Contents

Introduction

Prerequisites

Requirements

Components Used

问题

解决方案

1. 识别老专用密钥

2. 删除老专用密钥

3. 删除老MSCEP-RA ceritificates

4. 生成SCEP的新的证书

4.1. 生成Exchange登记认证

4.2. 生成CEP加密证明

5. Verify

6. 重新启动 IIS

7. 创建新的SCEP RA配置文件

8. 修改认证模板

参考

Introduction

本文描述如何更新使用简单认证登记协议(SCEP)的两证书：Exchange登记在Microsoft Active Directory 2012的代理程序和CEP加密证明。

Prerequisites

Requirements

Cisco 建议您了解以下主题：

- Microsoft Active Directory配置基础知识

- 基础知识公共密钥Infrastracture (PKI)

- 基础知识身份服务引擎(ISE)

Components Used

本文档中的信息基于以下软件和硬件版本：

- 思科身份服务引擎版本2.0

- Microsoft Active Directory 2012 R2

问题

Cisco ISE支持私有设备已注册的用途SCEP协议(onboarding的BYOD)。当曾经外部SCEP CA时，此CA由在ISE的一个SCEP RA配置文件定义。当SCEP RA配置文件被创建时，两证书自动地被添加到信任证书存储：

- CA根证明，

- 由CA签字的RA (注册审批机构)认证。

RA对收到和验证请求从注册的设备和转发发行客户端证书的它负责到CA。

当RA认证到期时，在CA边(在本例中的Windows服务器2012没有自动地被更新)。应该由活动Directory/CA administartor手工完成那。

这是示例如何达到那在Windows服务器2012 R2。

最初的SCEP证书可视在ISE ：

假定是MSCEP-RA认证过期，并且必须被更新。

解决方案

警告：在Windows服务器的所有更改应该首先与其管理员协商。

1. 识别老专用密钥

查找私有键产生关联与在激活目录的RA证书使用certutil工具。以后那找出关键容器。

certutil -store MY %COMPUTERNAME%-MSCEP-RA

请注意:，如果您最初的MSCEP-RA认证的名字是不同的然后在此请求应该调整它。默认情况下然而，它应该包含计算机名称。

2. 删除老专用密钥

从下面文件夹删除手工参考键：

C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys

3. 删除老MSCEP-RA ceritificates

在删除专用密钥以后，从MMC控制台请取消MSCEP-RA ceritificates。

MMC > File>添加/去除卡扣式…>Add “Ceritificates” >计算机帐户>本地计算机

4. 生成SCEP的新的证书

4.1. 生成Exchange登记认证

4.1.1. 用下面内容创建一个文件cisco_ndes_sign.inf。certreq.exetool以后用于此信息为了生成认证署名请求(CSR) ：

[NewRequest]

Subject = “CN=NEW-MSCEP-RA,OU=Cisco,O=Systems,L=Krakow,S=Malopolskie,C=PL”

Exportable = TRUE

KeyLength = 2048

KeySpec = 2

KeyUsage = 0x80

MachineKeySet = TRUE

ProviderName = “Microsoft Enhanced Cryptographic Provider v1.0″

ProviderType = 1

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.4.1.311.20.2.1

[RequestAttributes]

CertificateTemplate = EnrollmentAgentOffline

提示：如果复制此文件模板，请保证根据您的需求调整它和检查所有字符是否适当地被复制(包括引号)。

4.1.2. 用此命令创建根据.INF文件的CSR ：

certreq -f -new cisco_ndes_sign.inf cisco_ndes_sign.req

如果警告对话用户模板与机器上下文相冲突的上下文冒出，点击OK键。此警告可以被忽略。

4.1.3. 提交CSR用此命令：

certreq -submit cisco_ndes_sign.req cisco_ndes_sign.cer

在此程序期间窗口冒出，并且适当的CA必须被选择。

4.1.4接受认证被发行在上一步。由于此命令，新证书被导入并且被搬到本地计算机私有存储：

certreq -accept cisco_ndes_sign.cer

4.2. 生成CEP加密证明

4.2.1. 创建一个新的文件cisco_ndes_xchg.inf ：

[NewRequest]

Subject = "CN=NEW-MSCEP-RA,OU=Cisco,O=Systems,L=Krakow,S=Malopolskie,C=PL"

Exportable = TRUE

KeyLength = 2048

KeySpec = 1

KeyUsage = 0x20

MachineKeySet = TRUE

ProviderName = “Microsoft RSA Schannel Cryptographic Provider”

ProviderType = 12

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.4.1.311.20.2.1

[RequestAttributes]

CertificateTemplate = CEPEncryption

遵从同样步骤正如4.1所描述。

4.2.2. 生成根据新的.INF文件的CSR ：

certreq -f -new cisco_ndes_xchg.inf cisco_ndes_xchg.req

4.2.3. 提交请求：

certreq -submit cisco_ndes_xchg.req cisco_ndes_xchg.cer

4.2.4 ：通过搬入它接受新证书本地计算机私有存储：

certreq -accept cisco_ndes_xchg.cer

5. Verify

在完成以后第4步，两新的MSCEP-RA证书于本地计算机私有存储将出现：

并且您能验证证书用certutil.exe工具(请确定您使用正确的新证书名字)。应该显示MSCEP-RA证书用新的普通的名字和新的序列号：

certutil -store MY NEW-MSCEP-RA

6. 重新启动 IIS

重新启动互联网信息服务(IIS)服务器为了应用更改：

iisreset.exe

7. 创建新的SCEP RA配置文件

在ISE请创建一个新的SCEP RA配置文件(与服务器URL和老一个一样)，因此新的证书下载并且被添加到信任证书存储：

8. 修改认证模板

确定新的SCEP RA配置文件在BYOD使用的认证模板指定(您在管理>System >证书>认证机关>认证模板能检查它) ：

参考

1. Microsoft Technet区域条款

2. Cisco ISE配置指南