内容

概要

背景説明

問題

症状

解決方法

概要

このドキュメントでは、2021年3月31日の証明書の変更がExpresswayのスマートライセンスにどのように影響するかを説明します。

シスコは、2021年3月から新しい認証局(Identrust商用ルートCA 1)に移行します。ExpresswayでSmart Licensingを使用する場合は、2021年3月31日より前に、新しいルート証明書をExpresswayデバイスにアップロードしてください。アップロードされていない場合、ExpresswayとCisco Smart Software Manager(CSSM)の間の接続の同期が失われます。

背景説明

CCPがSSL証明書を発行するために使用するQuoVadis Public Key Infrastructure(PKI)ルートCA 2は、失効機能に影響を与える業界全体の問題の対象となります。この問題により、QuoVadisルートCA 2は2021-03-31で廃止されます。2021-03-31の後、QuoVadisルートCA 2によってシスコに対して新しい証明書が発行されることはありません。

QuoVadisルートCA 2より前に発行された証明書は廃止され、個々の有効期限に達するまで有効です。これらの証明書が期限切れになると、証明書は更新されず、Smart Licensingなどの機能がセキュアな接続を確立できなくなる可能性があります。

2021-04-01以降、Identrust商用ルートCA 1は、以前QuoVadisルートCA 2によって発行されたSSL証明書を発行するために使用されます。

- 2021年3月23日更新：Cloud Certificate Managementを利用しているお客様の証明書リストに新しいIdentrust証明書が表示されません。既存のQuovadis (O=QuoVadis Limited, CN=QuoVadis Root CA 2)証明書は有効です。identrust証明書は、将来のTBD時にCloud Certificate Managementで使用できるようになります。Cloud Certificate Managementを使用している場合、このアナウンスの結果として発生するサービス中断は発生せず、現時点では何も実行する必要はありません。

問題

すべてのExpressway CoreおよびEdgeについて、2021-03-31より前のQuoVadisルート認証局(CA)信頼チェーンから発行された一部のSecure Sockets Link(SSL)証明書をこのCAから更新できません。これらの証明書が期限切れになると、スマートライセンスなどの機能がシスコへのセキュアな接続を確立できず、正常に動作しない可能性があります。

症状

Expressway CoreおよびEdgeの該当プラットフォームが、tools.cisco.comでホストされているスマートライセンスに登録できません。スマートライセンスは権限付与に失敗し、コンプライアンス違反ステータスとして反映される可能性があります。

注：シスコは、該当するスマートライセンスが機能に影響を与える認証期限切れステータスになる60日間の猶予期間を提供します。新製品のスマートライセンス登録が影響を受ける可能性があり、回避策とソリューションが必要です。

解決方法

この手順は、次のビデオでも説明されています。https://video.cisco.com/video/6241489762001

新しい証明書をExpressway-CoreおよびExpressway Edgeにアップロードする方法の説明：

ステップ1:Identrust商用ルートCA 1をここにダウンロードし、次のように保存しますdentrust_RootCA1.pemまたはcerファイル。

1.上記のWebサイトにアクセスします。

2.ボックス内のテキストをコピーします。

3.テキストをメモ帳に保存し、ファイルを保存します。このファイルにidentrust_RootCA1.pemまたはidentrust_RootCA1.cerという名前を付けます

すべてのExpresswayデバイスで、[Maintenance] > [Security] > [Trusted CA Certificate]に移動します。

ステップ2:Expressway信頼ストアにファイルをアップロードします。

Expressway信頼ストアにCA証明書をアップロードします。[Append CA]をクリックします。

[Browse] > [Upload the identrust_RootCA1.pem] > [Append CA Certificate] を選択します。

アップロードされたCA証明書は、次で確認できます。

ステップ 3：証明書が正常にアップロードされ、VCS/Expressway信頼ストアに存在することを確認します

変更を有効にするには、この操作の後に再起動または再起動は必要ありません。

詳細については、このField Noticeを参照してください

Field Noticeリンク

https://www.cisco.com/c/en/us/support/docs/field-notices/705/fn70557.html