目錄

簡介

必要條件

需求

採用元件

背景資訊

設定

產生CSR

建立自簽名證書

驗證

疑難排解

相關資訊

簡介

本文說明如何產生憑證簽署請求(CSR)以取得新憑證。

必要條件

需求

思科建議您瞭解以下主題：

- 您必須以具有管理員許可權的使用者身份登入才能配置證書。

- 確保CIMC時間設定為當前時間。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- CIMC 1.0或更高版本

- Openssl

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

可將憑證上傳到思科整合式管理控制器(CIMC)，以取代目前的伺服器憑證。 伺服器證書可以由公共證書頒發機構(CA)（例如Verisign）簽署，也可以由您自己的證書頒發機構簽署。生成的證書金鑰長度為2048位。

設定

步驟 1.

從CIMC生成CSR。

步驟 2.

將CSR檔案提交到CA以簽署憑證。如果您的組織生成自己的自簽名證書，則可以使用CSR檔案生成自簽名證書。

步驟 3.

將新證書上傳到CIMC。

註：必須從CIMC生成的CSR建立上載的證書。不要上載不是由此方法建立的證書。

產生CSR

導覽至Admin索引標籤> Security Management > Certificate Management > Generate Certificate Signing Request(CSR)，並填寫標有*的詳細資訊。

此外，請參閱生成證書簽名請求指南。

注意：使用主體替代名稱為此伺服器指定其他主機名。如果未配置dNSName或者將其從上傳的證書中排除，可能會導致瀏覽器阻止對Cisco IMC介面的訪問。

下一步要做什麼？

執行以下任務：

- 如果您不想從公共證書頒發機構獲取證書，並且您的組織不運行自己的證書頒發機構，則可以允許CIMC從CSR內部生成自簽名證書並立即將其上傳到伺服器。選中Self Signed Certificate框以執行此任務。

- 如果您的組織運行自己的自簽名證書，請將命令輸出從-----BEGIN ...複製到END CERTIFICATE REQUEST-----，然後貼上到名為csr.txt的檔案中。將CSR檔案輸入到證書伺服器以生成自簽名證書。

- 如果您從公共證書頒發機構獲取證書，請將命令輸出從-----BEGIN ...複製到END CERTIFICATE REQUEST-----，然後貼上到名為csr.txt的檔案中。向證書頒發機構提交CSR檔案以獲取已簽名的證書。確保證書型別為Server。

注意：成功生成證書後，Cisco IMC Web GUI將重新啟動。與管理控制器之間的通訊可能會暫時丟失，需要重新登入。

如果您沒有使用第一個選項(其中CIMC在內部生成並上傳自簽名證書)，則必須建立新的自簽名證書並將其上傳到CIMC。

建立自簽名證書

作為公共CA的替代方案並簽署伺服器證書，請運行您自己的CA並簽署您自己的證書。本節顯示用於建立CA和使用OpenSSL伺服器證書生成伺服器證書的命令。有關OpenSSL的詳細資訊，請參閱OpenSSL。

步驟 1.生成RSA私鑰，如下圖所示。

[root@redhat ~]# openssl genrsa -out ca.key 1024

步驟 2.如圖所示生成新的自簽名證書。

[root@redhat ~]# openssl req -new -x509 -days 1095 -key ca.key -out ca.crt

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [XX]:US

State or Province Name (full name) []:California

Locality Name (eg, city) [Default City]:California

Organization Name (eg, company) [Default Company Ltd]:Cisco

Organizational Unit Name (eg, section) []:Cisco

Common Name (eg, your name or your server's hostname) []:Host01

Email Address []:

[root@redhat ~]#

步驟 3.請確保憑證型別為伺服器，如下圖所示。

[root@redhat ~]# echo "nsCertType = server" > openssl.conf

步驟 4.指示CA使用您的CSR檔案生成伺服器證書，如圖所示。

[root@redhat ~]# openssl x509 -req -days 365 -in csr.txt -CA ca.crt -set_serial 01 -CAkey ca.key -out server.crt -extfile openssl.conf

步驟 5.驗證生成的證書是否為型別 伺服器，如圖所示。

[root@redhat ~]# openssl x509 -in server.crt -purpose

Certificate purposes:

SSL client : No

SSL client CA : No

SSL server : Yes

SSL server CA : No

Netscape SSL server : Yes

Netscape SSL server CA : No

S/MIME signing : No

S/MIME signing CA : No

S/MIME encryption : No

S/MIME encryption CA : No

CRL signing : Yes

CRL signing CA : No

Any Purpose : Yes

Any Purpose CA : Yes

OCSP helper : Yes

OCSP helper CA : No

Time Stamp signing : No

Time Stamp signing CA : No

-----BEGIN CERTIFICATE-----

MIIDFzCCAoCgAwIBAgIBATANBgkqhkiG9w0BAQsFADBoMQswCQYDVQQGEwJVUzET

MBEGA1UECAwKQ2FsaWZvcm5pYTETMBEGA1UEBwwKQ2FsaWZvcm5pYTEOMAwGA1UE

CgwFQ2lzY28xDjAMBgNVBAsMBUNpc2NvMQ8wDQYDVQQDDAZIb3N0MDEwHhcNMjMw

NjI3MjI0NDE1WhcNMjQwNjI2MjI0NDE1WjBgMQswCQYDVQQGEwJVUzETMBEGA1UE

CAwKQ2FsaWZvcm5pYTELMAkGA1UEBwwCQ0ExDjAMBgNVBAoMBUNpc2NvMQ4wDAYD

VQQLDAVDaXNjbzEPMA0GA1UEAwwGSG9zdDAxMIIBIjANBgkqhkiG9w0BAQEFAAOC

AQ8AMIIBCgKCAQEAuhJ5OVOO4MZNV3dgQwOMns9sgzZwjJS8LvOtHt+GA4uzNf1Z

WKNyZbzD/yLoXiv8ZFgaWJbqEe2yijVzEcguZQTGFRkAWmDecKM9Fieob03B5FNt

pC8M9Dfb3YMkIx29abrZKFEIrYbabbG4gQyfzgOB6D9CK1WuoezsE7zH0oJX4Bcy

ISE0RsOd9bsXvxyLk2cauS/zvI9hvrWW9P/Og8nF3Y+PGtm/bnfodEnNWFWPLtvF

dGuG5/wBmmMbEb/GbrH9uVcy0z+3HReDcQ+kJde7PoFK3d6Z0dkh7Mmtjpvk5ucQ

NgzaeoCDL0Bn+Zl0800/eciSCsGIJKxYD/FYlQIDAQABo1UwUzARBglghkgBhvhC

AQEEBAMCBkAwHQYDVR0OBBYEFEJ2OTeuP27jyCJRiAKKfflNc0hbMB8GA1UdIwQY

MBaAFA4QR965FinE4GrhkiwRV62ziPj/MA0GCSqGSIb3DQEBCwUAA4GBAJuL/Bej

DxenfCt6pBA7O9GtkltWUS/rEtpQX190hdlahjwbfG/67MYIpIEbidL1BCw55dal

LI7sgu1dnItnIGsJIlL7h6IeFBu/coCvBtopOYUanaBJ1BgxBWhT2FAnmB9wIvYJ

5rMx95vWZXt3KGE8QlP+eGkmAHWA8M0yhwHa

-----END CERTIFICATE-----

[root@redhat ~]#

步驟 6.上傳伺服器憑證，如圖所示。

驗證

使用本節內容，確認您的組態是否正常運作。

導覽至Admin > Certificate Management，然後驗證Current Certificate，如下圖所示。

疑難排解

目前尚無特定資訊可用於排解此組態的疑難問題。

相關資訊

- 思科錯誤ID CSCup26248 — 無法將第三方CA SSL證書上傳到CIMC 2.0。(1a)

- 技術支援與文件 - Cisco Systems