Procedura di modifica delle credenziali del dispositivo da Cisco DNA Center per dispositivi cablati e wireless per scenari di rete sia SDA che non SDA

Introduzione

In questo documento viene descritta la procedura per la modifica delle credenziali da parte di Cisco DNA Center per i dispositivi cablati e wireless sia per struttura che non.

Premesse

Questo documento è valido anche per i siti con autenticazione, autorizzazione e accounting (AAA) gestiti/non gestiti con Dynamic Network Access Control (Cisco DNA Center).

Sinossi

È necessario aggiornare le credenziali utilizzate da Cisco DNA Center per l'automazione.

I dispositivi vengono rilevati in Cisco DNA Center con il nome utente e le stesse credenziali usate da Cisco DNA Center per SSH sui dispositivi (per l'automazione, la raccolta dell'inventario, ecc.). Questo documento descrive le best practice per modificare la password dei dispositivi dopo che questi sono stati rilevati in Cisco DNA Center.

Soluzione (procedure ottimali) 

Requisiti coperti

1. Siti con AAA gestito da Cisco DNA Center

• Obbligo di cambiare la password dell'utente (nessuna modifica in Abilita password).
• Obbligo di modificare la password dell'utente e di abilitare la password.

2. Siti con Cisco DNA Center AAA non gestito

• Obbligo di cambiare la password dell'utente (nessuna modifica in Abilita password).
• Obbligo di modificare la password dell'utente e di abilitare la password.

Prerequisiti

• Verificare che AAA non sia configurato in Cisco DNA Center per tutti i siti non SDA.
• Script Python per verificare se tutti gli switch cat9k (SDA / Non SDA) usano ISE Radius per l'accesso line vty SSH. Correggere tutti i dispositivi che utilizzano credenziali locali. 
• Per nodi estesi 
  • Per aggiornare la linea vty da 0 a 4 con la configurazione successiva (questa può essere la prima operazione per i nodi estesi).
    • vty linea 0 4
    • esecuzione autorizzazione VTY_author
    • autenticazione di accesso VTY_auto

Procedura per la modifica delle credenziali da Cisco DNA Center

Siti con Cisco DNA Center Managed AAA

Obbligo di modificare la password dell'utente (nessuna modifica in Abilita password)

1. Innanzitutto, aggiornare le credenziali (password per il nome utente pertinente) in ISE, potrebbe causare un errore di raccolta dell'inventario e i dispositivi potrebbero passare allo stato Unreachable / PCF / Wrong Credentials.
2. Nell'inventario, selezionare più dispositivi e aggiornare le credenziali con una nuova password e la stessa password di abilitazione, in questo passaggio Cisco DNA Center è in grado di accedere ai dispositivi con le credenziali aggiornate e i dispositivi possono tornare allo stato gestito.
3. Provisioning — > Dispositivi — > Focus : Inventory — > Seleziona dispositivi — > Azione — > Inventario — > Modifica dispositivo — > CLI — > Aggiorna le credenziali (mantieni la stessa password di abilitazione).
4. Ora è possibile aggiornare le credenziali locali dei dispositivi come copie di riserva, in modo da garantire che Cisco DNA Center sia in grado di accedere ai dispositivi quando il server AAA non è raggiungibile. Le credenziali locali possono essere aggiornate utilizzando l'editor dei modelli di Cisco DNA Center o uno script Python personalizzato oppure manualmente.
5. L'ultimo passaggio consiste nell'aggiornare le stesse credenziali nella pagina Credenziali globali, in modo da garantire che i dispositivi appena individuati o aggiunti che utilizzano l'automazione LAN utilizzino le credenziali aggiornate modificate. Progettazione — > Impostazioni di rete — > Credenziali dispositivo — > Credenziali CLI — > Modifica il nome utente —> Aggiorna la password dell'utente senza modificare l'opzione Abilita password.

Nota: l'accesso SSH/Telnet è autenticato dal server AAA esterno. Le credenziali locali del dispositivo non sono ancora state aggiornate.

Nota: quando il server AAA è configurato nella pagina di progettazione di Cisco DNA Center per il sito, Cisco DNA Center non esegue alcuna azione sui dispositivi o su ISE quando si modificano o si modificano le credenziali nella pagina delle credenziali globali.

Obbligo di modificare la password dell'utente e di abilitare la password

1. Innanzitutto, aggiornare le credenziali (password per il nome utente pertinente) in ISE, potrebbe causare un errore di raccolta dell'inventario e i dispositivi potrebbero passare allo stato Unreachable / PCF / Wrong Credentials.
2. Nell'inventario, selezionare più dispositivi e aggiornare le credenziali con una nuova password per l'utente e una nuova password di abilitazione, a questo punto Cisco DNA Center può accedere ai dispositivi con le credenziali aggiornate e i dispositivi possono tornare allo stato gestito.
3. Provisioning — > Dispositivi — > Focus: Inventory — > Seleziona dispositivi — > Azione — > Effettua l'inventario dei dispositivi appena individuati o dei dispositivi aggiunti che utilizzano l'automazione LAN e utilizzano le credenziali aggiornate modificate.
4. Progettazione — > Impostazioni di rete — > Credenziali dispositivo — > Credenziali CLI — > Modifica il nome utente —> Aggiorna la password dell'utente e Abilita password.

Nota: quando il server AAA è raggiungibile, il nome utente e la password vengono autenticati sul server AAA e l'opzione Enable Password viene autenticata localmente sul dispositivo.

Nota: quando il server AAA è configurato nella pagina di progettazione di Cisco DNA Center per il sito, Cisco DNA Center non esegue alcuna azione sui dispositivi o su ISE quando si modificano o si modificano le credenziali nella pagina delle credenziali globali.

Siti con Cisco DNA Center AAA non gestito

Obbligo di modificare la password dell'utente (nessuna modifica in Abilita password)

1. Aggiornare le credenziali nella pagina Credenziali globali, Progettazione — > Impostazioni di rete — > Credenziali dispositivo — > Credenziali CLI — > Modifica il nome utente —> Aggiornare la password dell'utente senza modificare l'opzione Abilita password.
2. Una volta modificate le credenziali nella pagina Credenziali globali, i dispositivi dei siti in cui Cisco DNA Center non gestisce il server AAA possono essere riconfigurati con credenziali aggiornate, Cisco DNA Center può eseguire il push dello script EEM temporaneo per convalidare le credenziali e, se l'accesso ha esito positivo, la configurazione può essere mantenuta.

Nota: per i dispositivi nelle sedi in cui Cisco DNA Center non gestisce la configurazione AAA, Cisco DNA Center non è a conoscenza del fatto che i dispositivi siano configurati manualmente con AAA esterno o che utilizzino solo credenziali locali; pertanto, se la password è configurata sui dispositivi, è necessario verificare che venga aggiornata sui dispositivi AAA esterni prima di procedere con questa procedura.

Obbligo di modificare la password dell'utente e di abilitare la password 

1. Aggiornare le credenziali nella pagina Credenziali globali, Progettazione — > Impostazioni di rete — > Credenziali dispositivo — > Credenziali CLI — > Modifica il nome utente —> Aggiorna la password dell'utente e abilita la password.
2. Una volta modificate le credenziali nella pagina Credenziali globali, i dispositivi dei siti in cui Cisco DNA Center non gestisce il server AAA possono essere riconfigurati con credenziali aggiornate, Cisco DNA Center può eseguire il push dello script EEM temporaneo per convalidare le credenziali e, se l'accesso ha esito positivo, la configurazione può essere mantenuta.

Nota: per i dispositivi nelle sedi in cui Cisco DNA Center non gestisce la configurazione AAA, Cisco DNA Center non è a conoscenza del fatto che i dispositivi siano configurati manualmente con AAA esterno o che utilizzino solo credenziali locali; pertanto, è possibile verificare che la password sia aggiornata sull'AAA esterno se è stata configurata sui dispositivi prima di procedere con questa procedura.