Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Problem

Lösung

1. Identifizieren alter privater Schlüssel

2. Alte private Schlüssel löschen

3. Alte MSCEP-RA-Zertifikate löschen

4. Erstellen neuer Zertifikate für SCEP

4.1 Erstellen des Exchange-Anmeldezertifikats

4.2 Generieren des CEP-Verschlüsselungszertifikats

5. Überprüfen

6. IIS neu starten

7. Neues SCEP-RA-Profil erstellen

8. Zertifikatsvorlage ändern

Referenzen

Einführung

In diesem Dokument wird beschrieben, wie Sie zwei Zertifikate erneuern, die für das Simple Certificate Enrollment Protocol (SCEP) verwendet werden: Exchange Enrollment Agent und CEP Encryption-Zertifikat auf Microsoft Active Directory 2012.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- Grundkenntnisse der Microsoft Active Directory-Konfiguration

- Grundkenntnisse der Public Key Infrastructure (PKI)

- Grundkenntnisse der Identity Services Engine (ISE)

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco Identity Services Engine Version 2.0

- Microsoft Active Directory 2012 R2

Problem

Die Cisco ISE verwendet das SCEP-Protokoll, um die Registrierung von privaten Geräten (BYOD Onboarding) zu unterstützen. Bei Verwendung einer externen SCEP-CA wird diese CA durch ein SCEP-RA-Profil auf der ISE definiert. Wenn ein SCEP-RA-Profil erstellt wird, werden dem Trusted Certificates Store automatisch zwei Zertifikate hinzugefügt:

- CA-Stammzertifikat,

- RA (Registration Authority)-Zertifikat, das von der Zertifizierungsstelle signiert wird.

RA ist dafür verantwortlich, die Anforderung vom registrierenden Gerät zu empfangen und zu validieren und an die Zertifizierungsstelle weiterzuleiten, die das Client-Zertifikat ausstellt.

Wenn das RA-Zertifikat abläuft, wird es auf CA-Seite nicht automatisch verlängert (in diesem Beispiel Windows Server 2012). Dies sollte manuell vom Active Directory/CA-Administrator durchgeführt werden.

Dies ist ein Beispiel dafür, wie Sie dies auf Windows Server 2012 R2 erreichen.

Die ersten SCEP-Zertifikate sind auf der ISE sichtbar:

Es wird davon ausgegangen, dass das MSCEP-RA-ZERTIFIKAT abgelaufen ist und verlängert werden muss.

Lösung

Vorsicht: Alle Änderungen an Windows Server sollten zuerst mit dem Administrator abgefragt werden.

1. Identifizieren alter privater Schlüssel

Suchen Sie mithilfe des certutil-Tools nach privaten Schlüsseln, die den RA-Zertifikaten im Active Directory zugeordnet sind. Suchen Sie anschließend nach Schlüsselcontainern.

certutil -store MY %COMPUTERNAME%-MSCEP-RA

Wenn der Name Ihres ursprünglichen MSCEP-RA-Zertifikats nicht identisch ist, sollte er in dieser Anforderung angepasst werden. Standardmäßig sollte er jedoch den Computernamen enthalten.

2. Alte private Schlüssel löschen

Löschen Sie die verweisenden Tasten manuell aus dem Ordner unten:

C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys

3. Alte MSCEP-RA-Zertifikate löschen

Entfernen Sie nach dem Löschen der privaten Schlüssel die MSCEP-RA-Zertifikate aus der MMC-Konsole.

MMC > Datei > Snap-In hinzufügen/entfernen.. > "Zertifikate" > Computerkonto > Lokaler Computer hinzufügen

4. Erstellen neuer Zertifikate für SCEP

4.1 Erstellen des Exchange-Anmeldezertifikats

4.1.1 Erstellen Sie eine Datei cisco_ndes_sign.inf mit dem folgenden Inhalt. Diese Informationen werden später vom Tool certreq.exe verwendet, um die Zertifikatssignierungsanforderung (Certificate Signing Request, CSR) zu generieren:

[NewRequest]

Subject = “CN=NEW-MSCEP-RA,OU=Cisco,O=Systems,L=Krakow,S=Malopolskie,C=PL”

Exportable = TRUE

KeyLength = 2048

KeySpec = 2

KeyUsage = 0x80

MachineKeySet = TRUE

ProviderName = “Microsoft Enhanced Cryptographic Provider v1.0″

ProviderType = 1

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.4.1.311.20.2.1

[RequestAttributes]

CertificateTemplate = EnrollmentAgentOffline

Tipp: Wenn Sie diese Dateivorlage kopieren, stellen Sie sicher, dass Sie sie an Ihre Anforderungen anpassen und überprüfen, ob alle Zeichen ordnungsgemäß kopiert wurden (einschließlich Anführungszeichen).

4.1.2 Erstellen Sie mit dem folgenden Befehl CSR auf der Grundlage der INF-Datei:

certreq -f -new cisco_ndes_sign.inf cisco_ndes_sign.req

Wenn das Warndialogfeld Benutzerkontextregelungen mit Maschinenkontexten in Konflikt steht, klicken Sie auf OK. Diese Warnung kann ignoriert werden.

4.1.3 Senden Sie die CSR-Anfrage mit dem folgenden Befehl:

certreq -submit cisco_ndes_sign.req cisco_ndes_sign.cer

Während dieses Vorgangs wird ein Fenster geöffnet, und die richtige CA muss ausgewählt werden.

4.1.4 Das im vorherigen Schritt ausgestellte Zertifikat akzeptieren. Durch diesen Befehl wird das neue Zertifikat importiert und in den lokalen Computer Personal Store verschoben:

certreq -accept cisco_ndes_sign.cer

4.2 Generieren des CEP-Verschlüsselungszertifikats

4.2.1 Erstellen Sie eine neue Datei cisco_ndes_xchg.inf:

[NewRequest]

Subject = "CN=NEW-MSCEP-RA,OU=Cisco,O=Systems,L=Krakow,S=Malopolskie,C=PL"

Exportable = TRUE

KeyLength = 2048

KeySpec = 1

KeyUsage = 0x20

MachineKeySet = TRUE

ProviderName = “Microsoft RSA Schannel Cryptographic Provider”

ProviderType = 12

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.4.1.311.20.2.1

[RequestAttributes]

CertificateTemplate = CEPEncryption

Befolgen Sie die gleichen Schritte wie in 4.1 beschrieben.

4.2.2 Erstellen Sie einen CSR auf der Grundlage der neuen INF-Datei:

certreq -f -new cisco_ndes_xchg.inf cisco_ndes_xchg.req

4.2.3 Senden Sie die Anfrage:

certreq -submit cisco_ndes_xchg.req cisco_ndes_xchg.cer

4.2.4 Akzeptieren Sie das neue Zertifikat, indem Sie es in den lokalen Computer Personal Store verschieben:

certreq -accept cisco_ndes_xchg.cer

5. Überprüfen

Nach Abschluss von Schritt 4 werden zwei neue MSCEP-RA-Zertifikate im lokalen Computer Personal Store angezeigt:

Sie können die Zertifikate auch mit dem Tool certutil.exe überprüfen (verwenden Sie den richtigen neuen Zertifikatsnamen). MSCEP-RA-Zertifikate mit neuen gemeinsamen Namen und neuen Seriennummern müssen angezeigt werden:

certutil -store MY NEW-MSCEP-RA

6. IIS neu starten

Starten Sie den IIS-Server (Internetinformationsdienste) neu, um die Änderungen anzuwenden:

iisreset.exe

7. Neues SCEP-RA-Profil erstellen

Erstellen Sie auf der ISE ein neues SCEP RA-Profil (mit derselben Server-URL wie der alte), sodass neue Zertifikate heruntergeladen und dem Trusted Certificates Store hinzugefügt werden:

8. Zertifikatsvorlage ändern

Vergewissern Sie sich, dass das neue SCEP-RA-Profil in der vom BYOD verwendeten Zertifikatsvorlage festgelegt ist (Sie können es unter Administration > System > Certificates > Certificate Authority > Certificates Templates (Administration > System > Zertifikate > Zertifizierungsstelle > Zertifikatsvorlagen) überprüfen:

Referenzen

1. Microsoft TechNet-Zonenartikel

2. Cisco ISE-Konfigurationsleitfäden