FMC pfx作成時の証明書エラーのトラブルシューティング

はじめに

このドキュメントでは、FMCによって管理されるFirepower Threat Defense(FTD)デバイスの認証局(CA)インポートエラーをトラブルシューティングし、修正する方法について説明します。

前提条件

要　件

次の項目に関する知識があることが推奨されます。

• 公開キー インフラストラクチャ（PKI）
• Firepower Management Center（FMC）
• Firepower Threat Defense（FTD）
• OpenSSL

使用するコンポーネント

本書の情報は、次のソフトウェアのバージョンに基づくものです。

• MacOS x 10.14.6
• FMC 6.4
• OpenSSL

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

注:FTD管理対象デバイスでは、証明書署名要求(CSR)を生成する前にCA証明書が必要です。

• CSRが外部サーバ（Windows ServerやOpenSSLなど）で生成される場合、FTDはキーの手動登録をサポートしていないため、手動登録方式は失敗します。PKCS12など、別の方法を使用する必要があります。

問題

この特定のシナリオでは、図に示すように、FMCのCA証明書ステータスに赤い十字が表示されます。この赤い十字は、証明書登録がCA証明書をインストールできなかったことを示し、「Fail to configure CA certificate」というメッセージが表示されます。 このエラーは、証明書が正しくパッケージされていない場合、または図に示すようにPKCS12ファイルに正しい発行者証明書が含まれていない場合によく発生します。

注：新しいFMCバージョンでは、この問題は、.pfx certの信頼のチェーンに含まれるルートCAで追加のトラストポイントを作成するASAの動作と一致するように対処されています。

ソリューション

ステップ 1：.pfx証明書の検索

FMC GUIに登録されたpfx証明書を取得し、保存してMac端末(CLI)でファイルを見つけます。

ls

ステップ 2.pfxファイルからの証明書およびキーの抽出

pfxファイルから（CA証明書ではなく）クライアント証明書を抽出します（.pfxファイルの生成に使用されたパスフレーズが必要です）。

openssl pkcs12 -in cert.pfx -clcerts -nokeys -out id.pem

IDエクスポート

CA証明書を抽出します（クライアント証明書ではありません）。

openssl pkcs12 -in cert.pfx -cacerts -nokeys -out certs.pem

cacertsエクスポート

openssl pkcs12 -in cert.pfx -nocerts -out key.pem

書き出し後のls

ステップ 3テキストエディタでの証明書の確認

テキストエディタ（nano certs.pemなど）を使用して証明書を確認します。

この特定のシナリオでは、certs.pemには下位CA（発行側CA）のみが含まれていました。

この記事では、ステップ5以降で、ファイルcerts.pemに2つの証明書（1つのルートCAと1つのサブCA）が含まれている場合の手順について説明します。

certsビュー

ステップ 4メモ帳での秘密キーの確認

テキストエディタ（nano certs.pemなど）を使用して、key.pemファイルの内容を確認します。

ステップ 5CA証明書の分割

certs.pemファイルに2つの証明書（1つのルートCAと1つの下位CA）がある場合、検証の目的でチェーン内に下位CAだけを残したままpfx形式の証明書をFMCにインポートできるようにするには、信頼のチェーンからルートCAを削除する必要があります。

certs.pemを複数のファイルに分割し、次のコマンドで証明書の名前をcacert-XXに変更します。

split -p "-----BEGIN CERTIFICATE-----" certs.pem cacert-

分割分割後のLS

次に説明するコマンドを使用して、これらの新しいファイルに.pem拡張子を追加します。

for i in cacert-*;do mv "$i" "$i.pem";done

スクリプト名の変更

2つの新しいファイルを確認し、説明したコマンドを使用して、ルートCAを含むファイルと、サブCAを含むファイルを判別します。

最初に、id.pemファイル（ID証明書）の発行者を見つけます。

openssl x509 -in id.pem -issuer -noout 

発行者ビュー

次に、2つのcacert – ファイル（CA証明書）のサブジェクトを見つけます。

openssl x509 -in cacert-aa.pem -subject -noout
openssl x509 -in cacert-ab.pem -subject -noout

件名のチェック

id.pemファイルの発行者とSubjectが一致するcacertファイル（前の図を参照）は、後でPFX証明書の作成に使用されるサブCAです。

Subjectが一致しないcacertファイルを削除します。この場合、その証明書はcacert-aa.pemでした。

rm -f cacert-aa.pem

ステップ 6PKCS12ファイルの証明書のマージ

サブCA証明書（この例では名前はcacert-ab.pem）を、ID証明書(id.pem)および秘密キー(key.pem)と一緒に新しいpfxファイルにマージします。このファイルはパスフレーズで保護する必要があります。必要に応じて、cacert-ab.pemファイル名をファイルに一致するように変更します。

openssl pkcs12 -export -in id.pem -certfile cacert-ab.pem -inkey key.pem -out new-cert.pfx

ステップ 7FMCでのPKCS12ファイルのインポート

FMCで、Device > Certificatesの順に移動し、図に示すように、目的のファイアウォールに証明書をインポートします。

CERT登録

新しい証明書の名前を挿入します。

登録

新しい証明書を追加し、登録プロセスによって新しい証明書がFTDに展開されるまで待機します。

新しい証明書

新しい証明書は、CAフィールドに赤い十字なしで表示される必要があります。

確認

このセクションでは、設定が正常に動作していることを確認します。

Windowsでは、.pfxファイルにID証明書のみが含まれていても、ストアにsubCA、CAチェーンが含まれていると、OSに証明書のチェーン全体が表示されるという問題が発生する場合があります。

.pfxファイル内の証明書のリストを確認するには、certutilやopensslなどのツールを使用できます。

certutil -dump cert.pfx

certutilは、.pfxファイル内の証明書の一覧を提供するコマンドラインユーティリティです。ID、SubCA、CAが含まれているチェーン全体を確認する必要があります（含まれている場合）。

または、次のコマンドに示すように、opensslコマンドを使用できます。

openssl pkcs12 -info -in cert.pfx

CAおよびID情報とともに証明書のステータスを確認するには、アイコンを選択して、証明書が正常にインポートされたことを確認します。