Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Probleem

Oplossing

1. Identificeer oude privé-sleutels

2. Verwijder oude privé-toetsen

3. Verwijder oude MSCEP-RA-certificaten

4. Nieuwe certificaten genereren voor SCEP

4.1. Het inlogcertificaat genereren

4.2. Het CEP-versleutelcertificaat genereren

5. Controleer

6. Herstart IS

7. Een nieuw SCEP RA-profiel maken

8. certificaatsjabloon wijzigen

Referenties

Inleiding

Dit document beschrijft hoe u twee certificaten kunt vernieuwen die worden gebruikt voor Eenvoudig protocol voor certificaatinschrijving (SCEP): Exchange Encapsulation Agent en CEP Encryption certificate in Microsoft Active Directory 2012.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van Microsoft Active Directory-configuratie

- Basiskennis van de openbare sleutelinfrastructuur (PKI)

- Basiskennis van Identity Services Engine (ISE)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco Identity Services Engine versie 2.0

- Microsoft Active Directory 2012 R2

Probleem

Cisco ISE gebruikt SCEP-protocol ter ondersteuning van de registratie van persoonlijk apparaat (BYOD-on-boarding). Wanneer een extern SCEP CA wordt gebruikt, wordt dit CA gedefinieerd door een SCEP RA profiel op ISE. Wanneer een SCEP RA-profiel wordt gecreëerd, worden automatisch twee certificaten toegevoegd aan de Trusted Certificates-winkel:

- CA-basiscertificaat,

- RA (Registratieautoriteit)-certificaat dat door de CA is ondertekend.

RA is verantwoordelijk voor het ontvangen en valideren van het verzoek van het registrerende apparaat en het doorsturen ervan naar de CA die het client-certificaat afgeeft.

Als het RA-certificaat afloopt, wordt het niet automatisch verlengd aan de CA-kant (in dit voorbeeld Windows Server 2012). Dit moet handmatig worden gedaan door de beheerder Active Directory/CA.

Hier is het voorbeeld hoe je dat kunt bereiken op Windows Server 2012 R2.

Oorspronkelijke SCEP-certificaten zichtbaar op ISE:

Aangenomen wordt dat het MSCEP-RA-CERTIFICAAT is verlopen en moet worden verlengd.

Oplossing

Voorzichtig: Alle wijzigingen op Windows Server moeten eerst met de beheerder worden geraadpleegd.

1. Identificeer oude privé-sleutels

Zoek privétoetsen geassocieerd met de RA certificaten op de Actieve Map met behulp van certutil tool. Plaats daarna Key container.

certutil -store MY %COMPUTERNAME%-MSCEP-RA

Als de naam van uw oorspronkelijke MSCEP-RA-certificaat anders is, dient deze in dit verzoek te worden aangepast. De standaardinstelling is echter dat deze de computernaam bevat.

2. Verwijder oude privé-toetsen

Verwijdert de verwijzingstoetsen handmatig uit de onderstaande map:

C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys

3. Verwijder oude MSCEP-RA-certificaten

Nadat u de privé toetsen hebt verwijderd, verwijdert u de MSCEP-RA certificaten uit de MMC-console.

MMC > Bestand > Magnetisch toevoegen/verwijderen... > Bijvoegen "Certificaten" > Computer-account > Lokale computer

4. Nieuwe certificaten genereren voor SCEP

4.1. Het inlogcertificaat genereren

4.1.1. Maak een bestand van cisco_ndes_sign.inf met de onderstaande inhoud. Deze informatie wordt later door het gereedschap certreq.exe gebruikt om de certificaataanvraag (CSR) te genereren:

[NewRequest]

Subject = “CN=NEW-MSCEP-RA,OU=Cisco,O=Systems,L=Krakow,S=Malopolskie,C=PL”

Exportable = TRUE

KeyLength = 2048

KeySpec = 2

KeyUsage = 0x80

MachineKeySet = TRUE

ProviderName = “Microsoft Enhanced Cryptographic Provider v1.0″

ProviderType = 1

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.4.1.311.20.2.1

[RequestAttributes]

CertificateTemplate = EnrollmentAgentOffline

Tip: Als u deze bestandsjabloon kopieert, moet u deze volgens uw vereisten aanpassen en controleren of alle tekens correct zijn gekopieerd (inclusief aanhalingstekens).

4.1.2. Maak CSR op basis van het .INF-bestand met deze opdracht:

certreq -f -new cisco_ndes_sign.inf cisco_ndes_sign.req

Als er een conflict ontstaat tussen de waarschuwingscontext van de gebruikerscontext en de context van de machine, klikt u op OK. Deze waarschuwing kan worden genegeerd.

4.1.3. Vermeld de CSR met deze opdracht:

certreq -submit cisco_ndes_sign.req cisco_ndes_sign.cer

Tijdens deze procedure verschijnt een venster en wordt een juiste CA gekozen.

4.1.4 Aanvaard het in de vorige stap afgegeven certificaat. Als resultaat van deze opdracht, wordt het nieuwe certificaat geïmporteerd en overgebracht naar de lokale PC Persoonlijke winkel:

certreq -accept cisco_ndes_sign.cer

4.2. Het CEP-versleutelcertificaat genereren

4.2.1. Maak een nieuw bestand cisco_ndes_xchg.inf:

[NewRequest]

Subject = "CN=NEW-MSCEP-RA,OU=Cisco,O=Systems,L=Krakow,S=Malopolskie,C=PL"

Exportable = TRUE

KeyLength = 2048

KeySpec = 1

KeyUsage = 0x20

MachineKeySet = TRUE

ProviderName = “Microsoft RSA Schannel Cryptographic Provider”

ProviderType = 12

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.4.1.311.20.2.1

[RequestAttributes]

CertificateTemplate = CEPEncryption

Volg dezelfde stappen als in punt 4.1.

4.2.2. Generate a CSR op basis van het nieuwe .INF-bestand:

certreq -f -new cisco_ndes_xchg.inf cisco_ndes_xchg.req

4.2.3. Vermeld het verzoek:

certreq -submit cisco_ndes_xchg.req cisco_ndes_xchg.cer

4.2.4: Accepteer het nieuwe certificaat door het naar de persoonlijke winkel van de lokale computer te verplaatsen:

certreq -accept cisco_ndes_xchg.cer

5. Controleer

Na voltooiing van stap 4 worden twee nieuwe MSCEP-RA-certificaten in de Local Computer Mobile Store aangebracht:

U kunt de certificaten ook controleren met het gereedschap certutil.exe (controleer of u de juiste nieuwe certificaatnaam gebruikt). MSCEP-RA-certificaten met nieuwe gemeenschappelijke namen en nieuwe serienummers moeten worden weergegeven:

certutil -store MY NEW-MSCEP-RA

6. Herstart IS

Start Internet Information Services (IS)-server opnieuw om de wijzigingen toe te passen:

iisreset.exe

7. Een nieuw SCEP RA-profiel maken

Op ISE om een nieuw SCEP RA profiel te maken (met dezelfde server-URL als de oude), zodat nieuwe certificaten worden gedownload en toegevoegd aan de Trusted Certificates Store:

8. certificaatsjabloon wijzigen

Zorg ervoor dat het nieuwe SCEP RA-profiel is gespecificeerd in de certificaatsjabloon die door BYOD wordt gebruikt (u kunt dit controleren in Beheer > Systeem > Certificaten > certificaatinstantie > Certificaatsjablonen):

Referenties

1. Artikel over Microsoft technische zone

2. Cisco ISE-configuratiehandleidingen