VMware Avi / NSX ALB
Kopiér link til siden “VMware Avi / NSX ALB”
Fornyer certifikater på valgte Avi virtual services og Controller-portalen via REST API.
Sådan forløber det
- Appliancen forbinder til VMware Avi / NSX ALB gennem Avi Controller REST API på port 443.
- Finder version, certifikatobjekter og bindings. Sammenholder det serverede SHA-256-fingeraftryk med præcis ét bundet certifikat. Du vælger en virtual service eller Controller-portalen. Hvis det fejler: Uentydig tilstand giver en log uden hemmeligheder og ingen ændring.
- Gemmer bindingsbackup privat på appliance og opretter nye PEM-certifikat-, nøgle- og CA-objekter. Beholder gamle objekter og deres fornyelsesprofiler. Vælger RSA- eller EC-binding fra det nye certifikat og kontrollerer den over TLS 1.2/1.3; andre services og den alternative identitet bevares.
- Kontrollerer readback og en ny TLS-forbindelse med SNI: leaf, SAN og de leverede mellemcertifikater. Ved portalskift genoprettes API-sessionen med den gamle/nye præcise identitet. Hvis det fejler: Ved fejl gendannes og kontrolleres den tidligere binding, når operationen stadig ejer den. En senere administratorændring bevares og rapporteres; importerede objekter beholdes.
Tekniske detaljer
- Forbindelse
- Pakken kører på appliancen, som forbinder over HTTPS til Avi Controller REST API, port 443. Der installeres ingen agent.
- Tjenestens porte
- 443
- I skal bruge
- Dedikeret Controller-bruger med certifikatadgang og læse-/skriverettigheder til den valgte virtual service i den valgte tenant. Portal kræver system configuration-adgang. Appliance skal kunne nå API og den valgte TLS-listener.
- Platform
- Avi / NSX Advanced Load Balancer 22.1.3 og nyere
- Handlinger
- Discovery, Installation, Kontrol, Rollback
- Pakker
-
vmware-avi-api1.0.0 - Bemærk
-
- Management-TLS verificeres med system-/CA-tillid eller MANAGEMENT_TLS_PIN_SHA256. Brug MANAGEMENT_TLS_CA_BUNDLE til en privat CA. Loginoplysninger sendes kun på den verificerede HTTPS-forbindelse. Ved portalskift returnerer agenten det nye management-fingeraftryk; gem det som nyt pin. BACKUP_DIR indeholder private recovery-journaler uden nøgler eller passwords.
- Vælg TARGET_ID fra discovery. VERIFY_HOST/VERIFY_PORT kan vælge en nåbar NAT-/listeneradresse; VERIFY_SNI er det konkrete DNS-certifikatnavn, også ved wildcard. Når discovery kun viser en VIP-IP, vælg VERIFY_SNI eller en DNS-adresse i VERIFY_HOST; ellers kræves en IP SAN. Agenten læser versionen: JSON PATCH fra 31.2, fuld configuration PUT på ældre versioner. Undgå samtidige administratorændringer under aktivering.
- Valg af målet overtager automatisk dets native auto-fornyelse ved at skifte til det nye certifikatobjekt. Den gamle profil og dens objekt bevares til rollback. Ved en ny issuer-kæde på en GSLB site-persistence service skal dens eksisterende pool-PKI allerede stole på de nye CA’er; agenten ændrer ikke trust stores. Backend-/clientcertifikater og intern secure channel er separate mål og ændres ikke.
Krav til certifikatet
Agenten accepterer RSA 2048/3072/4096 bit og ECDSA P-256/P-384. Avi’s key-generation-schemaer angiver RSA 1024–8192 og EC P-256/P-384/P-521; det dokumenterer ikke alle importstørrelser eller et ubegrænset maksimum. Yderligere versionsspecifikke importgrænser for disse to mål er ikke angivet.
22.1/30.1-guides kræver Subject Common Name (CN); agenten kræver CN før 30.2. Guides fra 30.2 udelader kravet uden at love SAN-only-support. Det nye certifikat skal dække det valgte navn/IP i SAN. Et obligatorisk clientAuth-EKU eller keyEncipherment-KU er ikke dokumenteret for disse servermål; agenten kontrollerer TLS server-purpose.
Controller-certifikatet skal dække cluster-IP eller FQDN i SAN. Fra 30.1.1 dokumenteres ASCII/Punycode og ingen underscores i SAN-navne. Generel importunderstøttelse af wildcard/IP-SAN og maksimum antal SAN er ikke angivet; ved wildcard bruges et konkret SNI-navn til kontrol.
Agenten sender separat PEM-leaf, matchende ukrypteret privat nøgle og CA-objekter i HTTPS-body. Avi-schemaet tilbyder PEM/PKCS#12 (PFX), men dette flow bruger ikke DER/PFX/JKS. PFX-kryptering med legacy 3DES/RC2 kontra AES og hele importkombinationen er ikke angivet og kræves ikke af PEM-flowet.
Input har leaf først og derefter mellemcertifikater i issuer-rækkefølge med valgfri rod. Agenten opretter eksplicitte CA-referencer og kontrollerer den serverede kæde; roden behøver ikke blive serveret. Universel Avi-importorden/rodregel er ikke angivet. 32.1.3 tilbyder skip_auto_chain til bestemte Enterprise-licenser; agenten bruger eksplicitte CA-referencer og kædekontrol på alle versioner uden dette licensafhængige felt.
Avi-objektnavne har højst 255 tegn fra 20.1.6. Agenten genererer egne navne inden for grænsen. Yderligere navnegrammatik og friendly name/alias-regler for PFX er ikke angivet; PEM-flowet bruger ikke PFX/JKS-aliaser.
Minimum og maksimum certifikatlevetid er ikke angivet for disse importmål. Det nye certifikat og dets kæde skal være gyldige nu. API-feltet days_until_expire er ikke en regel for udstedelseslevetid.