2021年3月31日的证书更改影响Expressway上的智能许可

简介

本文档介绍2021年3月31日的证书更^改如何影响Expressway上的智能许可。

从2021年3月起，思科将迁移至新的证书颁发机构IdenTrust商业根CA 1。如果您在Expressway上使用智能许可，请在2021年3月31日之前将新的根证书上传到其Expressway设备。如果未上传，Expressway和思科智能软件管理器(CSSM)之间的连接同步将中断。

背景信息

CCP用于颁发SSL证书的QuoVadis公共密钥基础设施(PKI)根CA 2受影响撤销能力的行业范围问题的影响。由于此问题，QuoVadis根CA 2在2021-03-31上停用。2021-03-31后，QuoVadis根CA 2未为思科颁发新证书。

在QuoVadis根CA 2停用之前颁发的证书，并在证书到达各自的到期日期之前继续有效。一旦这些证书过期，它们不会续订，这可能导致智能许可等功能无法建立安全连接。

从2021-04-01开始，IdenTrust商业根CA 1用于颁发QuoVadis根CA 2之前颁发的SSL证书。

• 2021年3月23日更新：使用云证书管理的客户当前在其证书列表中未看到新的IdenTrust证书。现有Quovadis(O=QuoVadis Limited， CN=QuoVadis Root CA 2)证书仍然有效。IdenTrust证书在未来TBD时间可供云证书管理使用。如果您使用云证书管理，则不会因此次发布而导致任何服务中断，并且您目前无需采取任何操作。

问题

对于所有Expressway核心和边缘，在2021-03-31之前从QuoVadis根证书颁发机构(CA)信任链颁发的某些安全套接字链(SSL)证书无法从此CA续签。一旦这些证书过期，智能许可等功能将无法建立与思科的安全连接，可能无法正常运行。

症状

Expressway核心和边缘中受影响的平台无法注册到由tools.cisco.com托管的智能许可。智能许可证可能无法通过授权，并反映为“不合规”状态。

注意：思科提供60天宽限期，使受影响的智能许可证处于授权过期状态，从而影响功能。新产品的智能许可证注册可能会受到影响，需要解决方法/解决方案。

解决方案

本视频中还将介绍这些步骤：https://video.cisco.com/video/6241489762001

有关如何将新证书上传到Expressway核心和Expressway边缘的说明：

步骤1.在此下载IdenTrust商业根CA 1，并将其另存为dentrust_rootCA1.pem或cer文件。

1.访问上述网站。

2.复制框内的文本。

3.在记事本上保存文本并保存文件。将文件命名为identrust_RootCA1.pem或identrust_RootCA1.cer

在所有Expressway设备上，导航至维护>安全>受信任CA证书。

步骤2.上传Expressway信任存储上的文件。

上传Expressway信任存储上的CA证书。点击Append CA。

Browse > Upload the identrust_RootCA1.pem > Append CA Certificate。

上传的CA证书可在下面进行验证。

步骤 3：验证证书已成功上传且存在于VCS/Expressway信任存储中

此操作后，更改生效无需重新启动或重新启动。

有关详细信息，请查看此现场通知

现场通知链接。

https://www.cisco.com/c/en/us/support/docs/field-notices/705/fn70557.html