内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

設定

システム証明書のインポート

期限切れの証明書の置き換え

一般的な問題

シナリオ1:ISEノードで期限切れのポータル証明書を交換できない

エラー

解決方法

シナリオ2：複数回使用する同じISEノードに2つのCSRを生成できない

エラー

解決方法

シナリオ3：ポータルを使用するためにCA署名付き証明書をバインドできない、または証明書にポータルタグを割り当てることができず、エラーが発生する

エラー

解決方法

シナリオ4：期限切れのデフォルトの自己署名証明書を信頼できる証明書ストアから削除できない

エラー

解決方法

シナリオ5:CA署名付きpxGrid証明書をISEノードのCSRにバインドできない

エラー

解決方法

シナリオ6：既存のLDAPまたはSCEP RAプロファイル設定が原因で、期限切れのデフォルト自己署名証明書を信頼できる証明書ストアから削除できない

エラー

解決方法

関連情報

はじめに

このドキュメントでは、SSL証明書のインストール、更新、およびIdentity Services Engine(ISE)で見られる最も一般的な問題のソリューションについて説明します。

前提条件

要件

Identity Service Engine GUIを理解しておくことをお勧めします。

使用するコンポーネント

このドキュメントの情報は、Cisco Identity Service Engine(ISE)3.xに基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

このドキュメントでは、トラブルシューティングを開始してシスコテクニカルサポートに問い合わせる前に、確認して対処することが推奨される、一般的な問題のステップとチェックリストについて説明します。

証明書は、個人、サーバ、会社、または他のエンティティを識別し、そのエンティティを公開キーに関連付ける電子ドキュメントです。

自己署名証明書は、独自の作成者によって署名されます。証明書は、外部の認証局(CA)によって自己署名またはデジタル署名できます。

CA署名付きデジタル証明書は、業界標準で安全性が高いと見なされます。

証明書はネットワークで使用され、セキュアなアクセスを提供します。

Cisco ISEは、ノード間通信、およびSyslogサーバ、フィードサーバ、およびすべてのエンドユーザポータル（ゲスト、スポンサー、パーソナルデバイスポータル）などの外部サーバとの通信に証明書を使用します。

証明書は、エンドポイントに対してCisco ISEノードを識別し、そのエンドポイントとCisco ISEノード間の通信を保護します。

証明書は、すべてのHTTPS通信と拡張認証プロトコル(EAP)通信に使用されます。

このドキュメントでは、トラブルシューティングを開始してシスコテクニカルサポートに問い合わせる前に、確認して対処することが推奨される、一般的な問題のステップとチェックリストについて説明します。

これらのソリューションは、シスコテクニカルサポートで解決されたサービスリクエストから直接引用したものです。 稼働中のネットワークで作業を行う場合、問題に対処するために実行する手順による潜在的な影響を十分に理解しておく必要があります。

設定

次のガイドでは、証明書をインポートおよび置き換える方法について説明します。

システム証明書のインポート

https://www.cisco.com/c/en/us/td/docs/security/ise/3-4/admin_guide/b_ise_admin_3_4/b_ISE_admin_basic_setup.html?bookSearch=true#ID547

期限切れの証明書の置き換え

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/217191-configuration-guide-to-certificate-renew.html#anc5

一般的な問題

シナリオ1:ISEノードで期限切れのポータル証明書を交換できない

エラー

新しいポータル証明書をCSRにバインドする際に、証明書のバインドプロセスが失敗し、次に示すエラーが表示されます。

Internal error.詳細については、ISE管理者にログの確認を依頼してください

このエラーの最も一般的な原因は次のとおりです。

– 新しい証明書のサブジェクト名は、既存の証明書と同じです

– 既存の証明書と同じ秘密キーを使用している更新された証明書をインポートする

解決方法

1. ポータルの使用を同じノード上の別の証明書に一時的に割り当てる

2. 期限切れポータル証明書の削除

3. 新しいポータル証明書をインストールし、ポータルの使用法を割り当てます

たとえば、EAP認証を使用する既存の証明書にポータルの使用を一時的に割り当てる場合は、次の手順を実行します。

ステップ 1：EAP認証を使用する証明書を選択して編集し、[Usage]にポータルロールを追加して[Save]をクリックします

ステップ 2：期限切れポータル証明書の削除

ステップ 3：ロールを選択せずに（Usageの下で）新しいポータル証明書をアップロードし、送信します。

ステップ 4：新しいポータル証明書を選択して編集し、[Usage]でポータルロールを割り当てて保存します。

シナリオ2：複数回使用する同じISEノードに2つのCSRを生成できない

エラー

同じノードでのMulti-Useを使用した新しいCSRの作成が、次のエラーで失敗します。

同じフレンドリ名の別の証明書が既に存在します。フレンドリ名は一意でなければなりません。

解決方法

CSRフレンドリ名はISEノードごとにハードコードされるため、同じノードで複数回使用する場合に2つのCSRを作成することはできません。この使用例は特定のノードを対象とし、1つのCA署名付き証明書を管理およびEAP認証に使用し、もう1つのCA署名付き証明書をSAMLおよびポータルに使用します。両方の証明書の有効期限が切れます。

このシナリオでは次のようになっています。

ステップ 1：多用途で使用する最初のCSRの生成

ステップ 2：CA署名付き証明書を最初のCSRにバインドし、AdminおよびEAP認証ロールを割り当てます

ステップ 3：多用途で2つ目のCSRを生成する

ステップ 4：CA署名付き証明書を2番目のCSRにバインドし、SAMLおよびポータルロールを割り当てます

シナリオ3：ポータルを使用するためにCA署名付き証明書をバインドできない、または証明書にポータルタグを割り当てることができず、エラーが発生する

エラー

ポータル使用のためのCA署名付き証明書のバインドにより、次のエラーがスローされます。

ポータルシステム証明書チェーンの一部であるか、同じサブジェクト名でシリアル番号が異なる証明書ベースの管理認証ロールを持つ1つ以上の信頼された証明書があります。インポート/更新が中止されました。インポート/更新を正常に実行するには、重複する信頼できる証明書からカートベースの管理認証ロールを無効にするか、チェーンに重複する信頼できる証明書を含むシステム証明書からポータルロールを変更する必要があります。

解決方法

ステップ 1：CA署名付き証明書の証明書チェーン（ポータルで使用する場合）を確認し、信頼できる証明書ストアで、証明書チェーンに重複する証明書がないか確認します。

ステップ 2：重複する証明書を削除するか、重複する証明書のTrust for certificate-based admin authenticationチェックボックスのチェックマークを外します。

たとえば、CA署名付きポータル証明書には次の証明書チェーンがあります。

証明書チェーン内の3つのCA証明書（期限切れの証明書など）のいずれかに重複する証明書があるかどうかを確認し、信頼できる証明書ストアから重複する証明書を削除します。

シナリオ4：期限切れのデフォルトの自己署名証明書を信頼できる証明書ストアから削除できない

エラー

期限切れのデフォルトの自己署名証明書を信頼できる証明書ストアから削除すると、次のエラーが発生します。

証明書は、リモートログターゲットの下のシステム証明書またはセキュアSyslogターゲットのいずれかによって参照されているため、無効または削除、信頼の証明書は許可されません。

解決方法

1. 期限切れのデフォルトの自己署名証明書が既存のリモートログターゲットに関連付けられていないことを確認します。これは、Administration > System > Logging > Remote Logging Targets > Select and Edit SecureSyslogCollector(s)で確認できます。

2. 期限切れのデフォルトの自己署名証明書が特定のロール（使用）に関連付けられていないことを確認します。これは、Administration > System > Certificates > System Certificatesで確認できます。

問題がまだ解決しない場合は、TACにお問い合わせください。

シナリオ5:CA署名付きpxGrid証明書をISEノードのCSRにバインドできない

エラー

新しいpxGrid証明書をCSRとバインドする際に、証明書のバインドプロセスが失敗し、次のエラーが表示されます。

pxGridの証明書には、拡張キー使用法(EKU)拡張のクライアント認証とサーバ認証の両方が含まれている必要があります。

解決方法

CA署名付きのpxGrid証明書が、クライアントとサーバの認証（pxGridクライアントとサーバ間の通信を保護するため）に使用されるため、TLS Web Server Authentication(1.3.6.1.5.5.7.3.1)とTLS Web Client Authentication(1.3.6.1.5.5.7.3.2)の両方の拡張キーを使用する必要があることを確認します

参照リンク：https://www.cisco.com/c/en/us/td/docs/security/ise/2-6/admin_guide/b_ise_admin_guide_26/b_ise_admin_guide_26_chapter_011010.html

シナリオ6：既存のLDAPまたはSCEP RAプロファイル設定が原因で、期限切れのデフォルト自己署名証明書を信頼できる証明書ストアから削除できない

エラー

期限切れのデフォルトの自己署名証明書を信頼できる証明書ストアから削除すると、次のエラーが発生します。

信頼証明書は、SCEP RAプロファイルまたはLDAPアイデンティティソースから参照されている可能性があるため、削除できませんでした

* デフォルトの自己署名サーバ証明書

証明書を削除するには、SCEP RAプロファイルを削除するか、LDAPアイデンティティソースを編集して、この証明書を使用しないようにします。

解決方法

1. Administration > Identity Management > External Identity Sources > LDAP > Server Name > Connectionの順に移動します。

2. LDAPサーバのルートCAが「デフォルトの自己署名サーバ証明書」を使用していないことを確認します。

3. LDAPサーバがセキュア接続に必要な証明書を使用していない場合は、Administration > System > Certificates > Certificate Authority > External CA Settings > SCEP RA Profilesの順に移動します。

4. SCEP RAプロファイルのいずれかがデフォルトの自己署名証明書を使用していないことを確認します

関連情報

ワイルドカード証明書をインストールする方法

https://www.cisco.com/c/en/us/td/docs/security/ise/2-6/admin_guide/b_ise_admin_guide_26/b_ise_admin_guide_26_chapter_0111.html

ISE証明書の管理

https://www.cisco.com/c/en/us/td/docs/security/ise/2-6/admin_guide/b_ise_admin_guide_26/b_ise_admin_guide_26_chapter_0111.html

ISEへのサードパーティCA証明書のインストール

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine-software/200295-Install-a-3rd-party-CA-certificate-in-IS.html