Konfigurieren von CSSM vor Ort und Registrieren von Lizenzen mit der ISE

Einleitung

In diesem Dokument wird die Integration von CSSM vor Ort mit der Cisco Identity Service Engine (ISE) und Cisco Smart Account beschrieben, um eine nahtlose Einrichtung zu gewährleisten.

Voraussetzungen

Anforderungen

ISE 3.x

Cisco Smart Software Manager (CSSM) Version 8, Version 202304 +

Verwendete Komponenten

• Identity Service Engine 3.2 Patch 2
• SSM am Standort 8.20234
• Windows Active Directory 2016 (DNS- und Zertifizierungsstellen-Dienste)
• VMware ESXi Version 7

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Netzwerkdiagramm

Allgemeine Topologie

Installation von CSSM vor Ort auf VMWARE ESXi

1. Laden Sie Cisco IOS® herunter. Sie können den nächsten Link verwenden: https://software.cisco.com/download/home/286285506/type/286326948/release/8-202304

2. Laden Sie das ISO in VMWARE ESXi hoch.

Navigieren Sie zu Speicher > Datenspeicher-Browser.

Datenbrowserabschnitt

3. Klicken Sie auf Verzeichnis erstellen, um einen neuen Ordner zu erstellen (optional).

Erstellung des Verzeichnisses

In diesem Beispiel wurde der Ordner CSSM erstellt:

Erstellen von Ordnern

4. Klicken Sie auf Hochladen und wählen Sie dann Ihre ISO-Datei.

ISO hochladen

Jetzt befindet sich die ISO-Datei im CSSM-Ordner:

Der ISO-Upload ist abgeschlossen.

5. Erstellen Sie das virtuelle System. Navigieren Sie zu Virtuelles System > VM erstellen/registrieren.

Erstellen einer neuen VM Schritt 01

6. Wählen Sie Neues virtuelles System erstellen, und klicken Sie auf Weiter.

Erstellen einer neuen VM Schritt 02

7. Konfigurieren Sie dann die nächsten Parameter:

• Name: Geben Sie den Namen Ihres virtuellen Systems ein.
• Kompatibilität: Wählen Sie entweder ESXi 6.0 oder höher oder ESXi 6.5 oder höher aus. 
• Gast-Betriebssystem-Familie: Linux .
• Gastbetriebssystem-Version: Wählen Sie entweder CentOS 7 (64 Bit) oder Other 2.6x Linux (64 Bit)

Klicken Sie auf Next (Weiter).

VM-Name und IOS

8. Wählen Sie Ihren Speicher aus und klicken Sie auf Weiter.

Speicherliste

9. Konfigurieren Sie die nächsten Parameter:

• CPU: 4 als Minimum. Die tatsächliche vCPU-Einstellung hängt von Ihren Größenanforderungen ab.

Anmerkung: Die Anzahl der Kerne pro Socket muss auf 1 festgelegt werden, unabhängig von der Anzahl der ausgewählten virtuellen Sockets. Beispielsweise muss eine Konfiguration mit 4 vCPUs als 4 Sockets und 1 Core pro Socket konfiguriert werden.

Konfiguration der Kerne

• Arbeitsspeicher: 8 GB
• Festplatte: 200 GB und prüfen, ob die Bereitstellung auf Thin Provision eingestellt ist.

Konfiguration der Festplatte

• Netzwerkadapter: Wählen Sie E1000-Adaptertyp und dann Beim Einschalten verbinden aus.

Konfiguration der Netzwerkeinstellungen

• CD-/DVD-Laufwerk: Wählen Sie "Daten-ISO-Datei" und wählen Sie die ISO-Datei.

ISO-Image

Sie können die Zusammenfassung der Einstellungen überprüfen, sobald Sie die vorherigen Schritte durchgeführt haben.

Zusammenfassung VM-Konfiguration 01

Klicken Sie auf Next (Weiter).

10. Klicken Sie auf Fertig stellen.

Zusammenfassung VM-Konfiguration 02

Erstkonfiguration von CSSM vor Ort .

1. Navigieren Sie in VMWARE ESXi zu Virtuelle Systeme, wählen Sie Ihr virtuelles System aus, und klicken Sie dann auf Einschalten.

Einschaltoption

2. Sie haben mehrere Optionen, um die VM-Konsole zu verwalten. Wählen Sie Konsole > Browserkonsole öffnen aus.

Optionen für das Management des virtuellen Systems

3. Konfigurieren Sie Ihre Netzwerkeinstellungen.

Anmerkung: Es ist wichtig, die IP-Adresse des DNS-Servers zu konfigurieren, der den CSSM-FQDN auflöst.

Konfiguration der CSSM-Netzwerkeinstellungen

Klicken Sie auf OK, um Ihr neues CLI-Kennwort zu konfigurieren.

4. Anschließend wird der Installationsvorgang gestartet und abgeschlossen, bis Sie die Eingabeaufforderung sehen können.

CSSM-Erstkonfiguration abgeschlossen

5. Öffnen Sie einen Browser, und geben Sie https://<ip_address_CSSM> ein.

CSSM-Anmeldeseite

Standardanmeldeinformationen verwenden:

Benutzername: Administrator

Kennwort: CiscoAdmin. 2345

6. Wählen Sie Ihre Sprache aus.
7. Erstellen Sie ein neues GUI-Kennwort.
8. Konfigurieren Sie den allgemeinen Hostnamen. (beispiel: hostname.yourdomain).

In diesem Fall wurde cssm.testlab.local als allgemeiner Hostname konfiguriert.

Allgemeine Hostnamenskonfiguration

9. Validieren Sie Ihre Konfiguration, und klicken Sie auf Apply.

Die CSSM-Anfangseinstellungen wurden abgeschlossen.

Integration von CSSM vor Ort mit Smart Account

Sie müssen Ihren Smart Account mit Ihrem CSSM On Prem Server verknüpfen.

1. Öffnen Sie Ihren Cisco Smart Account über den folgenden Link:

https://software.cisco.com/

2. Wählen Sie anschließend im Abschnitt Smart Software Manager die Option Manage Licenses (Lizenzen verwalten).

	Option zum Verwalten von Lizenzen

3. Navigieren Sie zu Inventar, und kopieren Sie den Namen Ihres Smart Account-Namens und Virtual Account. In diesem Leitfaden ist dies InternalTestDemoAccount67 und AAA MEX TEST.

Seite "Software Cisco"

4. Öffnen Sie die CSSM-GUI, und wählen Sie die Option Admin Workspace aus.

Hauptmenü von CSSM

5. Wählen Sie dann Konten aus.

Konten.

6. Wählen Sie Neues Konto, um eine neue Registrierungsanfrage zu erstellen.

Erstellung des CSSM-Kontos.

7. Geben Sie die nächsten Informationen ein:

• Kontoname: Dies ist ein benutzerdefinierter Name für das neue Register.
• Cisco Smart Account: Fügen Sie Ihren Smart Account-Namen ein.
• Cisco Virtual Account: Fügen Sie Ihren Virtual Account-Namen ein.
• E-Mail zur Benachrichtigung: Geben Sie Ihre E-Mail ein.

Kontoregistrierung.

Klicken Sie auf Senden.

8. Klicken Sie dann auf Account Requests.

In diesem Abschnitt sehen Sie die Anforderung, die im vorherigen Schritt durchgeführt wurde.

Kontoanforderung.

9. Klicken Sie auf Aktionen.

Aktionen (Option)

Sie haben drei Möglichkeiten:

• Genehmigen: Mit dieser Option können Sie die CSSM-Funktion vor Ort bei Ihrem Smart Account über das Internet registrieren.
• Ablehnen: Löschen Sie die Anforderung.
• Manuelle Registrierung: Mit dieser Option können Sie die CSSM-Funktion vor Ort bei Ihrem Smart Account ohne Internet registrieren.

 OPTION 1: Registrieren Sie Ihren CSSM vor Ort über eine Internetverbindung.

1. Wenn Sie Genehmigen auswählen, müssen Sie Ihren Benutzernamen und Ihr Kennwort für Ihr Cisco Smart Account eingeben und auf Senden klicken.

Genehmigen.

Klicken Sie dann auf Weiter, um die Kontoregistrierung zu akzeptieren.

Kontoregistrierung.

Um den Status der Registrierung zu bestätigen, navigieren Sie zu Konto, und der Kontostatus muss als aktiv angegeben werden.

Kontostatus.

Öffnen Sie jetzt Ihren Smart Account (https://software.cisco.com/). Wählen Sie dann die Option On-Prem Accounts (Vor-Ort-Konten) aus, um die neue Registrierung anzuzeigen.

vor Ort.

OPTION 2: Registrieren Sie Ihren CSSM vor Ort ohne Internetverbindung.

Wenn Sie Manuelle Registrierung auswählen, klicken Sie auf Registrierungsdatei generieren. Dadurch wird eine Registrierungsanfrage erstellt, die auf Ihren Computer heruntergeladen wird.

Manuelle Registrierung.

Öffnen Sie dann Ihren Smart Account (https://software.cisco.com/) und navigieren Sie zu On-Prem Accounts (Standortkonten).

Klicken Sie auf Neu am Standort

Hinzufügen neuer standortbasierter Services

Konfigurieren Sie anschließend die folgenden Parameter:

• Name am Standort: Dies ist ein benutzerdefinierter Name für das neue Register.
• Registrierungsdatei: Klicken Sie auf Choose File (Datei auswählen), und wählen Sie den Registrierungsantrag aus.
• Virtuelles Konto: Fügen Sie Ihren Virtual Account-Namen ein.

Autorisierungsdatei

und klicke auf "Generate Authorization File".

Laden Sie dann die Autorisierungsdatei herunter.

Autorisierungsdatei wird heruntergeladen.

Öffnen Sie die CSSM-Benutzeroberfläche, um die Autorisierungsdatei hochzuladen. Klicken Sie auf Durchsuchen, wählen Sie die Datei aus, und klicken Sie dann auf Hochladen.

Autorisierungsdatei wird hochgeladen.

Navigieren Sie anschließend zu Synchronisation, und klicken Sie auf Aktionen > Manuelle Synchronisation > Vollständige Synchronisation.

Manuelle Synchronisierung.

Laden Sie die Synchronisierungsanforderungsdatei herunter.

Datei-Synchronisierung wird heruntergeladen.

Öffnen Sie Ihr Smart Account, und wählen Sie On-Prem Account aus. Suchen Sie dann in der Liste nach Ihrem CSSM On-Prem-Namen, und klicken Sie auf Actions > File Sync (Aktionen > Dateisynchronisierung)

Datei-Synchronisierung wird hochgeladen.

Laden Sie dann die Synchronisierungsanforderungsdatei hoch, und klicken Sie auf Antwortdatei generieren.

Generieren Sie eine Antwortdatei.

Klicken Sie dann auf Synch Response-Datei herunterladen

Synchronisierungsdatei

Laden Sie abschließend die Synch Response-Datei in den CSSM am Standort hoch.

Synchronisierung abgeschlossen.

 Integration von CSSM vor Ort in die ISE

1. Öffnen Sie die CSSM-GUI, und wählen Sie Admin Workspace aus.

Hauptmenü von CSSM

2. Navigieren Sie zu Sicherheit > Zertifikate > CSR erstellen.

Anmerkung: Es ist wichtig, den Hostnamen + die Domäne auf dem gemeinsamen Hostnamen zu konfigurieren, da die ISE diesen Parameter verwendet, um eine Verbindung mit dem CSSM herzustellen. Sie können eine IP-Adresse anstelle des Hostnamens + Domäne verwenden. Es wird jedoch empfohlen, den Hostnamen + Domäne zu verwenden.

Anmerkung: In den nächsten Schritten wird beschrieben, wie Sie das GUI-Zertifikat im CSSM installieren. Wenn Sie die Verwaltungsverbindung zum GUI CSSM mithilfe eines Zertifikats schützen möchten, das von Ihrer persönlichen Zertifizierungsstelle signiert wurde, müssen Sie die nächsten Schritte überprüfen. Überprüfen Sie andernfalls direkt den Schritt 9.

CSR-Option

3. Geben Sie dann Ihre persönlichen Daten ein. Beachten Sie, dass der alternative Antragstellername automatisch erstellt wird, indem derselbe Wert wie der allgemeine Name verwendet wird. Der CSR wird automatisch heruntergeladen, nachdem Sie auf Generate (Generieren) geklickt haben.
   

CSR-Details

4. Signieren Sie die CSR-Anfrage: Weitere Informationen finden Sie unter "Zertifikate von Windows-Zertifizierungsstelle erstellen". zu diesem Dokument hinzufügen.

5. Laden Sie das Stammzertifikat der Zertifizierungsstelle hoch.

Hochladen der Stammzertifizierungsstelle

Klicken Sie auf Fortfahren.

Proceed-Option.

6. Geben Sie eine Beschreibung ein, wählen Sie das Stammzertifikat aus, und klicken Sie auf OK.

Beschreibung Root CA.

7. Laden Sie den von der Zertifizierungsstelle signierten CSR hoch (CSSM-Identitätszertifikat).

CSSM-Identitätszertifikat wird hochgeladen.

Anmerkung: HINWEIS: In unserem Fall existiert das Zwischenzertifikat nicht in unserer Zertifizierungsstelle. Wenn Sie jedoch ein Zwischenzertifikat in Ihrer Architektur verwenden, ist das Zwischenzertifikat obligatorisch.

8. Überprüfen Sie dann, ob beide Zertifikate installiert wurden.

Validierung von Zertifikaten.

9. Erstellen Sie ein Token auf dem SSM On-Prem: Wählen Sie Lizenzierungsarbeitsbereich aus.

Workspace-Seite.

10. navigieren Sie zu Smart Licensing.

CSSM Smart-Lizenzierungsseite

11. Suchen Sie Ihr lokales virtuelles Konto, klicken Sie dann auf Neues Token, und klicken Sie auf Fortfahren.

Neue Tokenoption.

12. Wählen Sie Token erstellen aus, und kopieren Sie es.

Erstellen eines neuen Tokens.

Token-Details

13. Öffnen Sie die ISE-GUI, und navigieren Sie zu Administration > Systems > Licensing (Administration > Systeme > Lizenzierung). Klicken Sie dann auf Registration details (Registrierungsdetails), wählen Sie die SSM On-Prem Server Host-Methode aus, und fügen Sie das Token ein.

Registrierung von Lizenzen.

14. Geben Sie den SSM On-Prem FQDN auf dem SSM On-Prem Server Host ein, und klicken Sie auf Registrieren.

CSSM- und ISE-Einstellungen.

Anmerkung: Es ist wichtig, den Hostnamen + die Domäne auf dem gemeinsamen Hostnamen zu konfigurieren, da die ISE diesen Parameter verwendet, um eine Verbindung mit dem CSSM herzustellen. Sie können eine IP-Adresse anstelle des Hostnamens + Domäne verwenden. Es wird jedoch empfohlen, den Hostnamen + Domäne zu verwenden.

15. Und schließlich ist die Registrierung abgeschlossen.

Registrierung abgeschlossen.

 Erstellen von Zertifikaten von der Windows-Zertifizierungsstelle

Wenn Sie der Administrator der Zertifizierungsstelle sind, müssen Sie wie folgt vorgehen:

1. Öffnen Sie einen Webbrowser, und navigieren Sie zu http://localhost/certsrv/.
2. Klicken Sie auf Zertifikat anfordern.

Zertifikat anfordern.

3. Klicken Sie auf advanced certificate request (erweiterte Zertifikatsanforderung).

Erweiterte Zertifikatanforderung.

4. Öffnen Sie die zuvor generierte CSR-Anfrage.  Kopieren Sie dann die Informationen und fügen Sie sie auf Gespeicherte Anfrage.

Zertifikat senden.

Nachdem Sie auf Senden geklickt haben, wird das Zertifikat automatisch heruntergeladen.

5. Laden Sie jetzt den Zertifizierungsstellen-Zertifikatstamm herunter. Navigieren Sie zurück zu http://localhost/certsrv/, und wählen Sie CA-Zertifikat, Zertifikatskette oder Zertifikatsperrliste herunterladen aus.

Stammzertifizierungsstelle herunterladen.

6. Laden Sie das CA-Zertifikat mit der Verschlüsselungsmethode Base64 herunter.

Base 64-Option

Hinzufügen von DNS-Einträgen auf Windows Server

Wenn Sie der Administrator sind, fügen Sie die ISE- und CSSM-FQDNs hinzu.

1. Öffnen Sie den DNS-Manager: Geben Sie "DNS" im Windows Finder ein, und öffnen Sie die DNS-App.

DNS-Option

2. Navigieren Sie zu Forward Lookup Zones > und wählen Sie Ihre Domäne aus.

DNS-Manager

3. Klicken Sie mit der rechten Maustaste auf ein schwarzes Feld über dem Bildschirm, und wählen Sie "New Host (A or AAAA)" aus.

Datensatz wird hinzugefügt.

4. Konfigurieren Sie den DNS-Eintrag als Nächstes:

• Name: Dies bezeichnet den Namen des Hosts.
• Die IP-Adresse des Geräts

Klicken Sie auf "Host hinzufügen"

Datensatzeinstellungen.

Fehlerbehebung

Host-/IP-Adresse ist nicht erreichbar. (Fehler bei ISE)

Erreichbarer Fehler.

Lösung 1: Überprüfen und korrigieren Sie die DNS-Konfiguration im ISE-Knoten.

1. Öffnen Sie die ISE-CLI, und geben Sie "nslookup <CSSM_FQDN>"

Im nächsten Beispiel wird deutlich, dass cssm.testlab.local nicht vom ISE-Knoten aufgelöst wurde.

CSSM-Auflösung fehlgeschlagen.

Die richtige Lösung wäre:

CSSM-Auflösung erfolgreich.

Aktionsplan:

1. Lesen Sie das Thema zur DNS-Konfiguration in diesem Dokument.
2. Geben Sie den Befehl show running-config in der ISE-CLI ein, um "ip name-server" zu überprüfen. Der "ip name-server" muss mit der IP-Adresse des DNS-Servers übereinstimmen.

Lösung 2: Öffnen Sie die CSSM-GUI, um sicherzustellen, dass der gemeinsame Hostname und das Browserzertifikat mit dem CSSM-Host-Parameter des lokalen Servers auf der ISE übereinstimmen.

Falsches Szenario:

CSSM-Auflösung und ISE-Einstellung sind falsch.

Richtiges Szenario:

CSSM-Auflösung und ISE-Einstellung sind richtig.

Aktionsplan: Weitere Informationen finden Sie in der ISE- und CSSM-Konfiguration.

SSO-Dienst: Cisco konnte nicht erreicht werden. (Fehler bei CSSM vor Ort)

Kontoregistrierung fehlgeschlagen.

Lösung: Überprüfen Sie Ihre Internetverbindung.

Aktionsplan:

1. Wenn Sie für den Zugriff auf das Internet einen Proxy benötigen, navigieren Sie zu Netzwerk > Proxy, aktivieren Sie die Option Proxy-Server verwenden, und klicken Sie auf Anwenden.

Proxy-Konfiguration.

Der Common Name im CSR ist kein in DNS auflösbarer Hostname oder keine IP-Adresse. Versuchen Sie es erneut. (Fehler bei CSSM vor Ort)

CSR-Fehler.

Lösung: Überprüfen und korrigieren Sie die DNS-Auflösung auf dem CSSM-Server.

1. Öffnen Sie die CSSM-CLI, und geben Sie "nslookup <CSSM_FQDN>"

Im nächsten Beispiel wird deutlich, dass cssm.testlab.local nicht vom CSSM-Server aufgelöst wurde.

Der DNS-Server ist nicht erreichbar.

Die richtige Ausgabe wäre die nächste:

Der DNS-Server ist erreichbar.

Aktionsplan:

Überprüfen Sie die DNS-Konfigurationen auf dem CSSM On-Prem.

1. Navigieren Sie zu Netzwerk > Allgemein > DNS-Einstellung.

Der primäre oder alternative DNS muss mit der IP-Adresse des DNS-Servers übereinstimmen.

DNS-Einstellungen.