Criar Modelo de Certificado do Windows Server para o Catalyst Center

Introdução

Este documento descreve as etapas para criar um modelo de certificado em um Windows Server executando a ferramenta Autoridade de Certificação (CA).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco Catalyst Center
• Um Windows Server com a função de autoridade de certificação instalada e configurada
• Privilégios de administrador no Windows Server
• Acesso ao Console de Gerenciamento de Autoridade de Certificação
• Conhecimento básico de modelos de certificado e CSR (Certificate Signing Requests, solicitações de assinatura de certificado)

Componentes Utilizados

As informações neste documento são baseadas no Microsoft Windows Server 2022 Standard.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Este modelo personalizado resolve o problema em que os modelos de CA padrão removem a Autenticação de cliente dos Usos de chave estendida. O modelo personalizado pode assinar a CSR (Certificate Signing Request, Solicitação de assinatura de certificado) gerada pelo Catalyst Center.

Configurar

Etapas para revisar e configurar Modelos de Certificado no Windows Server com a Autoridade de Certificação (CA).

1. Faça logon no Windows Server que hospeda a autoridade de certificação usando a Área de Trabalho Remota.

2. Abra uma sessão de prompt de comando (CMD) ou powerShell.

3. Inicie os consoles certificate authority e certificate template executando:

certsrv.msc
certtmpl.msc

Administração Comandos do Powershell

Exemplo do Windows Server

4. No Console de Modelo de Certificado, localize o modelo a ser clonado para criar um novo modelo personalizável.

Tip: Use o modelo de Servidor Web já que ele já inclui todos os parâmetros necessários para o certificado do Catalyst Center.

• Exemplo: clique com o botão direito do mouse no servidor web e selecione modelo duplicado.

Modelo Duplicado

5. Um novo modelo é aberto, modifique-o com as características necessárias.

Características obrigatórias do modelo

6. Modifique o novo modelo da seguinte maneira:

6.1 Guia Geral.

• Insira um nome de modelo (por exemplo, Modelo do Catalyst Center).
• Defina o período de validade (padrão: 2 anos).

Nome do modelo

6.2 Aba Extensions (Extensões).

• Navegue até políticas de aplicativos e clique em editar.

Note: Nesta guia, confirme se o modelo inclui as extensões obrigatórias de Uso de Chave exigidas pelo certificado do Catalyst Center, como keyEncipherment e digitalSignature. Eles já estão presentes no modelo de servidor Web padrão usado como base.

Políticas de Aplicativo de Modelo

• Clique em adicionar, localize autenticação de cliente e clique em ok para incluí-la.

Autenticação do cliente

Adicionar Política de Aplicativo

• Confirme se o modelo mostra Autenticação de cliente junto com os usos padrão.

Extensão de Políticas de Aplicativo

7. Clique em aplicar e em ok.

8. No console Certificate Authority, expanda a árvore CA e selecione a pasta certificate templates.

Modelos de Certificado de Árvore de Autoridades de Certificação

9. Clique com o botão direito do mouse na pasta modelos de certificado e selecione:

Novo > Modelo de certificado a emitir.

Novo modelo de certificado a emitir

10. Na nova janela, selecione o modelo recém-criado (por exemplo, Modelo do Catalyst Center) e clique em ok.

Modelo do Catalyst Center

11. O modelo agora aparece na lista Modelos de Certificado na CA.

12. Abra um navegador e navegue até:

http://localhost/certsrv/

Página de login http://localhost/certsrv/

13. Selecione solicitar um certificado, depois solicitação de certificado avançada, para verificar se o novo modelo está disponível.

14. Nesta página, submeta o CSR e selecione o modelo recém-criado para gerar o certificado assinado.

Solicitar um certificado

13. O certificado é gerado com as extensões corretas, conforme mostrado no exemplo.

Exemplo de certificado

Troubleshooting

Se você encontrar erros ao assinar o CSR, examine os logs do Windows Server para obter mais detalhes:

Erro:

Solucionar erros

1. Abra o visualizador de eventos executando:

eventvwr.msc

2. Navegue até Visualizador de Eventos > Logs do Windows > Aplicativo.

3. Filtrar ou pesquisar eventos onde:

   1. Origem = Autoridade de Certificação

   2. ID do evento = 53, 54, 55 ou similar (indicam que uma solicitação foi emitida, negada ou está pendente).

   3. A mensagem de evento contém detalhes sobre o motivo da recusa (se aplicável).

4. Use a opção Find (clique com o botão direito do mouse em Application > Find...) e pesquise por:

• certsrv

• ID da solicitação (se conhecido, por exemplo, 164)

Solucionar Problemas de Logs do Windows Server