テレメトリブローカーID証明書の置き換え

ダウンロードオプション

PDF (589.0 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (284.2 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (242.7 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2023 年 6 月 28 日

Document ID:220537

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、Cisco Telemetry Broker(CTB)ManagerノードのサーバID証明書(SA)を置き換える方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

Cisco Telemetry Brokerアプライアンスの管理
x509証明書

使用するコンポーネント

このドキュメントで使用するアプライアンスは、バージョン2.0.1を実行しています

Cisco Telemetry Broker Managerノード
Cisco Telemetry Broker Brokerノード

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

証明書の要件

Cisco Telemetry Broker Managerで使用されるx509証明書は、次の要件を満たす必要があります。

証明書と秘密キーは一致するペアでなければなりません
証明書と秘密キーはPEMでエンコードする必要があります
秘密キーはパスフレーズで保護できません

証明書と秘密キーが一致するペアであることを確認する

管理ユーザとしてCTB Managerコマンドラインインターフェイス(CLI)にログインします。

注：このセクションで説明したファイルがシステム上にまだ存在していない可能性があります。

sudo openssl req -in server.csr -pubkey -noout -outform pem | sha256sumコマンドは、証明書署名要求(CSR)ファイルの公開キーのSHA-256チェックサムを出力します。

sudo openssl pkey -in server_key.pem -pubout -outform pem | sha256sumコマンドは、秘密キーファイルから公開キーのSHA-256チェックサムを出力します。

sudo openssl x509 -in server_cert.pem -pubkey -noout -outform pem | sha256sumコマンドは、発行された証明書ファイルから公開キーのSHA-256チェックサムを出力します。

証明書と秘密キーの出力が一致している必要があります。証明書署名要求(CSR)が使用されなかった場合、server_cert.pemファイルは存在しません。

admin@ctb-manager:~$ sudo openssl req -in server.csr -pubkey -noout -outform pem | sha256sum 
3e8e6b0d397ada1be7e89be21eb555c9527741460074385730d524c60e3ae315  -
admin@ctb-manager:~$  

admin@ctb-manager:~$ sudo openssl pkey -in server_key.pem -pubout -outform pem | sha256sum
3e8e6b0d397ada1be7e89be21eb555c9527741460074385730d524c60e3ae315  -

admin@ctb-manager:~$ sudo openssl x509 -in server_cert.pem -pubkey -noout -outform pem | sha256sum 
3e8e6b0d397ada1be7e89be21eb555c9527741460074385730d524c60e3ae315  -

秘密キーがパスフレーズで保護されていないことを確認します

管理ユーザとしてCTB Managerにログインします。boot flash:packages.conf コマンドを実行します。ssh-keygen -yf server_key.pem

秘密鍵が必要ない場合、パスフレーズは要求されません。

admin@ctb-manager:~$ ssh-keygen -yf server_key.pem 
ssh-rsa {removed for brevity}
admin@ctb-manager:~$

証明書と秘密キーがPEMでエンコードされていることの確認

注：これらの検証は、証明書をインストールする前に実行できます。

管理ユーザとしてCTB Managerにログインします。

sudo cat server_cert.pemコマンドを使用して、server_cert.pemファイルの内容を表示します。証明書ファイル名に合わせてコマンドを調整します。

ファイルの最初の行は-----BEGIN CERTIFICATE-----、最後の行は-----END CERTIFICATE-----にする必要があります。

admin@ctb-manager:~$ sudo cat server_cert.pem 
-----BEGIN CERTIFICATE-----
{removed_for_brevity}
-----END CERTIFICATE-----
admin@ctb-manager:~$

sudo cat server_key.pemコマンドを使用して、server_key.pemファイルを表示します。秘密キーのファイル名に合わせてコマンドを調整します。

ファイルの最初の行は-----BEGIN PRIVATE KEY-----、最後の行は-----END PRIVATE KEY-----にする必要があります。

admin@ctb-manager:~$ sudo cat server_key.pem 
-----BEGIN PRIVATE KEY-----
{removed_for_brevity}
-----END PRIVATE KEY-----
admin@ctb-manager:~$

自己署名証明書

自己署名証明書の生成

インストール時に設定したユーザとして、SSH（セキュアシェル）を使用してCTB Managerにログインします。通常、このユーザは「admin」ユーザです。

sudo openssl req -x509 -newkey rsa:{key_len} -nodes -keyout server_key.pem -out server_cert.pem -sha256 -days 3650 -subj /CN={ctb_manager_ip}

コマンドを発行します。

rsa:{key_len}を、2048、4096、8192などの任意の秘密キーの長さで変更します

CTBマネージャノードのIPを使用した{ctb_manager_ip}の変更

admin@ctb-manager:~$ sudo openssl req -x509 -newkey rsa:4096 -nodes -keyout server_key.pem -out server_cert.pem -sha256 -days 3650 -subj /CN=10.209.35.152   
[sudo] password for admin: 
Generating a RSA private key
.....................................................................................++++
............................................................................++++
writing new private key to 'server_key.pem'
-----
admin@ctb-manager:~$

cat server_cert.pemコマンドを使用してserver_cert.pemファイルを表示し、その内容をバッファにコピーして、ローカルワークステーションに任意のテキストエディタに貼り付けられるようにします。ファイルを保存します。これらのファイルは、/home/adminディレクトリからSCPすることもできます。
```
admin@ctb-manager:~$ cat server_cert.pem 
-----BEGIN CERTIFICATE-----
{removed_for_brevity}
-----END CERTIFICATE-----
admin@ctb-manager:~$  
```
sudo cat server_key.pemコマンドを使用してserver_key.pemファイルを表示し、内容をバッファにコピーして、選択したテキストエディタにローカルワークステーションに貼り付けられるようにします。ファイルを保存します。このファイルは、/home/adminディレクトリからSCPでダウンロードすることもできます。
```
admin@ctb-manager:~$ sudo cat server_key.pem 
-----BEGIN PRIVATE KEY-----
{removed_for_brevity}
-----END PRIVATE KEY-----
admin@ctb-manager:~$  
```

自己署名証明書のアップロード

CTB Manager Web UIに移動し、管理者ユーザとしてログインし、歯車アイコンをクリックして「Settings」にアクセスします。

CTB設定アイコン
「TLS証明書」タブに移動します。

CTB Certificatesタブ
Upload TLS Certificateを選択した後、Upload TLS CertificateダイアログボックスでCertificateとPrivate Keyにそれぞれserver_cert.pemとserver_key.pemを選択します。ファイルを選択したら、Uploadを選択します。
ファイルを選択すると、検証プロセスによって証明書とキーの組み合わせが確認され、図のように発行者と件名の共通名が表示されます。

CTB証明書のアップロード
「アップロード」ボタンを選択して、新しい証明書をアップロードします。Web UIが数分後に自動的に再起動し、再起動後にデバイスに再度ログインします。
CTBマネージャノードのWebコンソールにログインし、Settings > TLS Certificateに移動して新しい有効期限などの証明書の詳細を表示するか、ブラウザを使用してシリアル番号などの詳細な情報を表示します。

ブローカーノードの更新

CTB Manager Nodeに新しいID証明書が追加されたら、各CTB Broker Nodeを手動で更新する必要があります。

sshを介して各ブローカノードにログインし、sudo ctb-manageコマンドを実行します

admin@ctb-broker:~$ sudo ctb-manage

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for admin:

プロンプトが表示されcたら、オプションを選択します。

== Management Configuration

A manager configuration already exists for 10.209.35.152
Options:

(o) Associate this node with a new manager
(c) Re-fetch the manager's certificate but keep everything else
(d) Deactivate this node (should be done after removing this node on the manager UI)
(a) Abort

How would you like to proceed? [o/c/d/a] c

証明書の詳細が署名付き証明書の値と一致するかどうかを確認し、[y]を選択して証明書を受け入れます。サービスが自動的に開始され、サービスが開始されると、プロンプトが返されます。サービスの開始が完了するまでに、最大で15分ほどかかることがあります。

== Testing connection to server exists

== Fetching certificate from 10.209.35.152
Subject Hash
3fcbcd3c
subject=CN = 10.209.35.152
issuer=CN = 10.209.35.152
Validity:
notBefore=Mar 28 13:12:43 2023 GMT
notAfter=Mar 27 13:12:43 2024 GMT
X509v3 Subject Alternative Name: 
IP Address:10.209.35.152

Do you accept the authenticity of the server? [y/n] y

== Writing /var/lib/titan/titanium_proxy/ssl/titanium.pem
done

== Starting service

認証局(CA)によって発行された証明書

証明機関による発行のための証明書署名要求(CSR)の生成

インストール時に設定したユーザとして、SSH（セキュアシェル）を使用してCTB Managerにログインします。通常、このユーザは「admin」ユーザです。

openssl req -new -newkey rsa:{key_len} -nodes -addext "subjectAltName = DNS:{ctb_manager_dns_name},IP:{ctb_manager_ip}" -keyout server_key.pem -out server.csrコマンドを発行します。最後の2行の「extra」属性は、必要に応じて空白にしておくことができます。

{ctb_manager_dns_name}を、CTBマネージャノードのDNS名に変更します
CTBマネージャノードのIPを使用した{ctb_manager_ip}の変更

{key_len} を、2048、4096、8192などの任意の秘密キーの長さで変更します。

admin@ctb-manager:~$ openssl req -new -newkey rsa:4096 -nodes -addext "subjectAltName = DNS:ctb-manager,IP:10.209.35.152" -keyout server_key.pem -out server.csr
Generating a RSA private key
......................++++
....................................++++
writing new private key to 'server_key.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:North Carolina
Locality Name (eg, city) []:RTP
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Cisco Systems Inc
Organizational Unit Name (eg, section) []:TAC
Common Name (e.g. server FQDN or YOUR name) []:ctb-manager
Email Address []:noreply@cisco.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

CSRとキーファイルをローカルマシンにSCPし、CAにCSRを提供します。PEM形式でのCAによるCSRの発行は、このドキュメントの範囲外です。

チェーンを使用した証明書の作成

CAはPEM形式でサーバID証明書を発行します。CTBマネージャノードのすべてのチェーン証明書とサーバID証明書を含むチェーンファイルを作成する必要があります。

テキストエディタで、前の手順で署名した証明書を組み合わせ、信頼できるCAを含むすべての証明書をチェーン内のすべての証明書を示されている順序でPEM形式の1つのファイルに追加して、ファイルを作成します。

— BEGIN CERTIFICATE — 
{CTB Manager Issued Certificate}
— END CERTIFICATE —
— BEGIN CERTIFICATE —
{Issuing Certificate Authority Certificate}
— END CERTIFICATE —
— BEGIN CERTIFICATE —
{Intermediate Certificate Authority Certificate}
— END CERTIFICATE —
— BEGIN CERTIFICATE —
{Root Certificate Authority Certificate}
— END CERTIFICATE —

この新しい証明書ファイルとチェーンファイルの先頭または末尾にスペースと空白行がなく、上記の順序になっていることを確認します。

認証局発行の証明書のアップロード

CTB Manager Web UIに移動し、adminとしてログインし、歯車アイコンをクリックして「Settings」にアクセスします。

CTB設定アイコン
「TLS証明書」タブに移動します。

CTB Certificatesタブ
Upload TLS Certificateを選択してから、最後のセクションで作成したチェーンファイルを使用して証明書を選択し、CTB Managerが「Upload TLS Certificate」ダイアログボックスで証明書と秘密キーにそれぞれserver_key.pemを生成します。ファイルを選択したら、Uploadを選択します。
ファイルが選択されると、検証プロセスによって証明書とキーの組み合わせが確認され、次に示すように発行者とサブジェクトの共通名が表示されます。

CTB CA発行の証明書検証
「アップロード」ボタンを選択して、新しい証明書をアップロードします。Web UIは約60秒で自動的に再起動し、再起動後にWeb UIにログインします。
CTBマネージャノードのWebコンソールにログインし、Settings > TLS Certificateに移動して新しい有効期限などの証明書の詳細を表示するか、ブラウザを使用してシリアル番号などの詳細な情報を表示します。

ブローカーノードの更新

CTB Manager Nodeに新しいID証明書が追加されたら、各CTB Broker Nodeを手動で更新する必要があります。

sshを介して各ブローカノードにログインし、sudo ctb-manageコマンドを実行します

admin@ctb-broker:~$ sudo ctb-manage

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for admin:

プロンプトが表示されcたら、オプションを選択します。

== Management Configuration

A manager configuration already exists for 10.209.35.152
Options:

(o) Associate this node with a new manager
(c) Re-fetch the manager's certificate but keep everything else
(d) Deactivate this node (should be done after removing this node on the manager UI)
(a) Abort

How would you like to proceed? [o/c/d/a] c

証明書の詳細が署名付き証明書の値と一致するかどうかを確認し、yを選択して証明書を受け入れます。サービスが自動的に開始され、サービスが開始されるとプロンプトが返されます。サービスの開始が完了するまでに、最大で15分ほどかかることがあります。

== Testing connection to server exists

== Fetching certificate from 10.209.35.152
Subject Hash
fa7fd0fb
subject=C = US, ST = North Carolina, L = RTP, O = "Cisco Systems Inc", OU = TAC, CN = ctb-manager, emailAddress = noreply@cisco.com
issuer=DC = CiscoTAC, CN = Issuing CA
Validity:
notBefore=Jun 13 16:09:29 2023 GMT
notAfter=Sep 11 16:19:29 2023 GMT
X509v3 Subject Alternative Name: 
DNS:ctb-manager, IP Address:10.209.35.152

Do you accept the authenticity of the server? [y/n] y

== Writing /var/lib/titan/titanium_proxy/ssl/titanium.pem
done

== Starting service

確認

CTBマネージャノードのWebコンソールにログインし、Settings > TLS Certificateに移動して新しい有効期限などの証明書の詳細を表示するか、ブラウザを使用してシリアル番号などの詳細な情報を表示します。

CTB Certificate Details CTB証明書の詳細

CTBマネージャノードのWeb UIで、CTBブローカノードにアラームが表示されていないことを確認します。

トラブルシュート

チェーン証明書がないなど、証明書が不完全な場合、CTB Broker Node NodeはManager Nodeと通信できず、Broker NodeのリストのStatus列に「Not Seen Since」と表示されます。
ブローカーノードは、この状態でトラフィックの複製と分散を続行します。

CTBマネージャノードのCLIにログインしてsudo grep -ic begin /var/lib/titan/titanium_frontend/ssl/cert.pemコマンドを発行し、cert.pemファイル内の証明書の数を確認します。

admin@ctb-manager:~$ sudo grep -ic begin /var/lib/titan/titanium_frontend/ssl/cert.pem
[sudo] password for admin: 
3 <-- Output 
admin@ctb-manager:~$

返される出力値は、チェーン内のCAデバイスの数にCTB Managerを加えた数と同じである必要があります。

自己署名証明書を使用している場合は、1の出力が予期されます。

PKIインフラストラクチャが、発行側CAでもある単一のルートCAで構成されている場合は、2の出力が予想されます。

PKIインフラストラクチャがルートCAと発行側CAで構成されている場合は、3の出力が予想されます。

PKIインフラストラクチャがルートCA、下位CA、および発行側CAで構成されている場合は、4の出力が予想されます。

Microsoft Windows Crypto Shell Extensionsなどの別のアプリケーションで証明書を表示した場合に表示されるPKIと出力を比較してください。

PKI Infrastructure PKI インフラストラクチャ

次の図では、PKIインフラストラクチャにルートCAと発行側CAが含まれています。

このシナリオでは、コマンドの出力値は3になると想定されています。

出力が期待する結果にならない場合は、「チェーンによる証明書の作成」セクションの手順を確認して、証明書が失われていないかどうかを確認します。

Microsoft Windows Crypto Shell Extensionsで証明書を表示する際、証明書を確認するために十分な情報がローカルマシンにない場合、一部の証明書が表示されないことがあります。

CLIからsudo ctb-mayday コマンドを発行し、TACが確認できるようにmaydayバンドルを生成します。

更新履歴

改定	発行日	コメント
1.0	05-Jul-2023	初版

シスコエンジニア提供

ジョシュア・マーティン
Cisco TACエンジニア

テレメトリブローカーID証明書の置き換え

ダウンロード オプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

設定

証明書の要件

証明書と秘密キーが一致するペアであることを確認する

秘密キーがパスフレーズで保護されていないことを確認します

証明書と秘密キーがPEMでエンコードされていることの確認

自己署名証明書

自己署名証明書の生成

自己署名証明書のアップロード

ブローカーノードの更新

認証局(CA)によって発行された証明書

証明機関による発行のための証明書署名要求(CSR)の生成

チェーンを使用した証明書の作成

認証局発行の証明書のアップロード

ブローカーノードの更新

確認

トラブルシュート

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

シスコエンジニア提供