A hálózati vezérlő tanúsítványainak megújítása

Cikk
05/15/2024

A következőkre vonatkozik: Azure Stack HCI, 23H2 és 22H2 verzió; Windows Server 2022 és Windows Server 2019

Ez a cikk útmutatást nyújt a hálózati vezérlő tanúsítványainak automatikus és manuális megújításához vagy módosításához. Ha problémákba ütközik a hálózati vezérlő tanúsítványainak megújításával kapcsolatban, forduljon Microsoft ügyfélszolgálata.

A szoftveralapú hálózatkezelési (SDN-) infrastruktúrában a hálózati vezérlő tanúsítványalapú hitelesítéssel biztosítja az észak-kimenő kommunikációs csatornákat a felügyeleti ügyfelekkel, valamint a hálózati eszközökkel (például a Szoftver Load Balancer) folytatott déli kommunikációt. A hálózati vezérlő tanúsítványainak érvényességi ideje érvényes, amely után érvénytelenek lesznek, és a továbbiakban nem megbízhatók a használatukhoz. Javasoljuk, hogy a lejáratuk előtt újítsa meg őket.

A Hálózati vezérlő áttekintése: Mi az a hálózati vezérlő?

Mikor kell megújítani vagy módosítani a hálózati vezérlő tanúsítványait?

A hálózati vezérlő tanúsítványait a következő esetekben újíthatja meg vagy módosíthatja:

A tanúsítványok hamarosan lejárnak. A hálózati vezérlő tanúsítványait a lejáratuk előtt bármikor megújíthatja.

Megjegyzés

Ha a meglévő tanúsítványokat ugyanazzal a kulccsal újítja meg, mindegyik be van állítva, és nem kell semmit tennie.
Az önaláírt tanúsítványt egy hitelesítésszolgáltató (CA) által aláírt tanúsítványra szeretné cserélni.

Megjegyzés

A tanúsítványok módosításakor győződjön meg arról, hogy ugyanazt a tulajdonosnevet használja, mint a régi tanúsítvány.

A hálózati vezérlő tanúsítványainak típusai

Az Azure Stack HCI-ben minden hálózati vezérlő virtuális gép kétféle tanúsítványt használ:

REST-tanúsítvány. Egyetlen tanúsítvány a REST-ügyfelekkel (például Windows Admin Center) és a Hyper-V gazdagépekkel és szoftveres terheléselosztókkal folytatott észak-bound kommunikációhoz. Ez a tanúsítvány minden hálózati vezérlő virtuális gépen megtalálható. A REST-tanúsítványok megújításához lásd: REST-tanúsítványok megújítása.
Hálózati vezérlő csomóponttanúsítványa. Minden hálózati vezérlő virtuális gép tanúsítványa csomópontok közötti hitelesítéshez. A Hálózati vezérlő csomóponttanúsítványainak megújításához lásd: Csomóponttanúsítványok megújítása.

Figyelmeztetés

Ne hagyja, hogy a tanúsítvány lejárjon. A hitelesítési problémák elkerülése érdekében a lejárat előtt újítsa meg őket. Emellett ne távolítsa el a meglévő lejárt tanúsítványokat a megújításuk előtt. A tanúsítvány lejárati dátumának megtekintéséhez lásd: Tanúsítvány lejáratának megtekintése.

Tanúsítvány lejáratának megtekintése

A tanúsítvány lejárati dátumának ellenőrzéséhez használja az alábbi parancsmagot az egyes hálózati vezérlő virtuális gépeken:

Get-ChildItem Cert:\LocalMachine\My | where{$_.Subject -eq "CN=<Certificate-subject-name>"} | Select-Object NotAfter, Subject

A REST-tanúsítvány lejáratának lekéréséhez cserélje le a "Certificate-subject-name" kifejezést a hálózati vezérlő RestIPAddress vagy RestName elemére. Ezt az értéket a Get-NetworkController parancsmagból szerezheti be.
Csomóponttanúsítvány lejáratának lekéréséhez cserélje le a "Tanúsítványtulajdonos-név" kifejezést a hálózati vezérlő virtuális gép teljes tartománynevére (FQDN). Ezt az értéket a Get-NetworkController parancsmagból szerezheti be.

Hálózati vezérlő tanúsítványainak megújítása

A hálózati vezérlő tanúsítványait automatikusan vagy manuálisan is megújíthatja.

Automatikus megújítás
Manuális megújítás

A Start-SdnCertificateRotation parancsmaggal automatizálhatja a hálózati vezérlő tanúsítványainak megújítását. A tanúsítvány automatikus megújítása segít minimalizálni a tanúsítvány lejárati problémái miatt bekövetkező állásidőt vagy nem tervezett kimaradást.

Az alábbi forgatókönyvek segítségével a parancsmaggal automatikusan megújíthatja a Start-SdnCertificateRotation hálózati vezérlő tanúsítványait:

Önaláírt tanúsítványok. Start-SdnCertificateRotation A parancsmaggal önaláírt tanúsítványokat hozhat létre, és megújíthatja ezeket a tanúsítványokat az összes hálózati vezérlőcsomóponton.
Saját tanúsítványokat hozhat. Saját tanúsítványokat hozhat, akár önaláírt, akár hitelesítésszolgáltató által aláírt tanúsítványokat, és a tanúsítványmegújításhoz használja a Start-SdnCertificateRotation parancsmagot. A parancsmag telepíti a tanúsítványokat az összes hálózati vezérlőcsomópontra, és elosztja őket más SDN-infrastruktúra-összetevőkre.
Előre telepített tanúsítványok. A szükséges tanúsítványok már telepítve vannak a Hálózati vezérlő csomópontokon. A parancsmaggal megújíthatja ezeket a Start-SdnCertificateRotation tanúsítványokat más SDN-infrastruktúra-összetevőkre.

További információ az SDN-tanúsítványok létrehozásáról és kezeléséről: Tanúsítványok kezelése szoftveralapú hálózatkezeléshez.

Követelmények

A tanúsítvány automatikus megújításának követelményei a következők:

A parancsmagot az Start-SdnCertificateRotation egyik hálózati vezérlőcsomóponton kell futtatnia. A telepítési utasításokért lásd: Az SdnDiagnostics modul telepítése.
A hálózati vezérlő csomópontjai közötti kommunikáció engedélyezéséhez hitelesítő adatokkal kell rendelkeznie a következő két fióktípushoz:
- Credential a hálózati vezérlő helyi rendszergazdai jogosultságokkal rendelkező felhasználói fiókjának megadásához.
- NcRestCredential a hálózati vezérlő REST API-hoz való hozzáféréssel rendelkező felhasználói fiók megadásához. Tagja a ClientSecurityGroup (z) -nek Get-NetworkController. Ez a fiók a REST API meghívására szolgál, hogy frissítse a hitelesítőadat-erőforrást az új tanúsítvánnyal.
A hálózati vezérlő észak felé irányuló kommunikációjának konfigurálásával kapcsolatos további információkért lásd: Engedélyezés észak felé irányuló kommunikációhoz.

Önaláírt tanúsítványok automatikus megújítása

A Start-SdnCertificateRotation parancsmaggal új önaláírt tanúsítványokat hozhat létre, és automatikusan megújíthatja őket az összes hálózati vezérlőcsomóponton. A parancsmag alapértelmezés szerint hároméves érvényességi időtartamú tanúsítványokat hoz létre, de megadhat egy másik érvényességi időtartamot.

Hajtsa végre ezeket a lépéseket az egyik hálózati vezérlőcsomóponton az önaláírt tanúsítványok létrehozásához és automatikus megújításához:

Az önaláírt tanúsítványok létrehozásához futtassa a Start-SdnCertificateRotation parancsmagot. A paraméter és a -Force parancsmag használatával elkerülheti a megerősítési vagy manuális beviteli kéréseket a forgatási folyamat során.
- Ha önaláírt tanúsítványokat szeretne létrehozni az alapértelmezett hároméves érvényességi időtartammal, futtassa a következő parancsokat:
```
Import-Module -Name SdnDiagnostics -Force
Start-SdnCertificateRotation -GenerateCertificate -CertPassword (Get-Credential).Password -Credential (Get-Credential)
```
- Ha önaláírt tanúsítványokat szeretne létrehozni egy adott érvényességi időtartammal, a NotAfter paraméterrel adja meg az érvényességi időtartamot.
  
  Ha például öt éves érvényességi idejű önaláírt tanúsítványokat szeretne létrehozni, futtassa a következő parancsokat:
```
Import-Module -Name SdnDiagnostics -Force
Start-SdnCertificateRotation -GenerateCertificate -CertPassword (Get-Credential).Password -NotAfter (Get-Date).AddYears(5) -Credential (Get-Credential)
```
Adja meg a hitelesítő adatokat. Két kérés jelenik meg a hitelesítő adatok két típusának megadásához:
- Az első parancssorban adja meg a jelszót a létrehozott tanúsítvány védelméhez. A felhasználónév bármi lehet, és nem használható.
- A második parancssorban használja azt a hitelesítő adatot, amely rendszergazdai hozzáféréssel rendelkezik az összes hálózati vezérlőcsomóponthoz.
Az új tanúsítványok létrehozása után megjelenik egy figyelmeztetés, amely megerősíti, hogy folytatni szeretné-e a tanúsítvány rotálási folyamatát. A figyelmeztető szöveg megjeleníti a hálózati vezérlő tanúsítványainak listáját, amelyeket a rendszer az újonnan létrehozott tanúsítványokkal cserél le. A megerősítéshez írja be a következőt: Y.

Íme egy minta képernyőkép a figyelmeztetésről:
Miután megerősítette, hogy folytatja a tanúsítvány rotálását, megtekintheti a folyamatban lévő műveletek állapotát a PowerShell-parancsablakban.

Fontos

Ne zárja be a PowerShell-ablakot, amíg a parancsmag be nem fejeződik. A környezettől, például a fürt hálózati vezérlő csomópontjainak számától függően több percig vagy egy óránál tovább tarthat a befejezés.

Íme egy minta képernyőkép a PowerShell-parancsablakról, amelyen a folyamatban lévő műveletek állapota látható:

Saját tanúsítványok automatikus megújítása

Az önaláírt hálózati vezérlőtanúsítványok létrehozása mellett saját, önaláírt vagy HITELESÍTÉSSZOLGÁLTATÓ által aláírt tanúsítványokat is létrehozhat, és a parancsmaggal megújíthatja ezeket a Start-SdnCertificateRotation tanúsítványokat.

Hajtsa végre ezeket a lépéseket az egyik hálózati vezérlőcsomóponton a saját tanúsítványainak automatikus megújításához:

Készítse elő a tanúsítványokat .pfx formátumban, és mentsen egy mappába az egyik Hálózati vezérlő csomóponton, ahonnan a Start-SdnCertificateRotation parancsmagot futtatja. A paraméter és a -Force parancsmag használatával elkerülheti a megerősítési vagy manuális beviteli kéréseket a forgatási folyamat során.

A tanúsítvány megújításának megkezdéséhez futtassa a következő parancsokat:

Import-Module -Name SdnDiagnostics -Force
Start-SdnCertificateRotation -CertPath "<Path where you put your certificates>" -CertPassword (Get-Credential).Password -Credential (Get-Credential)

Adja meg a hitelesítő adatokat. Két kérés jelenik meg a hitelesítő adatok két típusának megadásához:
- Az első kérdésben adja meg a tanúsítvány jelszavát. A felhasználónév bármi lehet, és nem használható.
- A második parancssorban használja azt a hitelesítő adatot, amely rendszergazdai hozzáféréssel rendelkezik az összes hálózati vezérlőcsomóponthoz.
Megjelenik egy figyelmeztetés, amely megerősíti, hogy folytatja-e a tanúsítványrotálási folyamatot. A figyelmeztető szöveg megjeleníti a Hálózati vezérlő tanúsítványainak listáját, amelyeket az újonnan létrehozott tanúsítványok váltanak fel. A megerősítéshez írja be a következőt: Y.

Íme egy minta képernyőkép a figyelmeztetésről:
Miután megerősítette, hogy folytatja a tanúsítványrotálást, megtekintheti a folyamatban lévő műveletek állapotát a PowerShell-parancsablakban.

Fontos

Ne zárja be a PowerShell-ablakot, amíg a parancsmag be nem fejeződik. A környezettől , például a fürt hálózati vezérlő csomópontjainak számától függően a befejezés több percet vagy egy órát is igénybe vehet.

Előre telepített tanúsítványok automatikus megújítása

Ebben a forgatókönyvben telepítve vannak a szükséges tanúsítványok a Hálózati vezérlő csomópontokon. Start-SdnCertificateRotation A parancsmaggal megújíthatja ezeket a tanúsítványokat más SDN-infrastruktúra-összetevőkön.

Az előre telepített tanúsítványok automatikus megújításához hajtsa végre ezeket a lépéseket az egyik hálózati vezérlőcsomóponton:

Telepítse a hálózati vezérlő tanúsítványait az összes hálózati vezérlőcsomópontra az előnyben részesített módszer szerint. Győződjön meg arról, hogy a tanúsítványokat más SDN-infrastruktúra-összetevők is megbízhatónak minősítik, beleértve az SDN MUX-kiszolgálókat és az SDN-gazdagépeket is.
Létrehozás tanúsítványrotációs konfiguráció:
1. Az alapértelmezett tanúsítványrotációs konfiguráció létrehozásához futtassa a következő parancsokat:
```
Import-Module -Name SdnDiagnostics -Force
$certConfig = New-SdnCertificateRotationConfig
$certConfig
```
2. Tekintse át az alapértelmezett tanúsítványrotálási konfigurációt annak ellenőrzéséhez, hogy az automatikusan észlelt tanúsítványok azok-e, amelyeket használni szeretne. Alapértelmezés szerint lekéri a legutóbb használt tanúsítványt.
  
  Íme egy mintatanúsítvány-rotációs konfiguráció:
```
PS C:\Users\LabAdmin> $certConfig

Name					Value
----					-----
ws22ncl.corp.contoso.com 	F4AAF14991DAF282D9056E147AE60C2C5FE80A49
ws22nc3.corp.contoso.com 	BC3E6B090E2AA80220B7BAED7F8F981A1E1DD115
ClusterCredentialType 		X509
ws22nc2.corp.contoso.corn 	75DC229A8E61AD855CC445C42482F9F919CC1077
NcRestCert				029D7CA0067A60FB24827D8434566787114AC30C
```
  ahol:
  - a ws22ncx.corp.contoso.com megjeleníti a tanúsítvány ujjlenyomatát az egyes Hálózati vezérlő csomópontokhoz.
  - A ClusterCredentialType a Hálózati vezérlő fürthitelesítési típusát jeleníti meg. Ha a hitelesítési típus nem X509, a rendszer nem használja a csomóponttanúsítványt, és nem jelenik meg a kimenetben.
  - Az NcRestCert megjeleníti a hálózati vezérlő rest tanúsítványának ujjlenyomatát.
3. (Nem kötelező) Ha a létrehozott $certConfig fájl nem megfelelő, módosíthatja azt egy új tanúsítvány ujjlenyomatának megadásával. A hálózati vezérlő rest tanúsítványának ujjlenyomatának módosításához például futtassa a következő parancsot:
```
$certConfig.NcRestCert = <new certificate thumbprint>
```
Indítsa el a tanúsítvány rotálását. A paramétert a -Force parancsmaggal használva elkerülheti a megerősítési vagy manuális beviteli kéréseket a forgatási folyamat során.
```
Import-Module -Name SdnDiagnostics -Force
Start-SdnCertificateRotation -CertRotateConfig $certConfig -Credential (Get-Credential)
```
Amikor a rendszer hitelesítő adatokat kér, adja meg azt a hitelesítő adatot, amely rendszergazdai hozzáféréssel rendelkezik az összes hálózati vezérlőcsomóponthoz.
Megjelenik egy figyelmeztetés, amely megerősíti, hogy folytatja-e a tanúsítványok automatikus rotálását. A figyelmeztetés megjeleníti azoknak a hálózati vezérlőtanúsítványoknak a listáját, amelyeket a rendszer lecserél a saját tanúsítványaival. A megerősítéshez írja be a következőt: Y.

Íme egy minta képernyőkép a figyelmeztetésről, amely a tanúsítványok rotálásának megerősítését kéri:
Miután megerősítette, hogy folytatja a tanúsítványrotálást, megtekintheti a folyamatban lévő műveletek állapotát a PowerShell-parancsablakban.

Fontos

Ne zárja be a PowerShell-ablakot, amíg a parancsmag be nem fejeződik. A környezettől , például a fürt hálózati vezérlő csomópontjainak számától függően a befejezés több percet vagy egy órát is igénybe vehet.

Az alábbi utasításokat követve manuálisan újíthatja meg a REST-tanúsítványokat és a hálózati vezérlő csomóponttanúsítványait.

Fontos

Ha a hálózati vezérlő tanúsítványai már lejártak, az automatikus megújítás szakasz utasításait követve újíthatja meg a tanúsítványokat.

REST-tanúsítványok megújítása

A hálózati vezérlő REST-tanúsítványát a következőkhöz használja:

Észak felé irányuló kommunikáció REST-ügyfelekkel
Hitelesítő adatok titkosítása
Délre irányuló kommunikáció gazdagépekkel és szoftveres Load Balancer virtuális gépekkel

REST-tanúsítvány frissítésekkor frissítenie kell a felügyeleti ügyfeleket és a hálózati eszközöket az új tanúsítvány használatához.

A REST-tanúsítvány megújításához hajtsa végre a következő lépéseket:

A megújítás előtt győződjön meg arról, hogy a hálózati vezérlő virtuális gépek tanúsítványa még nem járt le. Lásd: Tanúsítvány lejáratának megtekintése.
Szerezze be az új tanúsítványt, és helyezze el a helyi gép személyes tárolójában (LocalMachine\My). Ha önaláírt tanúsítványról van szó, helyezze el minden hálózati vezérlő virtuális gép gyökértárolójában (LocalMachine\Root). További információ az új tanúsítványok létrehozásáról vagy hitelesítésszolgáltatótól való kiadásáról: Tanúsítványok kezelése szoftveralapú hálózatkezeléshez.

Rendelje hozzá az új tanúsítványt egy változóhoz:

$cert= Get-ChildItem Cert:\LocalMachine\My | where{$_.Thumbprint -eq "<thumbprint of the new certificate>"}

Másolja a tanúsítványt az összes hálózati vezérlő virtuális gépre.

Adja meg az olvasási és engedélyezési engedélyeket az NT-szolgáltatóhoz/hálózati szolgáltatáshoz a tanúsítványon:

$targetCertPrivKey = $Cert.PrivateKey
$privKeyCertFile = Get-Item -path
"$ENV:ProgramData\Microsoft\Crypto\RSA\MachineKeys\*" | where-object {$_.Name -eq $targetCertPrivKey.CspKeyContainerInfo.UniqueKeyContainerName}
$privKeyAcl = Get-Acl $privKeyCertFile
$permission = "NT AUTHORITY\NETWORK SERVICE","Read","Allow"
$accessRule = new-object System.Security.AccessControl.FileSystemAccessRule $permission
$privKeyAcl.AddAccessRule($accessRule)
Set-Acl $privKeyCertFile.FullName $privKeyAcl

(Csak önaláírt tanúsítvány esetén) Másolja a tanúsítvány nyilvános kulcsát az összes gazdagépre és szoftveres Load Balancer virtuális gépre.
Módosítsa a Hálózati vezérlő beállításait az új tanúsítvány használatához.

A tanúsítvány másolása az összes hálózati vezérlő virtuális gépre

Az alábbi lépéseket követve másolhat egy tanúsítványt az összes hálózati vezérlő virtuális gépre.

Győződjön meg arról, hogy beszerezte az új tanúsítványt, és helyezze el a helyi gép személyes tárolójában (Saját – tanúsítvány:\localmachine\my).

Az első Hálózati vezérlő virtuális gépen exportálja a tanúsítványt egy SZEMÉLYES információcsere (PFX) fájlba.

$mypwd = ConvertTo-SecureString -String "<password>" -Force -AsPlainText
Export-PfxCertificate -FilePath "C:\newpfx.pfx" -Password $mypwd -Cert $cert    
# Here, $cert is the new certificate

Más hálózati vezérlő virtuális gépeken importálja a tanúsítványt és a titkos kulcsokat egy PFX-fájlból a céltárolóba:

$mypwd = ConvertTo-SecureString -String "<password>" -Force -AsPlainText
Import-PfxCertificate -FilePath C:\newpfx.pfx -CertStoreLocation Cert:\LocalMachine\My -Password $mypwd
# Ensure that you copy the pfx file into the local machine before importing the cert

Másolja a tanúsítvány nyilvános kulcsát az összes gazdagépre és szoftveres Load Balancer virtuális gépre (csak önaláírt tanúsítvány esetén)

Ha önaláírt tanúsítványt használ, helyezze a helyi gép gyökértárolójába (LocalMachine\Root) az alábbiak mindegyikéhez:

Minden hálózati vezérlő virtuális gép.
Minden Azure Stack HCI-gazdagép és szoftver Load Balancer virtuális gép. Ez biztosítja, hogy a tanúsítványt a társentitások megbízhatónak minősítik.

Íme egy mintaparancs a már exportált tanúsítvány nyilvános kulcsának importálásához:

Import-Certificate -FilePath "\\sa18fs\SU1_LibraryShare1\RestCert.cer\" -CertStoreLocation cert:\localMachine\Root

A Hálózati vezérlő beállításainak módosítása az új tanúsítvány használatához

Módosítsa a Hálózati vezérlő csomópont, fürt és alkalmazás beállításait az új tanúsítvány használatához.

Észak felé irányuló kommunikációhoz

A Hálózati vezérlő által az északi kommunikációhoz használt tanúsítvány módosításához futtassa a következő parancsot bármelyik hálózati vezérlő virtuális gépen:

Set-NetworkController -ServerCertificate \$cert

Hitelesítő adatok titkosításához

A hálózati vezérlő által a hitelesítő adatok titkosításához használt tanúsítvány módosításához futtassa a következő parancsot bármelyik hálózati vezérlő virtuális gépen:

Set-NetworkControllerCluster -CredentialEncryptionCertificate $cert

Délre irányuló kommunikációhoz

A hálózati vezérlő által a gazdagépekkel és a szoftveres terheléselosztókkal való kommunikációhoz használt tanúsítvány módosításához futtassa a következő parancsot:

$certCred = Get-NetworkControllerCredential -ConnectionUri <REST uri of deployment> |where-object { $_.properties.type -eq "X509Certificate" }
$certCred[0].Properties.Value ="<Thumbprint of the new certificate>"

New-NetworkControllerCredential -ConnectionUri <REST uri of deployment> -ResourceId $certCred[0].ResourceId -Properties $certCred[0].Properties -Force

Csomóponttanúsítványok megújítása

A hálózati vezérlő csomóponttanúsítványának megújításához hajtsa végre a következő lépéseket az egyes hálózati vezérlő virtuális gépeken:

Szerezze be az új tanúsítványt, és helyezze a helyi gép személyes tárolójába (LocalMachine\My). Ha önaláírt tanúsítványról van szó, akkor azt minden hálózati vezérlő virtuális gép (LocalMachine\Root) tárolójában is el kell helyezni. További információ az új tanúsítványok létrehozásáról vagy hitelesítésszolgáltatótól való kiadásáról: Tanúsítványok kezelése szoftveralapú hálózatkezeléshez.