Remover Certificados de Respondente OCSP Interno Expirados no ISE

Introdução

Este documento descreve como excluir certificados de respondente OCSP expirados e/ou prestes a expirar no Cisco Identity Service Engine (ISE).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Conhecimento básico do Identity Service Engine (ISE).
• Conhecimento básico de certificados.
• Protocolo de Status de Certificados Online (OCSP)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Cisco Identity Service Engine 3.x
  
  

As informações neste documento foram criadas a partir dos dispositivos em um ambiente de laboratório específico.Todos os dispositivos usados neste documento começaram com uma configuração limpa (padrão). Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Um problema comum enfrentado pelos clientes que usam o Cisco Identity Services Engine (ISE) é receber alarmes indicando que um certificado expirou, especificamente quando o certificado do respondente OCSP expirou ou está prestes a expirar e o certificado não pode ser encontrado. Essa situação geralmente leva os clientes a abrir casos de TAC para assistência. O objetivo deste guia é capacitar os clientes a localizar e excluir eles mesmos esses certificados de respondente OCSP expirados ou prestes a expirar, evitando assim a necessidade de levantar um caso de TAC.

O OCSP (Online Certificate Status Protocol) é um protocolo usado para verificar o status de certificados digitais x.509. Esse protocolo é uma alternativa para a Lista de Certificados Revogados (CRL) e trata de problemas que resultam no tratamento de CRLs. O Cisco ISE tem a capacidade de se comunicar com servidores OCSP por HTTP para validar o status de certificados em autenticações. A configuração do OCSP é configurada em um objeto de configuração reutilizável que pode ser referenciado de qualquer certificado de autoridade de certificação (CA) configurado no Cisco ISE.

Em cada implantação do Cisco ISE, os certificados do Respondente OCSP (Online Certificate Status Protocol) estão presentes por padrão como parte da infraestrutura interna da CA (Certificate Authority). Esses certificados são emitidos pela CA interna do Cisco ISE no PPAN (Primary Policy Administration Node) e são gerados automaticamente para cada nó na implantação, incluindo o PAN e todos os PSNs (Policy Service Nodes).

Gerenciar esses certificados de Respondente OCSP é importante porque certificados expirados ou prestes a expirar podem disparar alarmes de Certificado expirado no painel do Cisco ISE. Embora o Cisco ISE gere automaticamente novos certificados de Respondente OCSP, as entradas expiradas permanecem no Repositório de Certificados Confiáveis até que sejam removidas manualmente.

Configuração

Etapa 1 - Verificar o certificado OCSP expirado

Na GUI do PPAN (Primary Policy Administration Node), navegue até a guia Dashboard (1). No dashlet Alarms, clique no botão Detach (2) para expandir a tabela de alarmes.

Clique no alarme Certificado Expirado para expandir a tabela e exibir as entradas de certificado associadas ao alarme.

Todos os certificados que dispararam o alarme Certificado Expirado são exibidos nesta tabela. Este guia se concentra apenas nos certificados do Respondente OCSP. Se a tabela incluir outros tipos de certificados expirados, como EAP, SAML, Admin ou outros certificados do sistema, consulte a documentação relevante da Cisco e o Guia do Administrador do Cisco ISE para obter orientação sobre esses tipos de certificados.

Revise a descrição do alarme para identificar o certificado que está expirado ou, em alguns cenários, prestes a expirar.

Neste exemplo, o certificado expirado é: Certificate Services OCSP Responder - <node-name>#0004.

Anote o nome do certificado. Este nome é usado nas próximas etapas para localizar e excluir o certificado do Repositório de Certificados Confiáveis.

Etapa 2 - Localizar e excluir o certificado OCSP expirado

Navegue até: Administração > Sistema > Certificados:

Selecione a guia Certificados de Confiabilidade.

Na página Certificados de Confiabilidade, selecione show internal CA certificates. Exibe os certificados da CA interna (Autoridade de certificação) do Cisco ISE, incluindo os certificados do Respondente OCSP que estão ocultos por padrão.

Depois de selecionado, o botão é alterado para ocultar os certificados internos da CA.

Na tabela Repositório de Certificados Confiáveis, selecione o ícone Filtro para procurar o certificado que deve ser excluído.

Se o certificado do Respondente OCSP estiver prestes a expirar, filtre somente por OCSP em Nome Amigável. Se o certificado do Respondente OCSP já tiver expirado, continue com a próxima ação.

Para localizar um certificado de Respondente OCSP expirado, insira estes filtros:

• Nome amigável: OCSP
• Status: Expirado

A tabela exibe os certificados do Respondente OCSP expirados.

Marque a caixa de seleção ao lado do certificado do Respondente OCSP que deve ser removido e clique em Excluir.

Selecione OK no aviso de confirmação para continuar a excluir o certificado.

Antes de excluir o certificado, é importante entender que o certificado do Respondente OCSP faz parte da infraestrutura interna de CA do ISE.

O aviso que aparece durante a exclusão é genérico e se aplica a todos os certificados internos relacionados a CA. Seu objetivo é prevenir contra a exclusão de certificados dentro da hierarquia de CA interna, já que alguns desses certificados assinam certificados de ponto de extremidade usados para serviços como BYOD, pxGrid ou outras funções que dependem de certificados emitidos pela CA interna do ISE.

Um certificado de Respondente OCSP expirado também pode afetar certificados emitidos pela CA interna do ISE. Quando um cliente ou serviço consulta o status de um certificado emitido por essa CA, o serviço OCSP retorna um erro porque o certificado do Respondente OCSP expirou, o que pode causar falha na validação do status do certificado.

Quando você seleciona Excluir, duas opções são apresentadas:

• Excluir certificado: Esta opção exclui o certificado de CA interno do Cisco ISE do armazenamento de certificados confiáveis. Quando o certificado interno da autoridade de certificação é excluído, todos os certificados de ponto de extremidade assinados por essa autoridade de certificação se tornam inválidos e os pontos de extremidade afetados não podem acessar a rede. Esta ação é reversível: você pode restaurar o acesso à rede importando o mesmo certificado interno CA de volta para o armazenamento Certificados de Confiabilidade.
• Excluir e revogar certificado: Essa opção exclui e revoga o certificado de CA interno do Cisco ISE. Como ocorre com a opção Excluir, todos os certificados de ponto de extremidade assinados pela CA interna se tornam inválidos e os pontos de extremidade afetados perdem o acesso à rede. No entanto, esta operação é irreversível. Após a revogação, você deve substituir toda a cadeia de certificados raiz do Cisco ISE para que a implantação restaure a funcionalidade.
  
  

Qual opção selecionar para um certificado de respondente OCSP expirado?

O impacto descrito aplica-se a certificados internos de CA que assinam ativamente certificados de ponto de extremidade. O certificado do Respondente OCSP não assina certificados de ponto de extremidade; ele é usado para comunicação OCSP. Embora um certificado do Respondente OCSP expirado possa causar falha na validação do status do certificado para certificados emitidos pela CA interna, o certificado já expirou e, portanto, não está mais fornecendo respostas OCSP válidas. Excluí-lo não traz nenhum impacto adicional.

Como o certificado do Respondente OCSP nesse cenário já expirou, ele não é mais válido. Nesse caso, Excluir e Excluir e Revogar produzem o mesmo resultado, já que não há mais nada válido a ser revogado.

Por esses motivos, Excluir é a opção recomendada, pois é a ação mais simples e evita gerar uma entrada de revogação desnecessária.

Depois que o certificado for excluído, uma notificação de Resposta do servidor será exibida indicando que o certificado confiável foi excluído com êxito:

Verificar

Depois que o certificado for excluído, você poderá usar um ou ambos os métodos para verificar se a operação foi bem-sucedida.

Opção 1 - Verificar a partir dos alarmes do painel

Navegue até a página Painel.

No dashlet Alarms, localize o alarme Configuration Changed. Selecione o alarme para exibir os detalhes. @ info: whatsthis

Deve aparecer uma entrada indicando que um objeto de configuração foi excluído. O nome do objeto deve corresponder ao certificado do Respondente OCSP que foi removido.

Opção 2 - Verificar a partir do Repositório de Certificados Confiáveis

Como etapa adicional, navegue de volta para a tabela Repositório de Certificados Confiáveis e filtre o certificado do Respondente OCSP. Como o certificado foi excluído, a tabela deve exibir Nenhum dado disponível.

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	06-Jul-2026	Versão inicial