Windows Server-Zertifikatvorlage für Catalyst Center erstellen

Einleitung

In diesem Dokument werden die Schritte zum Erstellen einer Zertifikatvorlage auf einem Windows-Server mit dem CA-Tool (Certificate Authority) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco Catalyst Center
• Ein Windows-Server mit installierter und konfigurierter Zertifizierungsstellenrolle (Certification Authority, CA)
• Administratorrechte auf dem Windows Server
• Zugriff auf die Verwaltungskonsole der Zertifizierungsstelle
• Grundkenntnisse von Zertifikatvorlagen und Zertifikatsanforderungen (Certificate Signing Requests, CSR)

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Microsoft Windows Server 2022 Standard.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Diese benutzerdefinierte Vorlage löst das Problem, dass die Standard-CA-Vorlagen die Client-Authentifizierung von den erweiterten Schlüsselverwendungen entfernen. Die benutzerdefinierte Vorlage kann die von Catalyst Center generierte CSR-Anforderung (Certificate Signing Request) signieren.

Konfigurieren

Schritte zum Überprüfen und Konfigurieren von Zertifikatvorlagen auf Windows Server mit der Zertifizierungsstelle (Certification Authority, CA)

1. Melden Sie sich bei dem Windows-Server an, der die Zertifizierungsstelle hostet, und verwenden Sie Remotedesktop.

2. Öffnen Sie eine Eingabeaufforderung (CMD) oder eine PowerShell-Sitzung.

3. Starten Sie die Konsolen der Zertifizierungsstelle und Zertifikatvorlage, indem Sie Folgendes ausführen:

certsrv.msc
certtmpl.msc

PowerShell-Administrationsbefehle

Beispiel für Windows Server

4. Suchen Sie in der Zertifikatvorlagenkonsole die Vorlage, die geklont werden soll, um eine neue anpassbare Vorlage zu erstellen.

Tipp: Verwenden Sie die Webserver-Vorlage, da sie bereits alle erforderlichen Parameter für das Catalyst Center-Zertifikat enthält.

• Beispiel: Klicken Sie mit der rechten Maustaste auf den Webserver, und wählen Sie Vorlage duplizieren aus.

Vorlage kopieren

5. Eine neue Vorlage ist geöffnet, ändern Sie sie mit den erforderlichen Eigenschaften.

Erforderliche Merkmale der Vorlage

6. Ändern Sie die neue Vorlage wie folgt:

6.1 Registerkarte Allgemein

• Geben Sie einen Vorlagennamen ein (z. B. Catalyst Center-Vorlage).
• Definieren Sie die Gültigkeitsdauer (Standard: 2 Jahre).

Vorlagenname

6.2 Registerkarte Erweiterungen.

• Navigieren Sie zu Anwendungsrichtlinien, und klicken Sie auf Bearbeiten.

Anmerkung: Vergewissern Sie sich auf dieser Registerkarte, dass die Vorlage die obligatorischen Erweiterungen für die Schlüsselverwendung enthält, die für das Catalyst Center-Zertifikat erforderlich sind, z. B. keyEncipherment und digitalSignature. Diese sind bereits in der als Basis verwendeten Webserver-Standardvorlage vorhanden.

Anwendungsrichtlinien-Vorlagen

• Klicken Sie auf Hinzufügen, suchen Sie nach Client-Authentifizierung, und klicken Sie auf OK, um sie einzuschließen.

Client-Authentifizierung

Anwendungsrichtlinie hinzufügen

• Bestätigen Sie, dass die Vorlage Client Authentication zusammen mit den Standardverwendungen anzeigt.

Erweiterung für Anwendungsrichtlinien

7. Klicken Sie auf Apply und dann ok.

8. Erweitern Sie in der Konsole der Zertifizierungsstelle die Zertifizierungsstellenstruktur, und wählen Sie den Ordner Zertifikatvorlagen aus.

Zertifizierungsstellenbaum-Zertifikatvorlagen

9. Klicken Sie mit der rechten Maustaste auf den Ordner Zertifikatvorlagen, und wählen Sie:

Neu > Zertifikatvorlage zur Ausgabe.

Neue auszustellende Zertifikatvorlage

10. Wählen Sie im neuen Fenster die neu erstellte Vorlage (z. B. Catalyst Center-Vorlage) aus, und klicken Sie auf OK.

Catalyst Center-Vorlage

11. Die Vorlage wird nun in der Liste Zertifikatvorlagen der Zertifizierungsstelle angezeigt.

12. Öffnen Sie einen Browser und navigieren Sie zu:

http://localhost/certsrv/

Anmeldeseite http://localhost/certsrv/

13. Wählen Sie Zertifikat anfordern und anschließend Erweiterte Zertifikatsanforderung, um zu überprüfen, ob die neue Vorlage verfügbar ist.

14. Senden Sie auf dieser Seite die CSR-Anfrage, und wählen Sie die neu erstellte Vorlage aus, um das signierte Zertifikat zu generieren.

Zertifikat anfordern

13. Das Zertifikat wird mit den richtigen Erweiterungen generiert, wie im Beispiel gezeigt.

Zertifikatbeispiel

Fehlerbehebung

Wenn beim Signieren des CSR Fehler auftreten, überprüfen Sie die Windows Server-Protokolle auf weitere Details:

Fehler:

Fehler bei Fehlerbehebung

1. Öffnen Sie die Ereignisanzeige, indem Sie Folgendes ausführen:

eventvwr.msc

2. Navigieren Sie zu Ereignisanzeige > Windows-Protokolle > Anwendung.

3. Ereignisse filtern oder suchen, bei denen:

   1. Quelle = Zertifizierungsstelle

   2. Ereignis-ID = 53, 54, 55 oder Ähnliches (diese weisen darauf hin, dass eine Anforderung ausgestellt, abgelehnt oder ausstehend ist).

   3. Die Ereignismeldung enthält Details zum Grund der Ablehnung (falls zutreffend).

4. Verwenden Sie die Option Suchen (klicken Sie mit der rechten Maustaste auf Anwendung > Suchen...), und suchen Sie nach:

• certsrv

• Anforderungs-ID (falls bekannt, z. B. 164)

Fehlerbehebung bei Windows Server-Protokollen