Créer un modèle de certificat Windows Server pour Catalyst Center

Introduction

Ce document décrit les étapes pour créer un modèle de certificat sur un serveur Windows exécutant l'outil Autorité de certification (CA).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Cisco Catalyst Center
• Un serveur Windows avec le rôle Autorité de certification installé et configuré
• Privilèges d'administrateur sur le serveur Windows
• Accès à la console de gestion des autorités de certification
• Connaissance de base des modèles de certificats et des demandes de signature de certificats (CSR)

Composants utilisés

Les informations contenues dans ce document sont basées sur Microsoft Windows Server 2022 Standard.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Ce modèle personnalisé résout le problème où les modèles d'autorité de certification par défaut suppriment l'authentification client des utilisations de clés étendues. Le modèle personnalisé peut signer la demande de signature de certificat (CSR) générée par Catalyst Center.

Configurer

Étapes de révision et de configuration des modèles de certificats sur Windows Server avec l'autorité de certification (AC).

1. Connectez-vous au serveur Windows hébergeant l'autorité de certification à l'aide du Bureau à distance.

2. Ouvrez une session Command Prompt (CMD) ou PowerShell.

3. Lancez les consoles autorité de certification et modèle de certificat en exécutant :

certsrv.msc
certtmpl.msc

Administration Commandes Powershell

Exemple de Windows Server

4. Dans la console des modèles de certificats, localisez le modèle à cloner pour créer un nouveau modèle personnalisable.

Conseil : Utilisez le modèle de serveur Web, car il inclut déjà tous les paramètres requis pour le certificat Catalyst Center.

• Exemple : cliquez avec le bouton droit sur le serveur web et sélectionnez modèle dupliqué.

Modèle dupliqué

5. Un nouveau modèle est ouvert, modifiez-le avec les caractéristiques requises.

Caractéristiques du modèle requis

6. Modifiez le nouveau modèle comme suit :

6.1 Onglet Général

• Entrez un nom de modèle (par exemple, Modèle Catalyst Center).
• Définissez la période de validité (par défaut : 2 ans).

Nom du modèle

6.2 Onglet Postes

• Accédez à politiques d'application et cliquez sur modifier.

Remarque : Dans cet onglet, vérifiez que le modèle inclut les extensions d'utilisation de clé obligatoires requises par le certificat Catalyst Center, telles que keyEncipherment et digitalSignature. Elles sont déjà présentes dans le modèle de serveur Web par défaut utilisé comme base.

Stratégies d'application modèle

• Cliquez sur add, localisez client authentication, et cliquez sur ok pour l'inclure.

Authentification client

Ajouter une stratégie d'application

• Vérifiez que le modèle affiche l'authentification client avec les utilisations par défaut.

Extension Stratégies d'application

7. Cliquez sur Apply, puis sur ok.

8. Dans la console Certificate Authority, développez l'arborescence CA et sélectionnez le dossier certificate templates.

Modèles de certificats de l'arborescence CA

9. Cliquez avec le bouton droit sur le dossier modèles de certificat et sélectionnez :

Nouveau > Modèle de certificat à émettre.

Nouveau modèle de certificat à émettre

10. Dans la nouvelle fenêtre, sélectionnez le nouveau modèle créé (par exemple, Modèle Catalyst Center) et cliquez sur ok.

Modèle Catalyst Center

11. Le modèle apparaît maintenant sous la liste Modèles de certificats dans l'autorité de certification.

12. Ouvrez un navigateur et accédez à :

http://localhost/certsrv/

Page de connexion http://localhost/certsrv/

13. Sélectionnez Demander un certificat, puis Demande de certificat avancée, pour vérifier que le nouveau modèle est disponible.

14. Sur cette page, envoyez le CSR et sélectionnez le modèle nouvellement créé pour générer le certificat signé.

Demander un certificat

13. Le certificat est généré avec les extensions correctes, comme indiqué dans l'exemple.

Exemple de certificat

Dépannage

Si vous rencontrez des erreurs lors de la signature du CSR, consultez les journaux Windows Server pour plus de détails :

Erreur :

Dépannage des erreurs

1. Ouvrez la visionneuse d'événements en exécutant :

eventvwr.msc

2. Accédez à Observateur d'événements > Journaux Windows > Application.

3. Filtrer ou rechercher des événements où :

   1. Source = Autorité de certification

   2. ID d'événement = 53, 54, 55, ou similaire (cela indique qu'une demande a été émise, refusée ou est en attente).

   3. Le message d'événement contient des détails sur la raison du refus (le cas échéant).

4. Utilisez l'option Rechercher (clic droit sur Application > Rechercher...) et effectuez une recherche par :

• certsrv

• ID de la demande (s'il est connu, par exemple, 164)

Dépannage des journaux Windows Server