9800 WLCの証明書およびトラストポイントタイプの理解

ダウンロード オプション

  • PDF     (394.7 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
Updated: 2026 年 8 月 4 日
Document ID:221047

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、9800 WLCで使用できるさまざまなタイプの証明書とトラストポイントについて説明します。

前提条件

要件

次の項目に関する基本知識が推奨されます。

  • Cisco Wireless LAN Controller(WLC)9800シリーズ
  • デジタル証明書、認証局(CA)、および公開キーインフラストラクチャ(PKI)

使用するコンポーネント

このドキュメントは、特定のハードウェアまたはソフトウェア バージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

証明書

証明書とは

証明書は、デバイスを識別して正当なものであることを保証する一意のドキュメントです。IDを検証するには、証明書が証明機関(CA)によって検証される必要があります。

9800での証明書のタイプ

アクセスポイント(AP)とWLCでは、各IDを検証する方法が必要です。新しいAPがWLCに加入すると、APはWLC証明書を検証して、それが正当なものであるだけでなく、有効であることを確認します。このようにして、APは初めて参加するアプライアンスを信頼できます。

製造元でインストールされた証明書(MIC)

この証明書は、9800-80、9800-40、9800-Lなどの物理アプライアンスにデフォルトでインストールされます。名前が示すように、出荷時にインストールされているため、変更できません。この証明書は、APがWLCに初めて加入するときに使用されます。

MIC証明書が9800にインストールされているかどうかを確認するには、show wireless management trustpointコマンドを実行します。

9800#show wireless management trustpoint
Trustpoint Name  : CISCO_IDEVID_SUDI
Certificate Info : Available
Certificate Type : MIC <-- Private key Info : Available
FIPS suitability : Not Applicable  

自己署名証明書（SSC）

コントローラの仮想インスタンスである9800-CLには、工場出荷時の証明書はありません。Day 0ウィザードを使用して自動的に生成できる自己署名証明書、または証明書を手動で作成するスクリプトを使用して生成できる自己署名証明書を使用します。9800の仮想インスタンスでは、SSCは主にAPへの加入に使用されますが、すべてのHTTP(s)、SSH、およびNETCONFサービスにも使用されます。

物理アプライアンスにもSSCが含まれていますが、前述のとおり、SSCはAPの加入には使用されず、代わりにサービスに使用されます。9800のSSC証明書を確認するには、show wireless management trustpointコマンドを実行します。

9800#show wireless management trustpoint
Trustpoint Name  : 9800-CL-TRUSTPOINT
Certificate Info : Available
Certificate Type : SSC <-- 
Certificate Hash : e55e61b683181ff0999ef317bb5ec7950ab86c9e
Private key Info : Available
FIPS suitability : Not Applicable 

ローカルで有効な証明書(LSC)

これらの証明書は、WLCにアイデンティティを証明する必要があるAPによってのみ使用されます。デフォルトでは、WLCやAPには存在しません。LSC証明書は、CAによって署名され、WLCとAPの両方にインストールされて、相互に検証される必要があります。9800でLSCを設定する方法の詳細については、『ローカルで有効な証明書』を参照してください。

トラストポイント

トラストポイントとは

トラストポイントは、証明書を特定のサービスにリンクします。トラストポイントには、Web管理とWeb認証の2つの主要なタイプがあります。デフォルトでは、WLCは両方のサービスに自己署名証明書を使用しますが、これにより、サイトがセキュアでないことを示す警告メッセージがポップアップ表示されます。これは、自己署名証明書がCAによって検証されていないためです。

CA Invalid Warning Message on Web PageWebページのCA無効の警告メッセージ

これを回避するには、サードパーティ証明書を使用して、CAによって検証されていることを確認します。証明書を生成してWLCにアップロードする方法の詳細は、『Catalyst 9800 WLCでのCSR証明書の生成とダウンロード』を参照してください。

Web管理

Web管理のトラストポイントは、証明書をユーザグラフィカルユーザインターフェイス(GUI)にリンクします。 コントローラは使用可能な証明書の1つを選択し、カスタム証明書がWLCにアップロードされていない場合は、自己署名証明書が使用されます。デフォルトの証明書を使用しない場合は、トラストポイントにカスタム証明書を使用できます。

証明書が9800にアップロードされたら、上記のドキュメントに従って、次の手順でトラストポイントをWeb管理にリンクします。次のコマンドを実行します。

configure terminal
ip http secure-trustpoint <custom-cert>.pfx
!Restart HTTP services
no ip http secure services
ip http secure services
end 
write

新しくインストールされた証明書を検証する1つの方法が、HTTPサービスのトラストポイントとして使用されるようになりました。たとえば、show ip http server status | include trustpointコマンドを実行します。

9800#show ip http server status | include trustpoint
HTTP secure server trustpoint: .pfx <-- trustpoint configured for HTTP services
HTTP secure server peer validation trustpoint:

Web 認証

Web管理と同様に、レイヤ3認証も9800で使用できます。このトラストポイントは、ユーザに自動的に提示されるゲストポータルを介してWLANへの認証を試行する際に、ユーザに表示されるWebポータルに証明書をリンクします。Web認証にトラストポイントを使用すると、WLCと接続先のクライアント間のユーザクレデンシャルが保護されます。

デフォルトでは、WLCは自己署名証明書を使用します。この場合も、Webページが信頼できないことを示す警告メッセージがクライアントにポップアップ表示されます。これを回避するために、サードパーティの証明書をWeb管理のように使用できます。

Web管理と同様に、カスタム証明書をWLCにアップロードした後、トラストポイントとしてWebパラメータマップにリンクする必要があります。

configure terminal
parameter-map type webauth global
trustpoint <custom-cert>
!Restart HTTP services
no ip http secure services
ip http secure services
end
write

Web認証に使用されるトラストポイントを検証するには、次のコマンドを実行します。

show run | section parameter-map type webauth global
parameter-map type webauth global
type webauth
virtual-ip ipv4 192.0.2.1
trustpoint  <-- trustpoint configured for web authentication

証明書の自動更新

セキュリティ上の理由から、証明書のライフタイムは常に短くなることがトレンドです。これにより、証明書を定期的に更新する際に余分なメンテナンスが発生する可能性があります。APとWLCの証明書は、SCEPまたはESTを使用して自動的に更新できます（関連ガイドは参照セクションを参照してください）。

関連情報

更新履歴

改定 発行日 コメント
2.0
04-Aug-2026
スペルチェック、文法の挿入、セクションの区切り/読みやすさを優先する水平線、固定URLの更新。
1.0
06-Oct-2023
初版
TAC Authored

シスコ エンジニア提供

  • ダニエラヴィグナウレオン
    テクニカルコンサルティングエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています