ソフトウェアイメージは、ネットワークデバイスの機能を可能にする、インストール可能なネットワーク オペレーティング システム ソフトウェア（Cisco IOS-XR、または PnP ZTP の場合は Cisco IOS-XE など）を含むファイルです。

ソフトウェアイメージの読み込みは、すべての ZTP モードでオプションですが、オンボーディングしているデバイスにソフトウェアイメージがインストールされていない場合は必須です。すでにイメージ化されているデバイスにソフトウェアイメージを適用する必要はありません。イメージを読み込まずに、構成ファイルをデバイスに適用することもできます。イメージの読み込みは、オンボードするデバイスにイメージがインストールされていない場合、またはデバイスのオンボードと同時にネットワーク OS をアップグレードする場合にのみ必要です。

シスコは、IOS-XR イメージを TAR、ISO、BIN、または RPM ファイルとして配布しています。シスコでは、IOS-XE イメージを BIN ファイルとして配布しています。各シスコイメージファイルは、特定のデバイスプラットフォームまたはファミリの特定のネットワーク OS の単一リリースを表します。

[シスコサポート & ダウンロード（Cisco Support & Downloads）] ページからソフトウェア イメージ ファイルをダウンロードします。ダウンロード中に、ファイルの MD5 チェックサムを記録します。アップロードするイメージファイルの独自の MD5 チェックサムを生成することもできます。Crosswork Network Controller は MD5 チェックサムを使用してファイルの整合性を検証します。

ソフトウェア イメージ ファイルを一度に 1 つずつ Crosswork Network Controller に読み込ませ、読み込み中に各ソフトウェア イメージ ファイルの MD5 チェックサムを入力します。

ソフトウェアイメージを Crosswork Network Controller に読み込ませるには、次の手順を実行します。

1. Crosswork Network Controller にログインします。

2. メインメニューから、[デバイス管理（Device Management）] > [ソフトウェア管理（Software Management）] を選択します。

3. をクリックします。

4. ファイルの名前を入力するか、または [参照（Browse）]をクリックし、アップグレードするファイルを選択します。

5. [追加（Add）] をクリックして、ファイルの追加を終了します。

6. 計画された ZTP 実行で使用されるすべてのファイルを読み込むまで、必要に応じて繰り返します。

構成ファイルは、特定のデバイスにインストールされているソフトウェアイメージの機能を構成するスクリプトファイルです。これらはすべての ZTP モードに必要です。

クラシック ZTP とセキュア ZTP モードで使用される構成ファイルは、Linux シェルスクリプト（SH）、Python スクリプト（PY）、または ASCII テキストファイル（TXT）に保存されたデバイスのオペレーティングシステムの CLI コマンドです。Cisco IOS-XR デバイスで、クラシック ZTP とセキュア ZTP のみを使用する場合は、構成ファイルを使用して、SMU を使用してインストールされているネットワーク OS ソフトウェアバージョンをアップグレードすることもできます（「SMU の検索と読み込み」を参照）。

従来の ZTP は、デバイスごとに 1 つの day-zero 構成ファイルのみをサポートします。セキュア ZTP では、オンボーディング時に最大 3 つの構成ファイルを適用できます。1 つは事前設定の準備用、2 つ目は Day 0 設定またはメイン設定、3 つ目は Day 0 設定後に適用される設定後ファイルです。Day 0 設定のみが必須です。アプリケーションの順序は固定されています。

Cisco PnP ZTP は、Cisco ASR 900 デバイスと Cisco NCS 520 デバイスでは Day 0 設定 TXT ファイルのみをサポートします。PnP ZTP 設定ファイルでは、IOS-XE CLI コマンドを使用する必要があります。PnP ZTP は、Linux シェル（SH）または Python（PY）スクリプトファイルをサポートしていません。

お客様の組織またはシスコのコンサルタントが構成ファイルを作成できます。次のセクションでは、ZTP モードのいずれかを使用してデバイスをオンボーディングするときに使用する構成ファイルを準備するためのガイドラインと、これらのファイルを Crosswork Network Controller に読み込む方法について説明します。

（注）	Crosswork Network Controller に構成ファイル名を入力する場合、ファイル名の「拡張子」は小文字のみで入力してください（たとえば、myConfig.PY ではなく myConfig.py）。Crosswork Network Controller は、ファイル名の拡張子がすべて小文字である設定ファイル名のみをスクリーニングして受け入れます。

設定例ファイルのダウンロード

構成スクリプトファイルの内容は、使用するデバイスと組織での使用方法によって大きく異なります。したがって、このドキュメントでは使用可能なすべてのオプションを完全には説明していません。

覚えておくべき主なガイドラインは次のとおりです。

1. カスタム設定コードは、デフォルトとカスタムの両方の置換可能（または「プレースホルダ」）パラメータを使用できます。これにより、デバイスエントリを一括でインポートするとき、または一度に 1 つずつ作成するときに、[設定の詳細（Configuration details）] フ ィールドを使用してランタイム時に値を挿入できます。

2. 必要に応じて、新しいカスタム置換可能パラメータを作成できます。既定のパラメータと同じ名前を使用せず、このトピックで説明する変数の命名規則に従っていれば、任意の名前を付けることができます。デフォルトの置き換え可能なパラメータを使用する場合、デバイスエントリの [構成の詳細（Configuration details）] フィールドで設定した値の代わりに、このトピックの「設定ファイルでデフォルトの置き換え可能なパラメータを使用する」セクションで説明されているソースからランタイム値が挿入されます。

3. 置換可能パラメータの名前は大文字と小文字が区別され、中カッコとドル記号を含める必要があります。スペースを含めることはできません（代わりにアンダースコアを使用）。

4. すべてのカスタム置換可能パラメータに、[構成の詳細（Configuration details）] フィールドで指定したランタイム値が設定されていることを確認します。ランタイム値を指定しなかったカスタム置換可能パラメータが 1 つでもある場合は、デバイス設定プロセスが失敗します。

5. セキュア ZTP を使用している場合は、Day 0 設定にのみカスタム置換可能パラメータを使用できます。カスタム置換可能パラメータは、事前設定ファイルと設定後ファイルではサポートされていません。

6. 構成ファイルが別のアセットまたはファイルを参照している場合は、元のファイルをロードする前に、参照されているアセットまたはファイルがアップロードされていることを確認します。たとえば、デバイスがネットワークエッジにある場合、オペレータは Edge_Script と呼ばれる構成スクリプトを使用して、Edge_Config という名前の構成ファイルをロードします。オペレータは Edge_Config ファイルをシステムに追加する必要があり、Crosswork Network Controller は UUID をファイルに割り当てます。その後、オペレータは UUID を構成スクリプトに入力します。これが完了したら、構成スクリプトを Crosswork Network Controller にロードして、スクリプトの UUID を作成できます。

7. 一部のタスクを実行するには、Cisco Crosswork の API コールを使用する必要があります。特に、デバイスが 1 つの ZTP 状態から別の状態に移行したときに、コードで API コールを使用して Crosswork Network Controller サーバーに通知する必要があります。

8. どの設定ファイルでも別の設定ファイルをコールして実行できますが（デバイスに正常にダウンロードできる場合）、セキュア ZTP でのみ、初期のセキュアなダウンロードの一環として個別の事前設定ファイル、設定後ファイル、および Day 0 設定ファイルを指定できます。

9. 設定ファイル名に複数のピリオドを含めることはできず、また、スペースの代わりにアンダースコアを使用する必要があります。

10. その他のファイルの制限は、以下で説明する設定例ファイルに記載されています。

11. 設定ファイル内のコメントを確認して、どの置換が許可されるかを理解してください。コメントが不明瞭な場合は、シスコサポートにお問い合わせください。

置換可能パラメータと API コールの使用方法の例については、ZTP に付属の Cisco IOS-XR デバイスの ZTP 設定例ファイルを参照してください。Crosswork Network Controller から ZTP 設定例ファイルをダウンロードするには、[デバイス管理（Device Management）] > [ゼロタッチプロビジョニング（Zero Touch Provisioning）] > [設定ファイル（Configuration Files）] を選択し、[サンプルスクリプトのダウンロード（XR）（Download sample script (XR)）] をクリックします。サンプル構成スクリプトにはコメントが付けられており、より一般的に使用される API 呼び出しと置き換え可能なパラメータの例が示されています。

置換可能なパラメータの詳細については、以下のセクション「構成ファイルでのデフォルトの置換可能パラメータの使用」および「構成ファイルでのカスタムの置換可能パラメータの使用」を参照してください。

Crosswork API コールの詳細については、Cisco Crosswork の Cisco Developer Network（DevNet）サイトで利用可能な「Crosswork API References」メニューの ZTP デバイスと設定 API に関する項を参照してください。

このトピック後半のセクション「サンプル ZTP 構成スクリプト」では、置換可能パラメータと API の使用方法の例を示します。

設定ファイルのプレビュー

以前に Crosswork Network Controller にアップロードされた設定ファイルの内容をプレビューするには、[デバイス管理（Device Management）] > [ゼロタッチプロビジョニング（Zero Touch Provisioning）] > [設定ファイル（Configuration Files）] を選択し、設定ファイル名をクリックします。ポップアッププレビューには、次の表に示すように、重要なコード機能のコードシンタックスのスタイルが含まれています。

設定ファイルでのデフォルトの置換可能パラメータの使用

次の表に、カスタム設定ファイルで使用できるデフォルトの置換可能パラメータを示します。実行時に、Crosswork Network Controller はこれらの各プレースホルダを各デバイスの適切な値に置き換えます。これらのプレースホルダの使用例については、Crosswork Network Controller から設定スクリプトの例をダウンロードしてください（[デバイス管理（Device Management）] > [ゼロタッチプロビジョニング（Zero Touch Provisioning）] > [設定ファイル（Configuration Files）] > [サンプルスクリプトのダウンロード（XR）（Download sample script (XR)）]）。これらのデフォルトの置き換え可能なパラメータの使用方法を示す例については、このトピックの後半のセクション「サンプル ZTP 構成スクリプト」を参照してください。

設定ファイルでのカスタム置換可能パラメータの使用

次の例に示すように、独自のカスタム置換可能パラメータを設定ファイルに作成できます。この例に示すように、同じ設定ファイル内でカスタムとデフォルトの置換可能パラメータを使用できます。

次の条件を満たしている限り、任意の名前をカスタム置換可能パラメータに割り当てることができます。

• 指定された変数定義形式（{$MyParm} など）に従う。

• パラメータ名のスペースをアンダーライン文字に置き換える。

• デフォルトの置換可能パラメータと同じ名前や大文字を再使用しない。

• デバイスエントリファイルの [設定の詳細（Configuration details）] フィールドに、各カスタムパラメータの値を入力する。次の CLI 設定のサンプルファイルとそのカスタムパラメータを ZTP デバイスエントリファイルで使用するには、ZTP デバイスエントリファイルの各デバイスの [設定の詳細（Configuration details）] フィールドで {$LOOPBACK0_IP} カスタムパラメータの値を指定する必要があります。カスタムパラメータの値を指定し忘れた場合は、設定が失敗します。

セキュア ZTP を使用している場合は、Day 0 設定ファイルのみでカスタム置換可能パラメータがサポートされます。

このスクリプトの例の最初の行は、IOS-XR デバイスの CLI スクリプトで必要です。これにより、ZTP はファイルが CLI スクリプトか bash/Python スクリプトかを確認できます。必要に応じてバージョン番号を更新してください。IOS-XE デバイスの場合、このような行は必要ありません。

これらのスクリプトでは、必須パラメータは太字で示されています。

!! IOS XR Configuration 7.3.1
!
hostname {$HOSTNAME}
username {$SSH_USERNAME}
 group root-lr
 group cisco-support
 password 0 {$SSH_PASSWORD}
!
cdp
!
line console
exec-timeout 0 0
!
line default
exec-timeout 0 0
session-timeout 120
!

call-home
 service active
 contact smart-licensing
 profile CiscoTAC-1
  active
  destination transport-method http
 !
!
interface Loopback0
 ipv4 address {$LOOPBACK0_IP} 255.255.255.255
!
interface MgmtEth0/RP0/CPU0/0
 description OOB Management ZTP
 ipv4 address {$IP_ADDRESS}
!     
end

ZTP 設定スクリプトの例

このセクションでは、ZTP の構成スクリプトの例を示します。

#!/bin/bash

#################################################################################
#
# ztpSampleScriptFile.sh
#
# Purpose: This sample script is required to notify Crosswork of the status of
# ZTP processing on an IOS XR device, and to update the device's IP address and
# hostname in Crosswork. It is also used to download a day0 config file from
# Crosswork config repository and apply this initial configuration to the device.
#
# To use: Modify the sample script as needed, following the comment guidance.
# Then upload the modified script to the Crosswork config repository.
# Next, copy the URL of this file from the repository and set that
# value in the DHCP server boot filename for ZTP config download. When ZTP is
# triggered on the device, it will download and run the script, then notify
# Crosswork.
#
# Replace the following variables with valid values & upload to Crosswork config
# repository. Sample values are provided for reference.
# - XRZTP_INTERFACE_NAME: e.g., MgmtEth0/RP0/CPU0/0 interface where ZTP triggered
# - CW_HOST_IP: Crosswork VM management or data network IP address
# - CW_PORT: 30604 for HTTP & 30603 only for HTTPS download of config file
# - CW_CONFIG_UUID: Replace with UUID of day0 config file from Crosswork repo,
#   assuming user has already uploaded device day-0 config file.
#
# This script has been tested and is known to work on Cisco NCS5501, NCS540l,
# ASR9901, and 8800 routers.
#
#################################################################################


export LOGFILE=/disk0:/ztp/customer/user-script.log

XRZTP_INTERFACE_NAME="<MgmtEth0/RP0/CPU0/0>"
# ZTP helper library is assumed to be installed in IOS-XR linux shell
source /pkg/bin/ztp_helper.sh
interfacedata=$(xrcmd "show interface ${XRZTP_INTERFACE_NAME}")

CW_HOST_IP="<EnterIPv4AddressHere>"
CW_PORT="<30604>"
CW_CONFIG_UUID="<e04661f8-0169-4ad3-82b8-a7c26c4f2565>"

# Send logging information to log file on device disk0:/ztp/user-script.log
function ztp_log() {

    echo "$(date +"%b %d %H:%M:%S") "$1 >> $LOGFILE
}

#
# Get chassis serial number of the device, required by ZTP process.
# This works on Cisco NCS5501, NCS540l, 8800 series routers.
#
function get_serialkey(){

    local sn=$(dmidecode | grep -m 1 "Serial Number:" | awk '{print $NF}');
    if [ "$sn" != "Not found" ]; then
           ztp_log "Serial $sn found.";
           # The value of $sn from dmidecode should be same as serial number
           # of XR device chassis.
           DEVNAME=$sn;
           return 0
    else
        ztp_log "Serial $sn not found.";
        return 1
    fi
}

#
# Get chassis serial number of the device, required by ZTP process.
# This is tested and works on Cisco ASR 9901, but not other devices.
#
function get_serialkey_asr9901(){

     udi=$(xrcmd "show license udi")
     sn="$(cut -d':' -f4 <<<"$udi")"
     pid="$(cut -d':' -f3 <<<"$udi")"
     pid="$(cut -d',' -f1 <<<"$pid")"
     echo "Serial Number $sn"
     echo "product id $pid"
}

#
# Get IP address and subnet mask from device. IP address is assigned from DHCP
# server on interface where ZTP was triggered.
#
function get_ipaddress(){

    local ipvar=($(echo $interfacedata | awk -F "Internet address is " '{sub(/ .*/,"",$2);print $2}'));
    local ipv4addr=$(xrcmd "sh run interface ${XRZTP_INTERFACE_NAME} | i ipv4 address" | awk '{print $3}')
    local ipv6addr=$(xrcmd "sh run interface ${XRZTP_INTERFACE_NAME} | i ipv6 address" | awk '{print $3}')
    local ipaddress=($(echo $ipvar | awk -F "/" '{sub(/ .*/,"",$1);print $1}'));
    local mask=($(echo $ipvar | awk -F "/" '{sub(/ .*/,"",$2);print $2}'));
    local maskv6=($(echo $ipv6addr | awk -F "/" '{sub(/ .*/,"",$2);print $2}'));

    ztp_log "### Value of interfacedata => $interfacedata ###"
    ztp_log "### Value of ipvar => $ipvar ###"
    ztp_log "#####IPv4 address $ipaddress and mask $mask found. #####";

    IPADDR=$ipaddress
    MASK=$mask
    MASKV6=$maskv6

    return 0
}

#
# Fetch hostname from device configuration.
#
function get_hostname(){

    hostnamedata=$(xrcmd "show running-config hostname")
    local hostname=($(echo $hostnamedata | awk -F "hostname " '{sub(/ .*/,"",$2);print $2}'));

    ztp_log "#####hostname $hostname found.";
    HOSTNAME=$hostname;
    return 0;
}

#
# Download day-0 config file from Crosswork config repository using values
# set for CW_HOST_IP, CW_PORT and CW_CONFIG_UUID.
# The MESSAGE variable is optional, can be used to display a suitable message
# based on the ZTP success/failure log.
#
function download_config(){

    ztp_log "### Downloading system configuration ::: ${DEVNAME} ###";
    ztp_log "### ip address passed value ::: ${IPADDR} ###";
    ip netns exec global-vrf /usr/bin/curl -k --connect-timeout 60 -L -v --max-filesize 104857600 http://${CW_HOST_IP}:${CW_PORT}/crosswork/configsvc/v1/configs/device/files/${CW_CONFIG_UUID} -H X-cisco-serial*:${DEVNAME} -H X-cisco-arch*:x86_64 -H X-cisco-uuid*: -H X-cisco-oper*:exr-config -o /disk0:/ztp/customer/downloaded-config 2>&1

    if [[ "$?" != 0 ]]; then
        STATUS="ProvisioningError"
        ztp_log "### status::: ${STATUS} ###"
        ztp_log "### Error downloading system configuration, please review the log ###"
        MESSAGE="Error downloading system configuration"
    else
        STATUS="Provisioned"
        ztp_log "### status::: ${STATUS} ###"
        ztp_log "### Downloading system configuration complete ###"
        MESSAGE="Downloading system configuration complete"
    fi
}

#
# Apply downloaded configuration to the device and derive ZTP status based on
# success/failure of ZTP process. The MESSAGE variable is optional, can be used
# to display a suitable message based on the ZTP success/failure log.
#
function apply_config(){
    ztp_log "### Applying initial system configuration ###";
    xrapply_with_reason "Initial ZTP configuration" /disk0:/ztp/customer/downloaded-config 2>&1 >> $LOGFILE;
    ztp_log "### Checking for errors ###";
    local config_status=$(xrcmd "show configuration failed");
    if [[ $config_status ]]; then
        echo $config_status  >> $LOGFILE
        STATUS="ProvisioningError"
        ztp_log "### status::: ${STATUS} ###"
        ztp_log "!!! Error encountered applying configuration file, please review the log !!!!";
        MESSAGE="Error encountered applying configuration file, ZTP process failed"
    else
       STATUS="Provisioned"
       ztp_log "### status::: ${STATUS} ###"
       ztp_log "### Applying system configuration complete ###";
       MESSAGE="Applying system configuration complete, ZTP process completed"
   fi
}

#
# Call Crosswork ZTP API to update device ZTP status, IP address, hostname.
# Without this function, device status will remain in "In Progress" and not
# be updated in Crosswork.
#
# Using this API, device SSH/SNMP connectivity details can also be updated.
# Values for connectivity details values can be added as part of
# "connectivityDetails" array in below curl command. Sample snippet provided:
#
#   "connectivityDetails": [{
#     "protocol": "SSH",
#     "inetAddr": [{
#       "inetAddressFamily": "IPV4/IPV6",
#       "ipaddrs": "<ssh/snmp ipaddress>",
#       "mask": <ipaddress mask(Integer).>,
#       "type": "CONNECTIVITYINFO"
#     }],
#     "port": <ssh/snmp port(Integer)>,
#     "timeout": <ssh/snmp timeout(Integer). default to 60sec>
#   }]
#
function update_device_status() {

     echo "'"$IPADDR"'"
     echo "'"$MASK"'"
     echo "'"$DEVNAME"'"
     echo "'"$STATUS"'"
     echo "'"$HOSTNAME"'"
     echo "'"$MESSAGE"'"


    curl -d '{
       "ipAddress":{
            "inetAddressFamily": "IPV4",
            "ipaddrs": "'"$IPADDR"'",
            "mask":  '$MASK'
        },
       "serialNumber":"'"$DEVNAME"'",
       "status":"'"$STATUS"'",
       "hostName":"'"$HOSTNAME"'",
       "message":"'"$MESSAGE"'"
   }' -H "Content-Type: application/json" -X PATCH http://${CW_HOST_IP}:${CW_PORT}/crosswork/ztp/v1/deviceinfo/status
}


# ==== Script entry point ====
STATUS="InProgress"
get_serialkey;
#get_serialkey_asr9901; // For Cisco ASR9901, replace get_serialkey with get_serialkey_asr9901.
ztp_log "Hello from ${DEVNAME} !!!";
get_ipaddress;
ztp_log "Starting autoprovision process...";
download_config;
apply_config;
get_hostname;
update_device_status;

ztp_log "Autoprovision complete...";
exit 0

!! IOS XR
!
hostname ztpdevice1
!
interface MgmtEth0/RP0/CPU0/0
 ipv4 address dhcp
!

!! IOS XR
!
hostname {$hname}
!
interface MgmtEth0/RP0/CPU0/0
 ipv4 address {$mgmt_ipaddr} {$mgmt_subnet_mask}
!

#!/bin/bash

#################################################################################
#
#SZTP post script to update hostname and ipaddress for the device
# input -  serial key and crosswork host and port
# 
#################################################################################


export LOGFILE=/disk0:/ztp/customer/user-script.log

XRZTP_INTERFACE_NAME="<MgmtEth0/RP0/CPU0/0>"
# ZTP helper library is assumed to be installed in IOS-XR linux shell
source /pkg/bin/ztp_helper.sh
interfacedata=$(xrcmd "show interface ${XRZTP_INTERFACE_NAME}")

CW_HOST_IP="<EnterIPv4AddressHere>"   #update from the post script prepare code
CW_PORT="<30603>"           #update from the post script prepare code


# Send logging information to log file on device disk0:/ztp/user-script.log
function ztp_log() {

    echo "$(date +"%b %d %H:%M:%S") "$1 >> $LOGFILE
}


# 
# Get IP address and subnet mask from device. IP address is assigned from DHCP 
# server on interface where ZTP was triggered.
#
function get_ipaddress(){

    local ipvar=($(echo $interfacedata | awk -F "Internet address is " '{sub(/ .*/,"",$2);print $2}'));
    local ipv4addr=$(xrcmd "sh run interface ${XRZTP_INTERFACE_NAME} | i ipv4 address" | awk '{print $3}')
    local ipv6addr=$(xrcmd "sh run interface ${XRZTP_INTERFACE_NAME} | i ipv6 address" | awk '{print $3}')
    local ipaddress=($(echo $ipvar | awk -F "/" '{sub(/ .*/,"",$1);print $1}'));
    local mask=($(echo $ipvar | awk -F "/" '{sub(/ .*/,"",$2);print $2}'));
    local maskv6=($(echo $ipv6addr | awk -F "/" '{sub(/ .*/,"",$2);print $2}'));

    ztp_log "### Value of interfacedata => $interfacedata ###"
    ztp_log "### Value of ipvar => $ipvar ###"
    ztp_log "#####IPv4 address $ipaddress and mask $mask found. #####";

    IPADDR=$ipaddress
    MASK=$mask
    MASKV6=$maskv6

    return 0
}

#
# Fetch hostname from device configuration.
#
function get_hostname(){

    hostnamedata=$(xrcmd "show running-config hostname")
    local hostname=($(echo $hostnamedata | awk -F "hostname " '{sub(/ .*/,"",$2);print $2}'));

    ztp_log "#####hostname $hostname found.";
    HOSTNAME=$hostname;
    return 0;
}



# 
# Call Crosswork ZTP API to update device ZTP status, IP address, hostname.
# Without this function, device status will remain in "In Progress" and not 
# be updated in Crosswork.
#
# Using this API, device SSH/SNMP connectivity details can also be updated.
# Values for connectivity details values can be added as part of 
# "connectivityDetails" array in below curl command. Sample snippet provided:
#
#   "connectivityDetails": [{
#     "protocol": "SSH",
#     "inetAddr": [{
#       "inetAddressFamily": "IPV4/IPV6",
#       "ipaddrs": "<ssh/snmp ipaddress>",
#       "mask": <ipaddress mask(Integer).>,
#       "type": "CONNECTIVITYINFO"
#     }],
#     "port": <ssh/snmp port(Integer)>,
#     "timeout": <ssh/snmp timeout(Integer). default to 60sec>
#   }]
#
function update_device_status() {

     echo "'"$IPADDR"'"
     echo "'"$MASK"'"
     echo "'"$SERIAL_KEY"'"
     echo "'"$HOSTNAME"'"


    curl -d '{
       "ipAddress":{
            "inetAddressFamily": "IPV4",
            "ipaddrs": "'"$IPADDR"'",
            "mask":  '$MASK'
        },
       "serialNumber":"'"$SERIAL_KEY"'", 
       "hostName":"'"$HOSTNAME"'",
       "message":"Post config script updated succssfully"
   }' -H "Content-Type: application/json" -X PATCH http://${CW_HOST_IP}:${CW_PORT}/crosswork/ztp/v1/deviceinfo/status
}

function get_sudi_serial() {
   local rp_card_num=`ip netns exec xrnns /pkg/bin/show_platform_sysdb | grep Active  | cut -d ' ' -f 1`
   echo $rp_card_num
   xrcmd "show platform security tam all location $rp_card_num" > tamfile.txt
   local sudi_serial=$(sed -n -e '/Device Serial Number/ s/.*\- *//p' tamfile.txt)
   echo $sudi_serial
   SERIAL_KEY=$sudi_serial
   return 0
}

function ztp_disable()
{
	xrcmd "ztp disable noprompt"
}

function ztp_enable()
{
	xrcmd "ztp enable noprompt"
}

# ==== Script entry point ====
get_sudi_serial;
ztp_log "Hello from ${SERIAL_KEY} !!!";
get_ipaddress;
get_hostname;
update_device_status;

ztp_log "Autoprovision complete...";
ztp_log "Disabling secure mod"
ztp_disable;
exit 0

構成ファイルの読み込み

設定ファイルに多数の異なる設定が含まれている場合、設定ファイルが長くなる可能性があります。このファイルのロードに失敗すると、障害が発生した場所を特定するのが難しい場合があります。これに対処するには、Crosswork Network Controller に完全にロードする前に、スクリプトを小さなセクションで作成してテストすることをお勧めします。

Crosswork Network Controller に設定ファイルをロードするには、次の手順を実行します。

1. Crosswork Network Controller を起動します。

2. メインメニューから、[デバイス管理（Device Management）] > [ゼロタッチプロビジョニング（Zero Touch Provisioning）] > [設定ファイル（Configuration Files）]を選択します。

3. クリック

4. [参照（Browse）] をクリックして設定ファイルを選択します。

5. 必要な構成情報を入力します。

   クラシック ZTP と PnP ZTP の場合は、[タイプ（Type）] ドロップダウンで常に [Day 0設定（Day0-config）] を選択します。

   セキュア ZTP を実装する場合は、[タイプ（Type）] ドロップダウンを使用して、追加する構成ファイルが [事前設定（Pre-config）] か、[Day 0設定（Day0 config）] か、または [設定後（Post-config）] かを指定します。

6. [追加（Add）] をクリックして、構成ファイルの追加を終了します。

7. 計画された ZTP 実行で使用されるすべての構成ファイルをロードするまで、必要に応じて繰り返します。

ソフトウェア メンテナンス アップデート（SMU）は、シスコ ネットワーク オペレーティング システム ソフトウェア イメージの特定のリリースにおける重大な問題のポイントフィックスを提供するシスコ ソフトウェア パッケージ ファイルです。シスコは、SMU に関連する問題を説明する readme.txt ファイルを使用してブート不可形式の SMU を配布しています。シスコは、ソフトウェアイメージの次のメンテナンスリリースに SMU のコンテンツを展開します。詳細については、Cisco IOS XR のマニュアルを参照してください。

ZTP オンボーディング中にデバイスに SMU を適用することは、クラシック ZTP およびセキュア ZTP でのみサポートされ、その後は構成ファイルの適用中にのみサポートされます（「構成ファイルと読み込み」を参照）。SMU は、Cisco IOS-XE デバイスまたは PnP ZTP ではサポートされていません。

ソフトウェアイメージと同様に、[Cisco Support & Downloads（シスコサポート & ダウンロード）] ページから SMU ファイルをダウンロードします。ダウンロード中に、SMU ファイルの MD5 チェックサムを記録します。Crosswork Network Controller は MD5 チェックサムを使用して SMU ファイルの整合性を検証します。一度に 1 つずつ SMU を Cisco Crosswork に読み込ませ、読み込み中に各 SMU ファイルの MD5 チェックサムを入力します。

SMU を Crosswork Network Controller に読み込ませるには、次の手順を実行します。

1. Crosswork Network Controller を起動します。

2. メインメニューから、[デバイス管理（Device Management）] > [ソフトウェア管理（Software Management）] を選択します。

3. をクリックします。

4. [ソフトウェアイメージ（Software image）] フィールドで、アップロードする SMU ファイルの名前（ISO、TAR、または RPM）を入力するか、[参照（Browse）] をクリックして選択します。

5. [MD5チェックサム（MD5 checksum）] フィールドに、SME ファイルをダウンロードしたときに記録したチェックサムを入力します。

   その後、必要に応じて他のフィールドに入力します。

6. [追加（Add）] をクリックして、SMU の追加を終了します。

7. 計画された ZTP 実行で使用されるすべての SMU ファイルを読み込むまで、必要に応じてこれらの手順を繰り返します。

デバイスのシリアル番号は、すべての ZTP モードで必要です。

ほとんどの組織は、非販売在庫レコードの一部としてネットワークデバイスのシリアル番号のデータベースを維持しています。ネットワークに新しいデバイスを追加する場合、通常、購入時に新しいデバイスのシリアル番号を同じデータベースに追加します。これは、ZTP を使用してオンボードする予定のデバイスのシリアル番号を探す最初の場所です。

新しく購入したデバイスのシリアル番号を取得するには、シスコサポートに連絡することもできます。

最後の手段として、すでにイメージが作成されている Cisco IOS デバイスの場合は、デバイスコンソールにログインして、show inventory CLI コマンドを実行します。コマンド出力で、次の図に示すようなデバイス名と説明のセクションを探します。（この例に示すように）ラインカードまたはその他のオプションを備えたデバイスの場合、シャーシとカードの両方のシリアル番号を読み込む必要があります。

RP/0/RP0/CPU0:ios#sh inv
Wed May 18 13:33:53.674 UTC
NAME: "0/RP0", DESCR: "NC5501 w/o TCAM Route Processor Card"
PID: NCS-5501          , VID: V01, SN: FOC23297HGS

NAME: "Rack 0", DESCR: "NCS5501 w/o TCAM 1RU Chassis"
PID: NCS-5501          , VID: V01, SN: FOC2332R014
...

デバイスのシリアル番号を Crosswork Network Controller に読み込ませるには、次の手順を実行します。

1. Crosswork Network Controller を起動します。

2. メインメニューから、[デバイス管理（Device Management）] > [ゼロタッチプロビジョニング（Zero Touch Provisioning）] > [シリアル番号と所有権バウチャー（Serial Numbers & Ownership Vouchers）] を選択します。

3. [シリアル番号を追加（Add serial number(s)）] をクリックします。

4. [CSVのアップロード（Upload CSV）] をクリックし、serialnumber.csv リンクをクリックして sampleSerialnumber.csv テンプレートファイルをダウンロードします。

5. 選択した CSV ファイルエディタを使用して、ZTP を使用してオンボーディングする予定のすべてのデバイスのシリアル番号をテンプレートに入力します。更新した CSV ファイルテンプレートを新しい名前で保存します。

6. [シリアル番号の追加（Add serial number(s)）] を再度選択します。

7. [参照（Browse）] をクリックして、更新された CSV ファイルを選択します。

8. [シリアル番号の追加（Add serial number(s)）] をクリックして、シリアル番号をインポートします。

固定ドメイン証明書、所有者証明書、および所有者キーは、セキュア ZTP にのみ必要です。これらは、Classic ZTP および PnP ZTP では使用されません。

テスト環境では、ZTP が最初にインストールされたときに Cisco Crosswork が生成するデフォルトの固定ドメイン証明書（PDC）、所有者証明書（OC）、および所有者キーを使用できます。これらの資格情報は、認証局（CA）としてシスコに依存しており、製品テストの便宜のためにのみ提供されています。シスコは、これらのデフォルトのログイン情報を使用している場合、ネットワークをセキュリティリスクにさらさない保護された「サンドボックス」環境で Cisco Crosswork をテストしていると想定しています。

本番環境で使用する場合は、ドメイン証明書をピン留めし、中間 OC を生成し、所有者キーに署名する必要があります。その後、次のセクション「デフォルトの PDC、OC、および所有者キーを更新する」の手順を使用して、これらのログイン情報のデフォルトバージョンを更新できます。

独自の証明書管理スタッフと手順を持つ組織は、選択した CA を使用して PDC、OC、および所有者キーを生成する方法に精通しています。これらのタスクでさらに支援が必要な組織は、このトピックの後半のセクション「ドメイン証明書のピン留め、所有者証明書の生成、所有者キーの署名」の例とアドバイスを参照してください。

デフォルトの PDC、OC、および所有者キーを更新する

デフォルトのピン留めドメイン証明書（PDC）、所有者証明書（OC）、および所有者キーを更新するには、次の手順を実行します。

1. Crosswork を起動します。

2. メインメニューから、[管理（Administration）] > [証明書管理（Certificate Management）] を選択します。

3. [名前（Name）] 列で、[Crosswork ZTP所有者（Crosswork-ZTP-Owner）] 証明書を見つけます。次に、同じ行の をクリックし、[証明書の更新（Update certificate）] を選択します。

4. [ドメインCA証明書のピン留め（Pin domain CA certificate）] フィールドの横にある [参照（Browse）] をクリックし、ピン留めされたドメイン証明書ファイル（PEM または CRT のみ）を選択します。ファイルを選択した状態で、[保存（Save）] をクリックします。

5. [所有者証明書（Owner certificate）] フィールドの横にある [参照（Browse）] をクリックし、所有者証明書ファイル（PEM または CRT のみ）を選択します。ファイルを選択した状態で、[保存（Save）] をクリックします。

6. [所有者キー（Owner key）] フィールドの横にある [参照（Browse）] をクリックし、所有者キーファイル（PEM、KEY、CRT）を選択します。ファイルを選択した状態で、[保存（Save）] をクリックします。

7. [保存（Save）] をクリックして、デフォルトの証明書とキーを更新します。

ドメイン証明書をピン留めし、所有者証明書を生成し、所有者キーに署名します

次の手順では、OpenSSL と Linux Bash シェルを使用して、独自の認証局を使用して PDC、OC、および署名された所有者キーを生成する方法を示す一連の例を示します。このプロセスの追加の説明と例は、次の公開リソースで見つけることができます：OpenSSL Certificate Authority（認証局）。これらのログイン情報を生成したら、前のセクション「既定の PDC、OC、および所有者キーを更新する」の手順に従います。

1. 使用または生成する証明書とその他のファイルを管理するための一連のディレクトリを作成します。次に例を示します。

   #!/bin/sh
   mkdir ./ca
   mkdir ./ca/certs
   mkdir ./ca/crl
   mkdir ./ca/newcerts
   mkdir ./ca/private
   chmod 700 ./ca/private
   touch ./ca/index.txt
   echo 1000 > ./ca/serial
   mkdir ./ca/intermediate
   mkdir ./ca/intermediate/certs
   mkdir ./ca/intermediate/crl
   mkdir ./ca/intermediate/csr
   mkdir ./ca/intermediate/newcerts
   mkdir ./ca/intermediate/private
   chmod 700 ./ca/intermediate/private
   touch ./ca/intermediate/index.txt
   echo 1000 > ./ca/intermediate/serial
   echo 1000 > ./ca/intermediate/crlnumber

2. ルートキーを生成します。次に例を示します。

   #!/bin/bash
   cd ca
   openssl genrsa -aes256 -out private/ca.key.pem 4096
   chmod 400 ./private/ca.key.pem

3. ルート証明書を生成します。次に例を示します。

   #!/bin/bash
   cd ca
   ##-subj "/C=us/ST=nc/L=rtp/O=cisco/OU=cx/CN=cisco.com" \
   openssl req -config openssl.cnf -key ./private/ca.key.pem -new -x509 -days 7300 -sha256 -subj "/C=us/ST=nc/L=rtp/O=cisco/OU=cx/CN=cisco.com" -extensions v3_ca -out certs/ca.cert.pem
   chmod 444 ./certs/ca.cert.pem

4. ルート証明書を確認します。次に例を示します。

   #!/bin/bash
   cd ca
   openssl x509 -noout -text -in certs/ca.cert.pem

5. 中間キーを生成します。次に例を示します。

   #!/bin/bash
   cd ca
   openssl genrsa -aes256 -out intermediate/private/intermediate.key.pem 4096
   chmod 400 ./intermediate/private/intermediate.key.pem

6. 中間証明書を生成します。次に例を示します。

   #!/bin/bash
   cd ca
   ##-subj "/C=us/ST=nc/L=rtp/O=cisco/OU=cx/CN=cisco.com" \
   openssl req -config intermediate/openssl.cnf -new -sha256 \
         -key intermediate/private/intermediate.key.pem \
         -out intermediate/csr/intermediate.csr.pem \
         -subj "/C=us/ST=nc/L=rtp/O=cisco/OU=cx/CN=intermediate.cisco.com"
   chmod 444 ./certs/ca.cert.pem
   © 2022 GitHub, Inc.
   

7. 中間鍵に署名します。次に例を示します。

   #!/bin/bash
   cd ca
   openssl ca -config openssl.cnf -extensions v3_intermediate_ca \
         -days 3650 -notext -md sha256 \
         -in intermediate/csr/intermediate.csr.pem \
         -out intermediate/certs/intermediate.cert.pem
   chmod 444 ./intermediate/certs/intermediate.cert.pem

8. 中間証明書を確認します。次に例を示します。

   #!/bin/bash
   cd ca
   openssl x509 -noout -text -in intermediate/certs/intermediate.cert.pem

9. 証明書チェーンを作成します。次に例を示します。

   #!/bin/bash
   cd ca
   cat intermediate/certs/intermediate.cert.pem \
         certs/ca.cert.pem > intermediate/certs/ca-chain.cert.pem
   chmod 444 intermediate/certs/ca-chain.cert.pem

10. 証明書失効リスト（CRL）に署名します。次に例を示します。

    #!/bin/bash
    mycsr=$1
    myip=$2
    export SAN="IP:${myip}"
    echo $SAN
    cd ca
    openssl ca -config intermediate/openssl.cnf \
          -extensions usrSrv_cert -days 750 -notext -md sha256 \
          -in intermediate/csr/${mycsr}.csr.pem \
          -out intermediate/certs/${mycsr}.cert.pem
    chmod 444 intermediate/certs/${mycsr}.cert.pem

所有権証明書（OV）は、セキュア ZTP にのみ必要です。これらは、クラシック ZTP または PnP ZTP では使用されません。

シスコは、要求に応じてまたはダウンロード経由で、OV を VCJ（単一のバウチャーを含む）または TAR（複数のバウチャーのアーカイブ）ファイル形式でお客様に提供します。いずれかの形式のバウチャーファイルを取得したら、Crosswork に直接アップロードできます。

シスコからの所有権バウチャーの取得

https://masa.cisco.com にあるシスコの MASA（Manufacturer Authorized Signing Authority）サーバーから OV を一括でダウンロードできます。MASA サーバーに安全にアクセスするには、お客様によるログインが必要です。

シスコに OV を要求する場合は、シスコサポートにお問い合わせください。要求と一緒に次の情報を提供する必要があります。

• [ピン留めされたドメイン証明書（Pinned Domain Certificate）]： 認証局（CA）によって発行され、ユーザーがピン留めした信頼できるデジタル証明書。PDC のピン留めの詳細については、「PDC、所有者証明書、および所有者キーを更新する」を参照してください。

• セキュア ZTP を使用してオンボードする予定の各デバイスのシリアル番号（「デバイスのシリアル番号の検索と読み込み」を参照）。

単一のデバイスに対するリクエストの例を次に示します。

{
    "expires-on": "2016-10-21T19:31:42Z",
    "assertion": "verified",
    "serial-number": "JADA123456789",
    "idevid-issuer": "base64encodedvalue==",
    "pinned-domain-cert": "base64endvalue==",
    "last-renewal-date": "2017-10-07T19:31:42Z"
 ​}

シスコサポートは、VCJ ファイルを送信することにより、単一 OV に対するリクエストに応答します。複数のデバイスの OV をリクエストした場合、シスコは単一の VCJ ファイルではなく、複数の VCJ を TAR ファイルで送付します。シスコサポートと合意した安全な方法を使用して、VCJ または TAR ファイル交換を実行することをお勧めします。

個々の VCJ ファイルには、送信元が何であれ、ファイル名としてデバイスのシリアル番号が必要であることに注意してください。上で指定された要求例に従って、シスコは次の名前のファイルを返します：JADA123456789.VCJ。

サードパーティからの所有権バウチャーの取得

セキュア ZTP を使用してサードパーティのデバイスをオンボードする場合は、サードパーティの製造元に VCJ ファイルを要求する必要があります。製造元が提供する VCJ ファイルは命名規則 serial.vcj に従う必要があります。ここで、serial はサードパーティデバイスのシリアル番号です。Cisco Crosswork では、所有権バウチャーをデバイスにマッピングするために、このファイル命名規則が必要です。サードパーティメーカーのバウチャーに関する制限の背景については、「ZTP でのプラットフォームサポート」の「セキュア ZTP でのプラットフォームサポート」を参照してください。

所有権バウチャーの読み込み

所有権バウチャーの読み込むには、次の手順を実行します。

1. Cisco Crosswork を起動します。

2. メインメニューから、[デバイス管理（Device Management）] > [ゼロタッチプロビジョニング（Zero Touch Provisioning）] > [シリアル番号と所有権バウチャー（Serial Numbers & Ownership Vouchers）]を選択します。

3. [バウチャーの追加（Add voucher(s)）] をクリックします。

4. アップロードするバウチャーを含む VCJ または TAR ファイルの名前を入力するか、[参照（Browse）] をクリックして選択します。

5. [アップロード（Upload）] をクリックして、OV のアップロードを完了します。

   TAR ファイルをアップロードすると、Crosswork はロード中にアーカイブから各 VCJ ファイルを抽出します。

SUDI ルート証明書は、IOS-XE デバイスのオンボーディング時にセキュア e ZTP および PnP ZTP に必要です。Classic ZTP には使用されません。

「SUDI 証明書」には次の 2 種類があります。

• デバイスの SUDI 証明書（トラストアンカー証明書とも呼ばれます）。すべての Cisco IOS-XR および IOS-XE デバイスには、SUDI 証明書がデバイスに保存されています。デバイスの SUDI 証明書は変更できません。

• SUDI ルート証明書。これは、各デバイスで SUDI 証明書を有効にするルート CA 認証局です。

SUDI ルート証明書を Crosswork にアップロードすると、セキュア ZTP プロセス（および IOS-XE デバイスの場合は PnP ZTP プロセス）が、SUDI ルート証明書をデバイスに保存されている SUDI 証明書と比較することによって、各デバイスを認証できるようになります。これは、PnP ZTP またはセキュア ZTP プロセスがデバイスにブートストラップ情報を提供する前に必要です。

SUDI ルート証明書を準備して Cisco Crosswork にアップロードするには、次の手順を実行します。

1. 「Cisco Root CA 2048」および「Cisco Root CA 2099」ファイルを PEM 形式で、Cisco PKI：ポリシー、証明書、およびドキュメント（https://www.cisco.com/security/pki/policies/index.html）からダウンロードします。

2. 次の例のように、ASCII テキストエディタを使用して、ダウンロードした 2 つの PEM ファイルを 1 つの PEM ファイルに結合します。

   -----BEGIN CERTIFICATE-----
   MIIDQzCCAiugAwIBAgIQX/h7KCtU3I1CoxW1aMmt/zANBgkqhkiG9w0BAQUFADA1
   ....
   kxpUnwVwwEpxYB5DC2Ae/qPOgRnhCzU=
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   MIIDITCCAgmgAwIBAgIJAZozWHjOFsHBMA0GCSqGSIb3DQEBCwUAMC0xDjAMBgNV
   ...
   PKkmBlNQ9hQcNM3CSzVvEAK0CCEo/NJ/xzZ6WX1/f8Df1eXbFg==
   -----END CERTIFICATE-----

3. Cisco Crosswork を起動します。

4. メインメニューから、[管理（Administration）] > [証明書管理（Certificate Administration）] を選択します。

5. [名前（Name）] 列で、[Crosswork ZTPデバイスSUDI（Crosswork-ZTP-Device-SUDI）] 証明書を見つけます。次に、同じ行の をクリックし、[証明書の更新（Update certificate）] を選択します。

6. [Cisco M2 CA証明書（Cisco M2 CA certificate）] フィールドで、準備した SUDI ルート証明書ファイル（PEM または CRT のみ）を入力するか、[参照（Browse）] をクリックして選択します。

7. ファイル名が入力された状態で、[保存（Save）] をクリックします。Crosswork は SUDI ルート証明書を保存します。