Aprimoramento do gerenciamento de certificado de segurança

Introduction

Este documento descreve o recurso que melhora a experiência do usuário e permite o cluster de exclusão de certificado em todo o seu território.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento do Cisco Unified Communication Manager (CUCM) versão 11.0 e superior.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

Há determinados certificados no CUCM e IM&P que são replicados de forma transparente (sem o conhecimento do administrador). Isso significa que, se um certificado for carregado pelo administrador em um servidor, ele será enviado para os outros servidores dentro do cluster. Isso é feito para suportar o recurso de Cluster Cruzado da Mobilidade de Ramal (EMCC).

Anteriormente, em um cluster grande, se houvesse um requisito para excluir um certificado desnecessário, o administrador precisava fazer login em cada um dos servidores e excluir o certificado manualmente. Além disso, se isso não for feito dentro de uma janela estipulada, o certificado excluído poderá reaparecer devido ao serviço CertSync executado a cada 30 minutos, o que garante que o sistema de arquivos e as tabelas de certificados estejam em sincronia. Para evitar esse problema, os clientes hoje desabilitam o serviço CertSync em todos os nós, seguido da exclusão de certificado em todos os nós. Isso torna a experiência do usuário muito ruim.

Com o novo aprimoramento de recursos, essas instâncias não ocorrerão.

Essa melhoria de recursos no gerenciamento de certificados fornece a capacidade de excluir automaticamente um certificado de todos os nós no cluster.

Quando um certificado é excluído de um nó no cluster, ele será excluído de todos os outros nós no cluster.

Configurar

No Cisco Call Manager, navegue para Cisco Unified OS Administration > Em Security > Certificate Management

Selecione o certificado que precisa ser excluído. Você verá isso:

Depois de clicar em OK, estas etapas terão lugar:

1. O certificado será excluído localmente no servidor.

2. Se o certificado for excluído com êxito, o evento da plataforma será acionado. Este evento de plataforma será enviado a todos os servidores no cluster (CUCM e IM&P). As informações presentes no evento da plataforma são o tipo de unidade (CallManager, Tomcat ou Phone-SAST) junto com o nome do certificado (por exemplo, RootCA.pem). O evento da plataforma nos dá a capacidade de disparar o cluster de eventos de exclusão para todo o lado. 

A operação de exclusão de certificado só se aplica a estes certificados:

CUCM

1. tomcat-trust

2. CallManager-trust

3. phone-sast-trust

Mensagens instantâneas e presença do CUCM

1. tomcat-trust

Verificar

No momento, não há procedimento de verificação disponível para esta configuração.

Troubleshoot

Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração.

Se os certificados nos outros nós do cluster não forem excluídos, colete esses registros da RTMT para solucionar esse problema.

1. Registro de visualizador-aplicação de eventos

2. Registro de sistemas do visualizador de eventos

3. Logs do IPT Platform CertMgr

Exemplo de mensagem:

jul 6 03:12:05 CM11 usuário 6 ilog_impl: Solicitação recebida para evento-plataforma (—no-wait platform-event-clusterwide-certificate-delete HOSTNAME=CM11Sub UNIT=tomcat-trust Type=certs-trust NAME=testcert.pem).

Esse log indica que um evento foi recebido pelos outros nós no cluster para excluir o certificado testcert, quando o certificado é excluído em um nó.

Nos registros certMgmt para a operação de exclusão:

Este registro mostra que o Cert Mgmt recebeu a solicitação para a exclusão do certificado certificate.pem em tomcat_trust:

decodificar: verdadeiro

op: excluir

unidade: tomcat-trust

keystoreUnit:tomcat-trust

logFile: /var/log/active/platform/log/cert-mgmt.log

resultFile: /var/log/active/platform/log/certde-info.xml

keyDir: /usr/local/cm/.security/tomcat/keys

certDir: /usr/local/cm/.security/tomcat/trust-certs/Certificate.pem

Este log mostra que os certificados são excluídos do banco de dados:

2016-07-06 01:31:55.374 INFORMAÇÕES [principal] - IN — CertDBAction.java - deleteCertificateInDB(certInfo) -