证书文件 (Certificate File)

单击浏览 (Browse) 从运行浏览器的计算机选择证书文件。

友好名称 (Friendly Name)

输入证书的友好名称。如果您不指定名称，思科 ISE-PIC 会自动按照 <通用名称># <颁发者># <nnnnn> 的格式创建名称，其中 <nnnnn> 为唯一的五位数编号。

信任 ISE 中的身份验证 (Trust for authentication within ISE)

如果您希望将此证书用于验证服务器证书（从其他 ISE-PIC 节点或 LDAP 服务器），请选中此复选框。

信任客户端身份验证和系统日志 (Trust for client authentication and Syslog)

（仅在选中了“信任 ISE-PIC 中的身份验证”(Trust for authentication within ISE) 复选框时适用）如果您想将此证书用于以下用途，请选中此复选框：

• 对使用 EAP 协议连接至 ISE-PIC 的终端进行身份验证

• 信任系统日志服务器

信任思科服务的身份验证 (Trust for authentication of Cisco Services)

如果您希望将此证书用于信任源服务等外部思科服务，请选中此复选框。

验证证书扩展名 (Validate Certificate Extensions)

（仅适用于同时选中“信任客户端身份验证和系统日志”(Trust for client authentication and Syslog) 选项和“证书扩展上启用验证”(Enable Validation of Certificate Extensions) 选项的情况下）确保有“keyUsage”扩展并且设置了“keyCertSign”位，而且有将 CA 标志设置为 true 的基本限制扩展。

说明 (Description)

输入可选的说明。

证书将用于 (Certificate(s) will be used for)

选择即将对其使用证书的服务：

思科 ISE 身份证书

• 多用途 (Multi-Use)：用于多种服务（管理员、EAP-TLS 身份验证、pxGrid）。多用途证书同时使用客户端和服务器密钥用法。签名 CA 的证书模板通常称为计算机证书模板。此模板具有以下属性：

  • 密钥用法 (Key Usage)：数字签名（签名）

  • 扩展密钥用法 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1) 和 TLS Web 客户端身份验证 (1.3.6.1.5.5.7.3.2)

• 管理 (Admin) - 用于服务器身份验证（以确保与管理员门户之间的安全通信，以及部署中 ISE-PIC 节点之间的安全通信）。签名 CA 的证书模板通常称为 Web 服务器证书模板。此模板具有以下属性：

  • 密钥用法 (Key Usage)：数字签名（签名）

  • 扩展密钥用法 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

• pxGrid - 同时用于客户端和服务器身份验证（以确保 pxGrid 客户端与服务器之间的安全通信）。签名 CA 的证书模板通常称为计算机证书模板。此模板具有以下属性：

  • 密钥用法 (Key Usage)：数字签名（签名）

  • 扩展密钥用法 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1) 和 TLS Web 客户端身份验证 (1.3.6.1.5.5.7.3.2)

• SAML：用于确保与 SAML 身份提供程序 (IdP) 之间的安全通信的服务器证书。指定用于 SAML 的证书不可用于任何其他服务（例如管理员和 EAP 身份验证等）。

  • 密钥用法 (Key Usage)：数字签名（签名）

  • 扩展密钥用法 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

source=local ; type=fatal ; message="unsupported certificate"

思科 ISE 证书颁发机构颁发的证书

• ISE 根 CA (ISE Root CA) -（仅适用于内部 CA 服务）用于重新生成整个内部 CA 证书链，包括主 PAN 上的根 CA 和 PSN 上的辅助 CA。

• ISE 中间 CA (ISE Intermediate CA)：（仅适用于当 ISE-PIC 用作外部 PKI 的中间 CA 时的内部 CA 服务）用于在主 PAN 上生成中间 CA 证书，在 PSN 上生成从属 CA 证书。签名 CA 的证书模板通常称为辅助证书颁发机构。此模板具有以下属性：

  • 基本约束 (Basic Constraints)：关键、是证书颁发机构

  • 密钥用法 (Key Usage)：证书签名、数字签名

  • 扩展密钥用法 (Extended Key Usage)：OCSP 签名 (1.3.6.1.5.5.7.3.9)

• 更新 ISE OCSP 响应方证书 (Renew ISE OCSP Responder Certificates)：（仅适用于内部 CA 服务）用于更新整个部署的 ISE-PIC OCSP 响应方证书（不是证书签名请求）。出于安全原因，建议您每六个月更新一次 ISE-PIC OCSP 响应方证书。

允许通配符证书 (Allow Wildcard Certificates)

选中此复选框以在 CN 中和/或证书的 SAN 字段的 DNS 名称中使用通配符 (*)。如果选中此复选框，系统会自动选择部署中的所有节点。必须在最左侧的标签位置使用星号 (*) 通配符。如果使用通配符证书，我们建议您对域名空间进行分区以提高安全性。例如，可以将域空间分区为 *.amer.example.com，而不是 *.example.com。如果不对域进行分区，可能会导致安全问题。

为这些节点生成 CSR (Generate CSRs for these Nodes)

选中要为其生成证书的节点旁边的复选框。要为部署中的选定节点生成 CSR，必须取消 Allow Wildcard Certificates 选项。

公共名称 (CN) (Common Name [CN])

默认情况下，公用名是您正为其生成证书签名请求的 ISE-PIC 节点的 FQDN。$FQDN$ 表示 ISE-PIC 节点的 FQDN。当为部署中的多个节点生成证书签名请求时，证书签名请求中的 Common Name 字段会替换为各个 ISE 节点的 FQDN。

组织单位 (OU) (Organizational Unit [OU])

组织单位名称。例如，Engineering。

组织 (O) (Organization [O])

组织名称。例如，Cisco。

城市 (L) (City [L])

（请勿缩写）城市名称。例如，圣何塞。

省/自治区/直辖市 (ST) (State [ST])

（请勿缩写）省/自治区/直辖市名称。例如，加州。

国家/地区 (C) (Country [C])

国家/地区名称。必须输入两个字母 ISO 国家/地区代码。例如，US。

主体可选名称 (SAN) (Subject Alternative Name [SAN])

“IP 地址”(IP address)、“DNS 名称”(DNS name)、“统一资源标识符”(Uniform Resource Identifier, URI) 或与证书关联的“目录名称”(Directory Name)。

• DNS 名称 (DNS name)：如果选择“DNS 名称”(DNS name)，请输入 ISE-PIC 节点的完全限定域名。如果已启用 Allow Wildcard Certificates 选项，请指定通配符符号（域名前的星号和句号）。例如：*.amer.example.com。

• IP 地址 (IP address)：将与证书关联的 ISE-PIC 节点的 IP 地址。

• 统一资源标识符 (Uniform Resource Identifier)：您希望与证书关联的 URI。

• 目录名称 (Directory Name)：根据 RFC 2253 定义的可区分名称 (DN) 的字符串表示。使用逗号 (,) 隔开多个 DN。对于“dnQualifier”RDN，避免使用逗号而是使用反斜杠“\”作为分隔符。例如，CN=AAA,dnQualifier=O=Example\,DC=COM,C=IL

密钥类型 (Key Type)

指定要用于创建公共密钥的算法：RSA 或 ECDSA。

密钥长度 (Key Length)

指定公共密钥的位大小。

以下选项可用于 RSA：

• 512

• 1024

• 2048

• 4096

以下选项可用于 ECDSA：

• 256

• 384

如果计划获取公共的 CA 签名证书，请选择 2048 或更大长度。

签名摘要 (Digest to Sign With)

选择下列散列算法之一：SHA-1 或 SHA-256。

证书策略 (Certificate Policies)

输入证书应符合的证书策略 OID 或 OID 列表。使用逗号或空格分隔 OID。