できます。

1. NSX Manager 用の新しい NSX-T CA 証明書を生成します。こちらの記事の手順に従って実行できます。なお、NSX CA の再生成に関してサポートが必要な場合は、NSXT サポートチームにお問い合わせください。
2. 新しい証明書が、古い証明書と一致するSAN（Subject Alternative Name）で生成されていることを確認してください。確認方法は以下のとおりです。
   
   1. 新しい証明書と古い証明書（Bosh Directorタイル -> vCenter Config -> NSX CA Cert から）の両方を、それぞれ別のファイル（例：CA-old.txt と CA-new.txt）にコピーします。
   2. 以下の 2 つの openssl コマンドを実行してください: openssl x509 -in CA-old.txt -text -noout | grep -A1 "Subject Alternative" およびopenssl x509 -in CA-new.txt -text -noout | grep -A1 "Subject Alternative"
   3. 両方のコマンドでDNSの値が一致していることを確認してください。
3. 検証が完了したら、新しいCAを2つのテストボックスにコピーして保存します。

   Bosh Director tile -> vCenter Config -> NSX CA Cert

   Tanzu Kubernetes Grid Integrated Edition tile -> Networking -> NSX Manager CA Cert

4. TKGIタイルに対して変更を適用し、「すべてのクラスターをアップグレードする」タスクを有効にします。

Additional Information

NSX Manager CA証明書は、NSX Managerとの認証に使用されます。このプロセスでは、IPアドレスベースの自己署名証明書を作成し、NSX Managerに登録する必要があります。vSphere with NSXにTKGIをインストールする際、 TKGIタイルの「ネットワーク」ペイン にある 「NSX Manager CA証明書」フィールドにこの証明書を指定する必要があります。