APIC-EM 1.3. - Génération de certificats - Suppression via API

Introduction

Ce document décrit comment utiliser l'API Cisco APIC (Application Policy Infrastructure Controller) - Extension Mobility (EM) pour créer - supprimer le certificat. Avec IWAN, tout est configuré automatiquement. Cependant, pour le moment, IWAN n'a aucun flux pour récupérer automatiquement le périphérique à partir d'un certificat expiré.

Le bon côté est qu'il y a une sorte de flux dans l'automatisation en termes de RestAPI. Mais cette automatisation est par périphérique et elle nécessite des informations sur le périphérique. Le flux RestAPI qui se trouve en dehors du flux IWAN utilise un mécanisme pour automatiser le certificat du périphérique.

Informations générales

Topologie client habituelle.

SPOKE — HUB — APIC_EM [contrôleur]

Voici les trois situations :

• Le certificat a expiré.
• Le certificat n'est pas en cours de renouvellement.
• Le certificat n'est pas du tout disponible.

Comment allez-vous savoir quel est l'état actuel du périphérique ?

Exécutez la commande Switch# sh cry pki cert.

Si vous voyez, il y a deux certificats et ici vous devez vérifier Associated Trustpoint .

La date de fin est généralement d'un an et doit être supérieure à la date de début.

S'il s'agit de sdn-network-infra-iwan, cela signifie à partir du module APIC-EM que vous avez un ID ainsi qu'un certificat CA enregistré.

Comment vous assurer que le module APIC-EM a également le même certificat ou que le module APIC-EM a compris le même certificat ou non ?

a. Affichez la version à partir du périphérique et collectez le numéro de série :

À l'aide de ce numéro de série, vous pouvez effectuer une requête APIC-EM pour savoir ce que le module APIC-EM pense de ce périphérique.

b. Accédez à Documentation de l'API.

c. Cliquez sur Public Key Infrastructure (PKI) Broker.

d. Cliquez sur Première API pour connaître l'état du côté API.

Cliquez sur GET.

Sur une case à cocher, cliquez sur le numéro de série collecté à partir de la sortie show version of Device.

Cliquez sur Try it out !.

Comparez la valeur de sortie avec la sortie sh crp pki cert du périphérique.

Comment supprimer le certificat du périphérique ?

Il arrive parfois que sur le périphérique, le certificat est là et dans le module APIC-EM il n'est pas là. C'est pourquoi, lorsque vous exécutez GET API, vous recevez un message d'erreur.

La solution est la suivante : supprimer le certificat du périphérique :

a. Switch# show run | J'ai confiance

Exécutez la commande Switch# no crypto pki trustpoint <trustpoint name>.

Cette commande supprime tous les certificats sur le périphérique associé au point de confiance sélectionné.

Vérifiez à nouveau si le certificat est supprimé. 

Utilisez la commande : Switch# sh cry pki cert.

Il ne doit pas afficher sdn trustpoint qui a été supprimé.      

b. Suppression de la clé :

Exécuter la commande sur le périphérique : Switch# sh cry key mypubkey all.

Vous verrez que le nom de la clé commence par sdn-network-infra.

Commande permettant de supprimer la clé :

2. Assurez-vous que l'interface APIC-EM connectée au périphérique doit être Pingable.

Il se peut que le module APIC-EM ait deux interfaces à partir desquelles l'une est publique et l'autre privée. Dans ce cas, assurez-vous que l'interface APIC-EM qui communique avec le périphérique s'envoie des requêtes ping.

Comment faire une demande de certificat de l'APIC - EM?

Sous APIC-EM, lorsque vous cliquez sur Documentation API et que PKI Broker est sélectionné, cette option est disponible.

POST/trust-point

• Cela créera un certificat avec APIC - EM.

Ensuite, vous avez besoin d'informations sur le périphérique et cliquez sur essayer.

Exemple : 

{
"platformId":"ASR1001",
"serialNumber":"SSI161908CX",
"trustProfileName":"sdn-network-infra-iwan",
"entityType":"router",    
"entityName":"HUB2"
}

• Les informations mises en surbrillance sont STATIQUES et le reste est dynamique.
• Le nom d'entité est le nom d'hôte du périphérique.
• Numéro de série obtenu à partir de la version show du périphérique.
• Type d'entité que vous pouvez modifier en fonction du type de périphérique.
• Cette information est nécessaire pour indiquer au module APIC-EM de configurer le périphérique. Le module APIC-EM comprend le numéro de série.

Résultat de Try it out :

Ce résultat signifie que le fichier est créé en interne par le module APIC-EM et est maintenant prêt à être déployé sur le périphérique.

L'étape suivante consiste à insérer ce périphérique dans le bundle. Pour pousser, vous devez obtenir l'ID du point de confiance. Ceci peut être fait via GET API CALL.

GET/trust-point/serial-number/{serialNumber} - Requête

Cela vous donnera cette sortie. Cela signifie que le module APIC-EM possède le certificat avec lequel il peut être activé sur le périphérique.

Poussez le certificat vers le périphérique.

POST/trust-point/{trustPointId} // trustPointId doit être copié à partir de la requête GET de numéro de série

{ « réponse » : { « platformId » : « ASR1001 », « serialNumber » : « SSI161908CX », « trustProfileName » : « sdn-network-infra-iwan », « entityName » : « HUB2 », « entityType » : « router », « certificateAuthorityId » : « f0bd5040-3f04-4e44-94d8-de97b8829e8d », « attributeInfo » : {}, « id » : « c4c7d612-9752-4be5-88e5-e2b6f137ea13 » }, « version » : « 1.0 » }

Cela poussera le certificat au périphérique, à condition qu'il y ait une connectivité correcte.

Message de réussite de la réponse :

Recheck on device :

Vous voyez que les deux certificats sont maintenant collés :

Le module APIC-EM possède parfois le certificat, mais pas le périphérique. Comment pouvez-vous le résoudre ?

Il existe une tâche en arrière-plan par laquelle vous pouvez supprimer le certificat de seulement APIC-EM.

Parfois, le client supprime par erreur le certificat du périphérique, mais dans le module APIC-EM, il est toujours présent.

Cliquez sur SUPPRIMER.

DELETE/trust-point/serial-number/{serialNumber} - Supprimer.

Entrez le numéro de série et cliquez sur Try it out !.