Configuración de CSSM en instalaciones y registro de licencias con ISE

Introducción

Este documento describe la integración de CSSM On-Prem con Cisco Identity Service Engine (ISE) y Cisco Smart Account, lo que garantiza una configuración perfecta.

Prerequisites

Requirements

ISE 3.X

Cisco Smart Software Manager (CSSM) versión 8 versión 202304 +

Componentes Utilizados

• Identity Service Engine 3.2 parche 2
• SSM en las instalaciones 8.20234
• Windows Active Directory 2016 (servicios DNS y Certificate Authority)
• VMWare ESXi versión 7

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Diagrama de la red

Topología general

Instale CSSM en las instalaciones en VMWARE ESXi.

1. Descargue Cisco IOS®. Puede utilizar el siguiente enlace: https://software.cisco.com/download/home/286285506/type/286326948/release/8-202304

2. Cargue el ISO en VMWARE ESXi.

Vaya a Storage > Datastore Browser.

sección Explorador de datos

3. Haga clic en Crear directorio para crear una nueva carpeta (opcional).

Creación del directorio

En este ejemplo, se creó la carpeta CSSM:

Creación de carpetas

4. Haga clic en Cargar y luego elija su archivo ISO.

Cargando ISO

Ahora el archivo ISO está en la carpeta CSSM:

La carga de ISO se ha completado

5. Cree la máquina virtual. Vaya a Máquina virtual > Crear/registrar VM.

Creación de un nuevo paso de VM 01

6. Seleccione Crear una máquina virtual nueva y haga clic en Siguiente.

Creación de un nuevo paso de VM 02

7. Luego configure los siguientes parámetros:

• Nombre: Introduzca el nombre de la máquina virtual.
• Compatibilidad: Seleccione ESXi 6.0 o posterior o ESXi 6.5 o posterior. 
• Familia de SO invitado: Linux.
• Versión de SO de invitado: Elija CentOS 7 (64 bits) u Otro Linux 2.6x (64 bits)

Haga clic en Next (Siguiente).

Nombre de VM e IOS

8. Seleccione el almacenamiento y haga clic en Siguiente.

Lista de almacenamiento

9. Configure los siguientes parámetros:

• CPU: 4 como mínimo. La configuración real de vCPU depende de los requisitos de escala

Nota: La cantidad de núcleos por socket debe establecerse en 1 independientemente del número de sockets virtuales seleccionados. Por ejemplo, una configuración de 4 vCPU debe configurarse como 4 sockets y 1 núcleo por socket.

Configuración de núcleos

• Memoria: 8 GB
• Disco duro: 200 GB y verificar que el aprovisionamiento esté configurado como Thin Provisioning.

Configuración del disco

• Adaptador de red: Seleccione el tipo de adaptador E1000 y seleccione Connect at Power On.

Configuración de los parámetros de red

• Unidad de CD/DVD: Elija "Archivo ISO de datos" y seleccione el archivo ISO.

imagen ISO

Puede verificar el resumen de la configuración una vez que haya completado los pasos anteriores.

Configuración de VM resumida 01

Haga clic en Next (Siguiente).

10. Haga clic en Finalizar.

Configuración de VM resumida 02

Configuración inicial de CSSM en las instalaciones .

1. En VMWARE ESXi, desplácese hasta Máquinas virtuales, seleccione la máquina virtual y, a continuación, haga clic en Encendido.

Opción de encendido

2. Dispone de varias opciones para administrar la consola de VM. Seleccione Console > Open browser console.

Opciones para administrar la máquina virtual

3. Configure los parámetros de red.

Nota: Es importante configurar la dirección IP del servidor DNS que resuelve el FQDN CSSM.

Configuración de los parámetros de red CSSM

Haga clic en Aceptar para configurar su nueva contraseña CLI.

4. A continuación, el proceso de instalación se inicia y finaliza hasta que se muestra el mensaje de acceso.

Configuración inicial de CSSM completada

5. Abra un navegador e ingrese https://<ip_address_CSSM>.

página de inicio de sesión CSSM

Utilice las credenciales predeterminadas:

Nombre de usuario: admin

Contraseña CiscoAdmin!2345

6. Seleccione su idioma.
7. Cree una nueva contraseña de GUI.
8. Configure el nombre común del host. (ejemplo: hostname.yourdomain).

En este caso, cssm.testlab.local se configuró como nombre común de host.

Configuración de nombre común de host

9. Valide la configuración y haga clic en Apply.

Configuración inicial de CSSM completada.

Integración de CSSM en las instalaciones con Smart Account

Debe asociar su cuenta inteligente con su servidor CSSM en las instalaciones.

1. Abra su cuenta Cisco Smart Account mediante el siguiente enlace:

https://software.cisco.com/

2. A continuación, elija Administrar licencias en la sección Smart Software Manager.

	Opción Administrar licencias

3. Navegue hasta Inventario y copie el nombre de su Smart Account name y de su cuenta virtual. En esta guía, se trata de InternalTestDemoAccount67 y AAA MEX TEST.

Página de software de Cisco

4. Abra la GUI de CSSM y seleccione la opción Admin Workspace.

Menú principal de CSSM.

5. A continuación, seleccione Cuentas.

Cuentas.

6. Seleccione Nueva cuenta para crear una nueva solicitud de registro.

Creación de una cuenta CSSM.

7. Introduzca la siguiente información:

• Nombre de cuenta: Este es un nombre personalizado del nuevo registro.
• Cisco Smart Account: Pegue el nombre de su cuenta inteligente.
• Cuenta virtual de Cisco: Pegue el nombre de la cuenta virtual.
• Correo electrónico de notificación: Escriba su correo electrónico.

Registro de cuenta.

Haga clic en Submit (Enviar).

8. A continuación, haga clic en Solicitudes de cuenta.

En esta sección puede ver la solicitud realizada en el paso anterior.

Solicitud de cuenta.

9. Haga clic en acciones.

Acciones.

Dispone de tres opciones:

• Aprobar: Utilice esta opción para registrar el CSSM en las instalaciones con su cuenta Smart Account a través de Internet.
• Rechazar: Retirar la solicitud.
• Registro manual: Utilice esta opción para registrar el CSSM en las instalaciones con su cuenta Smart Account sin Internet.

 OPCIÓN 1: Registre su CSSM en las instalaciones a través de la conexión a Internet.

1. Si elige Aprobar, debe ingresar su nombre de usuario y contraseña de su Cisco Smart Account y hacer clic en Enviar.

Aprobar opción.

A continuación, haga clic en siguiente para aceptar el registro de la cuenta.

Registro de cuenta.

Para confirmar el estado del registro, navegue hasta Account y el estado de la cuenta debe ser el activo.

Estado de la cuenta.

Ahora abra su cuenta Smart Account (https://software.cisco.com/). A continuación, seleccione la opción On-Prem Accounts para ver el nuevo registro.

A cuenta de Prem.

Opción 2: Registre su CSSM en las instalaciones sin conexión a Internet.

Si selecciona Registro manual, haga clic en Generar archivo de registro. Esto crea una Solicitud de registro que se descargará a su computadora.

Registro manual.

A continuación, abra su cuenta Smart Account (https://software.cisco.com/) y navegue hasta Cuentas in situ.

Haga clic en New On-Prem

Añadiendo nuevo en las instalaciones.

A continuación, configure los siguientes parámetros:

• Nombre en las instalaciones: Este es un nombre personalizado del nuevo registro.
• Archivo de registro: Haga clic en Choose File y seleccione la Solicitud de registro.
• Cuenta virtual: Pegue el nombre de la cuenta virtual.

Archivo de autorización.

Y haga clic en Generar archivo de autorización.

A continuación, descargue el archivo de autorización.

Descargando el archivo de autorización.

Abra la GUI de CSSM para cargar el archivo de autorización. Haga clic en Browse, elija el archivo y, a continuación, haga clic en Upload.

Cargando archivo de autorización.

A continuación, vaya a Sincronización y haga clic en Acciones > Sincronización manual > Sincronización completa.

Sincronización manual.

Descargue el archivo de solicitud de sincronización.

Descargando el archivo Sync.

Abra su Smart Account y seleccione On-Prem Account, busque su nombre CSSM On-Prem en la lista y haga clic en Acciones > File Sync.

Cargando sincronización de archivos.

A continuación, cargue el archivo de solicitud de sincronización y haga clic en Generar archivo de respuesta.

Generar un archivo de respuesta.

A continuación, haga clic en Descargar archivo de respuesta de sincronización

Sincronizar archivo.

Y, por último, cargue el archivo de respuesta de sincronización en el CSSM in situ.

Sincronización completada.

 Integre CSSM en las instalaciones con ISE.

1. Abra la GUI de CSSM y seleccione Admin Workspace.

Menú principal de CSSM.

2. Vaya a Seguridad > Certificados > Generar CSR

Nota: Es importante tener el nombre de host + dominio configurado en el nombre común de host porque ISE utiliza este parámetro para establecer una conexión con el CSSM. Puede utilizar una dirección IP en lugar del nombre de host + dominio; sin embargo, se recomienda utilizar el nombre de host + dominio

Nota: Los siguientes pasos describen el procedimiento para instalar el certificado de GUI en el CSSM. Si desea proteger la conexión de administración a su CSSM GUI mediante un certificado firmado por su autoridad de certificación (CA), debe comprobar los siguientes pasos. De lo contrario, compruebe directamente el paso 9.

Opción CSR.

3. A continuación, introduzca su información personal. Tenga en cuenta que el nombre alternativo del sujeto se crea automáticamente utilizando el mismo valor que el nombre común. El CSR se descarga automáticamente después de hacer clic en Generar.
   

Detalles de CSR.

4. Firme el CSR: Para obtener más información, consulte "Crear certificados desde CA de Windows". en este documento.

5. Cargue el certificado de CA raíz.

Cargando CA raíz.

Haga clic en Proceed.

Opción Proceed.

6. Ingrese una descripción y elija el certificado raíz y haga clic en Aceptar.

CA raíz de descripción.

7. Cargue el CSR firmado por la CA (certificado de identidad CSSM).

Cargando certificado de identidad CSSM.

Nota: NOTE: En nuestro caso, el certificado intermedio no existe en nuestra CA. Sin embargo, si utiliza un certificado intermedio en su arquitectura, el certificado intermedio es obligatorio.

8. A continuación, confirme que se han instalado ambos certificados.

Validación de certificados.

9. Cree un token en SSM On-Prem: Seleccione Licensing Workspace.

Página de Workspace.

10. vaya a Licencias inteligentes.

Página de licencias inteligentes CSSM

11. Busque su cuenta virtual local, haga clic en Nuevo token y haga clic en Continuar.

Nueva opción de token.

12. Seleccione Create Token y cópielo.

Creación de un nuevo token.

Detalles del token.

13. Abra la GUI de ISE y navegue hasta Administration > Systems > Licensing, luego haga clic en Registration details, seleccione el método SSM On-Prem server Host , y pegue el token.

Registro de licencias.

14. Ingrese el SSM On-Prem FQDN en el SSM On-Prem server Host y haga clic en Register.

Configuración de CSSM e ISE.

Nota: Es importante tener el nombre de host + dominio configurado en el nombre común de host porque ISE utiliza este parámetro para establecer una conexión con el CSSM. Puede utilizar una dirección IP en lugar del nombre de host + dominio, sin embargo, se recomienda utilizar el nombre de host + dominio

15. Y, por último, se ha completado el registro.

Registro completado.

 Crear certificados desde CA de Windows.

Si es el administrador de la Autoridad de certificación, debe hacer lo siguiente:

1. Abra un navegador web y navegue hasta http://localhost/certsrv/
2. Haga clic en Solicitar un certificado.

Solicitar certificado.

3. Haga clic en Advanced Certificate Request.

Solicitud de certificado avanzada.

4. Abra el CSR generado anteriormente.  A continuación, copie la información y péguela en Solicitud guardada.

Enviar certificado.

Después de hacer clic en Enviar, el certificado se descarga automáticamente.

5. Ahora descargue la raíz del certificado de la CA. navegue hasta http://localhost/certsrv/ y seleccione Descargar un certificado de CA, cadena de certificados o CRL.

Descargar CA raíz.

6. Descargue el certificado de CA utilizando el método de codificación como Base64.

Opción Base 64.

Agregue registros DNS en Windows Server.

Si es el administrador, agregue los FQDN de ISE y CSSM.

1. Abra el Administrador de DNS: Escriba "DNS" en el buscador de Windows y abra la aplicación DNS.

Opción DNS.

2. Navegue hasta Forward Lookup Zones > Y elija su dominio.

Administrador de DNS.

3. Haga clic con el botón derecho del ratón en un espacio en negro sobre la pantalla y seleccione "Nuevo host (A o AAAA)"

Agregando registro.

4. Configure el registro DNS como el siguiente:

• Nombre: Significa el nombre del host.
• La dirección IP del dispositivo.

Haga clic en "Agregar host"

Ajustes de registro.

Troubleshoot

No se puede alcanzar la dirección IP/de host. (Error en ISE)

Error alcanzable.

Solución 1: Verifique y corrija la configuración DNS en el nodo ISE.

1. Abra la ISE CLI y escriba "nslookup <CSSM_FQDN>"

En el siguiente ejemplo, podemos ver que cssm.testlab.local no se resolvió desde el nodo ISE.

Error de resolución de CSSM.

La solución correcta sería:

Resolución CSSM correcta.

Plan de acción:

1. Verifique el tema de configuración DNS en este documento.
2. Ingrese el comando show running-config en la CLI de ISE para verificar el "ip name-server". El "ip name-server" debe coincidir con la dirección IP del servidor DNS.

Solución 2: Abra la GUI de CSSM para confirmar que el nombre común del host y el certificado del explorador son los mismos que el parámetro de host del servidor en las instalaciones de CSSM en el lado de ISE.

Escenario incorrecto:

La resolución de CSSM y la configuración de ISE son incorrectas.

Situación correcta:

La resolución CSSM y la configuración de ISE son correctas.

Plan de acción: Consulte "Configuración de ISE y CSSM" en esta guía para obtener más información.

Servicio SSO: No se puede contactar con Cisco. (Error en CSSM en las instalaciones)

Error al registrar la cuenta.

Solución: Compruebe su conectividad a Internet.

Plan de acción:

1. Si necesita un proxy para obtener acceso a Internet, navegue hasta Network > Proxy y habilite la opción Use A Proxy Server y haga clic en Apply.

Configuración de proxy.

El nombre común en el CSR no es un nombre de host o dirección IP que se pueda resolver mediante DNS. Inténtelo de nuevo. (Error en CSSM in situ)

Error CSR.

Solución: Verifique y corrija la resolución DNS en el servidor CSSM.

1. Abra la CLI CSSM y escriba "nslookup <CSSM_FQDN>"

En el siguiente ejemplo, podemos ver que cssm.testlab.local no se resolvió desde el servidor CSSM.

El servidor DNS no es accesible.

El resultado correcto sería el siguiente:

El servidor DNS es accesible.

Plan de acción:

Verifique las configuraciones DNS en el CSSM en las instalaciones.

1. Vaya a Red > General > Configuración DNS.

El DNS primario o alternativo debe ser el mismo que la dirección IP del servidor DNS.

Configuración de DNS.