Alterar as credenciais do dispositivo do Cisco Catalyst Center para dispositivos com e sem fio para cenários de rede SDA e não SDA

Introdução

Este documento descreve as etapas do procedimento de alteração de credencial do Cisco Catalyst Center (antigo Cisco DNA Center) para dispositivos com e sem fio para cenários de rede de estrutura e não estrutura.

Informações de Apoio

Este documento também se aplica a sites com Controle de Acesso de Rede Dinâmico (Cisco Catalyst Center) gerenciado ou não gerenciado Autenticação, Autorização e Contabilidade (AAA).

Sinopse

Este documento discute a situação em que há um requisito de rede de atualização das credenciais usadas pelo Cisco Catalyst Center para automação.  Os dispositivos gerenciados são descobertos pelo Cisco Catalyst Center com um nome de usuário e senha, e essas mesmas credenciais são usadas pelo Cisco Catalyst Center para conexões SSH com os dispositivos gerenciados (para coleta de automação/inventário e assim por diante). Este documento aborda as práticas recomendadas para alterar a senha de dispositivos gerenciados depois que eles são descobertos pelo Cisco Catalyst Center.

Solução (prática recomendada) 

Requisitos

1. Para locais com AAA gerenciado pelo Cisco Catalyst Center

• O requisito é alterar a senha do usuário (sem alterar a senha de ativação).
• O requisito é alterar a senha do usuário e a senha de ativação (enable).

2. Para locais com AAA não gerenciado Cisco Catalyst Center

• O requisito é alterar a senha do usuário (sem alterar a senha de ativação).
• O requisito é alterar a senha do usuário e a senha de ativação (enable).

Pré-requisitos

• Certifique-se de que o AAA não esteja configurado no Cisco Catalyst Center para todos os sites não SDA.
• Use um script Python para validar se todos os switches Catalyst 9k (SDA ou não-SDA) usam RADIUS para ISE para logons SSH em linhas VTY. Corrija todos os dispositivos que usam credenciais locais. 
• Para nós estendidos 
  • Para atualizar as linhas vty 0 a 4, use estes comandos de configuração (esta pode ser a primeira etapa para nós estendidos).

line vty 0 4
authorization exec VTY_author
login authentication VTY_authen

Procedimento para alteração de credencial do Cisco Catalyst Center

Locais com AAA gerenciado pelo Cisco Catalyst Center

O requisito é alterar a senha do usuário (sem alterar a senha de ativação)

1. Primeiro atualize as credenciais (senha para o nome de usuário relevante) no ISE. Isso causará uma falha na coleta do inventário e os estados do inventário do dispositivo gerenciado serão alterados para Inalcançável, Falha na coleta parcial ou Credenciais incorretas.
2. Na página Provisionar > Inventário, selecione um ou vários dispositivos e selecione Ações > Inventário > Editar dispositivo > guia Credenciais. Em seguida, atualize o "Adicionar credencial específica do dispositivo" com o novo nome de usuário e/ou senha (mantenha a mesma senha de ativação). Neste ponto, o Cisco Catalyst Center poderá fazer login em dispositivos com as credenciais atualizadas e os estados de inventário do dispositivo voltarão para Gerenciado. 
3. As credenciais locais dos dispositivos podem ser atualizadas como um fallback para garantir que o Cisco Catalyst Center seja capaz de fazer login nos dispositivos quando o servidor AAA externo estiver inacessível. As credenciais locais podem ser atualizadas usando o Editor de modelos do Cisco Catalyst Center, um script Python personalizado ou manualmente.
4. A última etapa é atualizar essas mesmas credenciais na página Credenciais globais.  Isso garante que os dispositivos recém-descobertos ou os dispositivos adicionados que usam o LAN Automation usem as credenciais atualizadas na página Design > Configurações de rede > Credenciais do dispositivo > Credenciais CLI > edite o nome do usuário > atualize a senha do usuário sem alterar a senha de ativação.

Observação: o login SSH/Telnet é autenticado pelo servidor AAA externo.  As credenciais do dispositivo local não estão atualizadas.

Observação: quando um servidor AAA externo é configurado na página Design do Cisco Catalyst Center para um site, o Cisco Catalyst Center não executa nenhuma ação nos dispositivos gerenciados ou no ISE quando você altera/modifica as credenciais na página Credenciais globais.

O requisito é alterar a senha do usuário e a senha de ativação

1. Primeiro atualize as credenciais (senha para o nome de usuário relevante) no ISE. Isso causará uma falha na coleta do inventário e os estados do inventário do dispositivo gerenciado serão alterados para Inalcançável, Falha na coleta parcial ou Credenciais incorretas.
2. Na página Provisionar > Inventário, selecione um ou vários dispositivos e selecione Ações > Inventário > Editar dispositivo > guia Credenciais. Em seguida, atualize a "credencial específica para adicionar dispositivo" com o novo nome de usuário e/ou senha, bem como a senha de ativação. Neste ponto, o Cisco Catalyst Center poderá fazer login em dispositivos com as credenciais atualizadas e os estados de inventário do dispositivo voltarão para Gerenciado.
3. A última etapa é atualizar essas mesmas credenciais na página Credenciais globais.  Isso garante que os dispositivos recém-descobertos ou os dispositivos adicionados que usam o LAN Automation usem as credenciais atualizadas na página Design > Configurações de rede > Credenciais do dispositivo > Credenciais CLI > edite o nome do usuário > atualize a senha do usuário e a senha de ativação.

Observação: quando o servidor AAA externo está acessível, o nome de usuário e a senha são autenticados pelo servidor AAA externo e a senha de ativação é autenticada localmente pelo dispositivo gerenciado.

Observação: quando um servidor AAA externo é configurado na página Design do Cisco Catalyst Center para um site, o Cisco Catalyst Center não executa nenhuma ação nos dispositivos ou no ISE quando você altera ou modifica as credenciais na página Credenciais globais.

Sites com AAA não gerenciado do Cisco Catalyst Center

O requisito é alterar a senha do usuário (sem alterar a senha de ativação)

1. Atualize as credenciais na página Credenciais globais em Design > Configurações de rede > Credenciais do dispositivo > Credenciais CLI > edite o nome do usuário > atualize a senha do usuário sem alterar a senha de ativação.
2. Quando as credenciais forem modificadas na página Credenciais Globais, os dispositivos gerenciados nos locais onde o Cisco Catalyst Center não gerencia o AAA poderão ser reconfigurados com as credenciais atualizadas.  O Cisco Catalyst Center pode enviar um script EEM temporário para validar as credenciais.  Se o login for bem-sucedido, a configuração poderá ser preservada.

Observação: para os dispositivos gerenciados nos locais onde o Cisco Catalyst Center não gerencia a configuração AAA, o Cisco Catalyst Center não tem conhecimento se os dispositivos gerenciados são configurados manualmente ou não com o servidor AAA externo ou se os dispositivos gerenciados usam apenas credenciais locais, portanto, assegure-se de que a senha seja atualizada no servidor AAA externo se for configurada nos dispositivos gerenciados afetados antes de prosseguir com estas etapas.

O requisito é alterar a senha do usuário e a senha de ativação

1. Atualize as credenciais na página Credenciais globais em Design > Configurações de rede > Credenciais do dispositivo > Credenciais CLI > edite o nome do usuário > atualize a senha do usuário junto com a senha de ativação.
2. Quando as credenciais forem modificadas na página Credenciais Globais, os dispositivos gerenciados nos locais onde o Cisco Catalyst Center não gerencia o AAA poderão ser reconfigurados com as credenciais atualizadas.  O Cisco Catalyst Center pode enviar um script EEM temporário para validar as credenciais.  Se o login for bem-sucedido, a configuração poderá ser preservada.

Observação: para os dispositivos gerenciados nos locais onde o Cisco Catalyst Center não gerencia a configuração AAA, o Cisco Catalyst Center não tem conhecimento se os dispositivos gerenciados são configurados manualmente ou não com o servidor AAA externo ou se os dispositivos gerenciados usam apenas credenciais locais, portanto, assegure-se de que a senha seja atualizada no servidor AAA externo se for configurada nos dispositivos gerenciados afetados antes de prosseguir com estas etapas.