Certificado SAML ISE

Introducción

Este documento describe los certificados del sistema del lenguaje de marcado de aserción de seguridad (SAML) en Cisco Identity Services Engine (ISE). Abarca el propósito de los certificados SAML, cómo realizar la renovación y, por último, responde a las preguntas frecuentes frecuentes. Abarca ISE de la versión 2.4 a la 3.0; sin embargo, debería ser similar o idéntico a otras versiones de software ISE 2.x y 3.x, a menos que se indique lo contrario.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

1. ISE de Cisco
2. La terminología utilizada para describir diferentes tipos de ISE y implementaciones de autenticación, autorización y contabilidad (AAA)
3. Conceptos básicos de AAA y protocolo RADIUS
4. protocolo SAML
5. Certificados SSL/TLS y x509
6. Conceptos básicos de la infraestructura de clave pública (PKI)

Componentes Utilizados

La información de este documento se basa en Cisco Identity Services Engine (ISE), versiones 2.4 - 3.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si su red está activa, asegúrese de comprender el impacto potencial de cualquier comando o configuración.

Certificados SSL en ISE

Un certificado de Secure Sockets Layer (SSL) es un archivo digital que identifica a una persona, un servidor o cualquier otra entidad digital y asocia esa entidad a una clave pública. El creador firma un certificado autofirmado. Los certificados pueden ser firmados automáticamente o firmados digitalmente por una autoridad certificadora externa (CA), normalmente el propio servidor de la CA de una empresa o un proveedor de la CA bien conocido. Un certificado digital firmado por CA se considera un estándar del sector y más seguro que un certificado autofirmado.

Cisco ISE se basa en PKI para proporcionar una comunicación segura con los terminales y los administradores, entre ISE y otros servidores/servicios, y entre los nodos Cisco ISE en una implementación de varios nodos. PKI se basa en certificados digitales X.509 para transferir claves públicas para el cifrado y el descifrado de mensajes y para verificar la autenticidad de otros certificados que representan a usuarios y dispositivos. A través del portal de administración de Cisco ISE, puede administrar estos certificados X.509.

En ISE, los certificados del sistema son certificados de servidor que identifican un nodo de Cisco ISE a otras aplicaciones (como terminales, otros servidores, etc.). Cada nodo de Cisco ISE tiene sus propios certificados de sistema almacenados en el nodo junto con las claves privadas correspondientes. Cada certificado del sistema se puede asignar a 'Roles' que indican el propósito del certificado como se muestra en la imagen.

Certificados del sistema ISE 3.0

El alcance de este documento es sólo para el certificado SAML. Para ver otros certificados en ISE, y más sobre los certificados SSL en ISE en general, consulte este documento: Certificados TLS/SSL en ISE - Cisco

Certificado SAML en ISE

El certificado SAML en ISE se determina buscando certificados del sistema que tengan la entrada SAML en el campo Usos. Este certificado se utilizará para comunicarse con los proveedores de identidad (IdP) de SAML, como para verificar que las respuestas de SAML se reciban del IdP correcto y para asegurar la comunicación con el IdP. Tenga en cuenta que los certificados designados para el uso de SAML no se pueden utilizar para ningún otro servicio como Admin, EAP authentication, etc.

Por primera vez en las instalaciones de ISE, ISE viene con un certificado de servidor SAML autofirmado que tiene estas propiedades:

Tamaño de clave: 2048
Validez: un año
Uso clave: Firma digital (firma)
Uso de clave extendido: Autenticación de servidor Web TLS (1.3.6.1.5.5.7.3.1)

Alarm Name :
Certificate Expiration

Details :
Trust certificate 'Default self-signed server certificate' will expire in 60 days : Server=Kolkata-ISE-001

Description :
This certificate will expire soon. When it expires, ISE may fail when attempting to establish secure communications with clients. Inter-node communication may also be affected

Severity :
Warning

Suggested Actions :
Replace the certificate. For a trust certificate, contact the issuing Certificate Authority (CA). For a CA-signed local certificate, generate a CSR and have the CA create a new certificate. For a self-signed local certificate, use ISE to extend the expiration date. You can just delete the certificate if it is no longer used.