إزالة شهادات المستجيب OCSP الداخلية منتهية الصلاحية في ISE

المقدمة

يوضح هذا المستند كيفية حذف شهادات المستجيب OCSP منتهية الصلاحية و/أو على وشك الانتهاء في Cisco Identity Service Engine (ISE).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• معرفة أساسية بمحرك خدمة الهوية (ISE).
• معرفة أساسية بالشهادات.
• بروتوكول حالة الشهادة عبر الإنترنت (OCSP)

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco Identity Service Engine، الإصدار 3.x
  
  

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة.بدأت جميع الأجهزة المستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

هناك مشكلة شائعة يواجهها العملاء الذين يستخدمون محرك خدمات الهوية من Cisco (ISE) وهي تلقي الإنذارات التي تشير إلى انتهاء صلاحية الشهادة، وعلى وجه التحديد عندما تنتهي صلاحية شهادة المستجيب OCSP أو توشك على الانتهاء ولا يمكن العثور على الشهادة. غالبا ما يدفع هذا الوضع العملاء إلى فتح حالات مركز المساعدة الفنية (TAC) للحصول على المساعدة. يهدف هذا الدليل إلى تمكين العملاء من تحديد مكان شهادات المستجيب OCSP منتهية الصلاحية أو التي توشك على الانتهاء بأنفسهم وحذفها، وبالتالي تجنب الحاجة إلى رفع حالة مركز المساعدة الفنية.

بروتوكول حالة الشهادة عبر الإنترنت (OCSP) هو بروتوكول يتم إستخدامه للتحقق من حالة الشهادات الرقمية X.509. يعد هذا البروتوكول بديلا لقائمة إبطال الشهادة (CRL) ويعالج المشاكل التي ينتج عنها معالجة قوائم التحكم في الوصول (CRL). يتمتع Cisco ISE بالقدرة على الاتصال بخوادم OCSP عبر HTTP للتحقق من حالة الشهادات في المصادقة. يتم تكوين تكوين OCSP في كائن تكوين قابل لإعادة الاستخدام يمكن الإشارة إليه من أي شهادة مرجع مصدق (CA) تم تكوينها في Cisco ISE.

في كل عملية نشر ل Cisco ISE، تكون شهادات المستجيب OCSP (بروتوكول حالة الشهادة عبر الإنترنت) موجودة بشكل افتراضي كجزء من البنية الأساسية ل CA الداخلي (المرجع المصدق). ويتم إصدار هذه الشهادات بواسطة المرجع المصدق الداخلي Cisco ISE على PPAN (عقدة إدارة السياسة الأساسية) ويتم إنشاؤها تلقائيا لكل عقدة في النشر، بما في ذلك PAN وجميع PSNs (عقد خدمة السياسة).

تعد إدارة شهادات المستجيب OCSP هذه أمرا مهما لأن الشهادات التي انتهت صلاحيتها أو على وشك الانتهاء يمكن أن تشغل تنبيهات انتهاء صلاحية الشهادة في لوحة معلومات Cisco ISE. على الرغم من أن Cisco ISE تقوم تلقائيا بإعادة إنشاء شهادات OCSP Responder جديدة، فإن الإدخالات منتهية الصلاحية تبقى في مخزن الشهادات الموثوق بها إلى أن يتم إزالتها يدويا.

التكوين

الخطوة 1 - التحقق من شهادة OCSP منتهية الصلاحية

في واجهة المستخدم الرسومية (GUI) PPAN (عقدة إدارة السياسة الأساسية)، انتقل إلى علامة التبويب لوحة المعلومات (1). في dashlet للإنذارات، انقر زر الفصل (2) لتوسيع جدول التنبيه.

انقر فوق تنبيه انتهاء صلاحية الشهادة لتوسيع الجدول وعرض إدخالات الشهادة المقترنة بالتنبيه.

يتم عرض كافة الشهادات التي أدت إلى تشغيل تنبيه انتهاء صلاحية الشهادة في هذا الجدول. يركز هذا الدليل فقط على شهادات المستجيب OCSP. إذا كان الجدول يتضمن أنواع شهادات أخرى منتهية الصلاحية، مثل EAP أو SAML أو Admin أو شهادات نظام أخرى، فارجع إلى وثائق Cisco ذات الصلة ودليل مسؤول Cisco ISE للحصول على توجيه حول أنواع الشهادات هذه.

راجع وصف التنبيه لتعريف الشهادة التي انتهت صلاحيتها أو، في بعض السيناريوهات، على وشك الانتهاء.

في هذا المثال، الشهادة منتهية الصلاحية هي: Certificate Services OCSP Responder - <node-name>#00004.

انتبه لاسم الشهادة. يستخدم هذا الاسم في الخطوات التالية لتحديد مكان الشهادة وحذفها من مخزن الشهادات الموثوق به.

الخطوة 2 - البحث عن شهادة OCSP منتهية الصلاحية وحذفها

انتقل إلى: الإدارة > النظام > الشهادات:

حدد علامة التبويب الشهادات الموثوق بها.

في صفحة الشهادات الموثوق بها، حدد إظهار شهادات المرجع المصدق الداخلية. يعرض هذا شهادات Cisco ISE الداخلية CA (المرجع المصدق)، بما في ذلك شهادات المستجيب OCSP التي تكون مخفية بشكل افتراضي.

بمجرد تحديده، يتغير الزر لإخفاء تراخيص CA الداخلية.

في جدول مخزن الشهادات الموثوق بها، حدد أيقونة عامل التصفية للبحث عن الشهادة التي يجب حذفها.

إذا كانت شهادة المستجيب OCSP على وشك الانتهاء، قم بالتصفية فقط بواسطة OCSP تحت الاسم المألوف. إذا كانت شهادة المستجيب OCSP منتهية الصلاحية بالفعل، تابع الإجراء التالي.

لتحديد موقع شهادة OCSP Responder منتهية الصلاحية، أدخل عوامل التصفية التالية:

• اسم مألوف: OCSP
• الحالة: منتهية الصلاحية

يعرض الجدول شهادات مستجيب OCSP منتهية الصلاحية.

حدد خانة الاختيار المجاورة لشهادة المستجيب OCSP التي يجب إزالتها وانقر فوق حذف.

حدد موافق في تحذير التأكيد لمتابعة حذف الشهادة.

قبل حذف الشهادة، من المهم فهم أن شهادة المستجيب OCSP هي جزء من البنية الأساسية ل ISE Internal CA.

التحذير الذي يظهر أثناء الحذف عام ويطبق على كل الشهادات الداخلية المتعلقة ب CA. والغرض منه هو التحذير من حذف الشهادات داخل التدرج الهرمي ل CA الداخلي، نظرا لأن بعض هذه الشهادات تشير إلى شهادات نقطة نهاية تستخدم في خدمات مثل BYOD أو pxGrid أو وظائف أخرى تعتمد على الشهادات الصادرة عن ISE Internal CA.

كما يمكن أن تؤثر شهادة OCSP Responder منتهية الصلاحية على الشهادات التي تم إصدارها من قبل ISE Internal CA. عندما يستعلم عميل أو خدمة عن حالة شهادة تم إصدارها من قبل المرجع المصدق هذا، ترجع خدمة OCSP خطأ بسبب انتهاء صلاحية شهادة المستجيب OCSP، مما قد يتسبب في فشل التحقق من حالة الشهادة.

عندما تقوم بتحديد حذف، يتم عرض خيارين:

• حذف الشهادة: يحذف هذا الخيار شهادة المرجع المصدق الداخلي من Cisco ISE من مخزن الشهادات الموثوق بها. عند حذف شهادة المرجع المصدق الداخلية، تصبح جميع شهادات نقطة النهاية الموقعة من قبل المرجع المصدق هذا غير صحيحة، ولا يمكن لنقاط النهاية المتأثرة الوصول إلى الشبكة. هذا الإجراء قابل للعكس: يمكنك إستعادة الوصول إلى الشبكة عن طريق إستيراد نفس شهادة CA الداخلية مرة أخرى إلى مخزن الشهادات الموثوق بها.
• شهادة الحذف والإبطال: يقوم هذا الخيار بحذف وإبطال شهادة CA الداخلية من Cisco ISE. كما هو الحال مع خيار الحذف، تصبح جميع شهادات نقاط النهاية الموقعة من قبل المرجع المصدق الداخلي غير صالحة، وتفقد نقاط النهاية المتأثرة الوصول إلى الشبكة. غير أن هذه العملية لا يمكن الرجوع عنها. بعد الإبطال، يجب عليك إستبدال سلسلة شهادات جذر Cisco ISE بالكامل للنشر لاستعادة الوظائف.
  
  

أي خيار تريد تحديده لشهادة مستجيب OCSP منتهية الصلاحية؟

ينطبق التأثير الموضح على شهادات CA الداخلية التي توقع شهادات نقطة النهاية بشكل نشط. لا توقع شهادة المستجيب OCSP شهادات نقطة النهاية، بل تستخدم لاتصال OCSP. بينما قد تتسبب شهادة OCSP Responder منتهية الصلاحية في فشل التحقق من حالة الشهادة للشهادات التي تم إصدارها من قبل CA الداخلي، فإن الشهادة منتهية الصلاحية بالفعل وبالتالي لم تعد توفر استجابات OCSP صالحة. لا يؤدي حذفه إلى أي تأثير إضافي.

نظرا لأن شهادة المستجيب OCSP في هذا السيناريو منتهية الصلاحية بالفعل، فإنها لم تعد صالحة. في هذه الحالة، ينتج عن كل من Delete و Delete و Revoke نفس النتيجة، نظرا لأنه لا يوجد شيء صالح لإبطاله.

ولهذه الأسباب، يكون الخيار "حذف" هو الخيار الموصى به، لأنه الإجراء الأكثر بساطة ويتجنب إنشاء إدخال إبطال غير ضروري.

بعد حذف الشهادة، يظهر إعلام "إستجابة الخادم" يشير إلى أن الشهادة الموثوق بها قد تم حذفها بنجاح:

التحقق من الصحة

بعد حذف الشهادة، يمكنك إستخدام أحد الطريقتين أو كليهما للتحقق من نجاح العملية.

الخيار 1 - التحقق من تنبيهات لوحة المعلومات

انتقل إلى صفحة لوحة المعلومات.

في dashlet للإنذارات، حدد موقع تنبيه تغيير التكوين. حدد المنبه لعرض التفاصيل.

يجب أن يظهر إدخال يشير إلى حذف كائن تكوين. يجب أن يطابق اسم الكائن شهادة المستجيب OCSP التي تمت إزالتها.

الخيار 2 - التحقق من مخزن الشهادات الموثوق به

كخطوة إضافية، انتقل إلى جدول مخزن الشهادات الموثوق بها ومرشح شهادة المستجيب OCSP. نظرا لحذف الشهادة، يجب ألا يعرض الجدول أية بيانات متاحة.

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	06-Jul-2026	الإصدار الأولي