ISE SAML 인증서

소개

이 문서에서는 Cisco ISE(Identity Services Engine)의 SAML(Security Assertion Markup Language) 시스템 인증서에 대해 설명합니다. SAML 인증서의 용도, 갱신 수행 방법, 그리고 자주 묻는 FAQ에 대한 답변을 제공합니다.버전 2.4에서 3.0으로 ISE를 지원하지만 달리 명시되지 않은 한 다른 ISE 2.x 및 3.x 소프트웨어 릴리스와 유사하거나 동일해야 합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

1. Cisco ISE
2. 다양한 유형의 ISE 및 인증, 권한 부여 및 계정 관리(AAA) 구축을 설명하는 데 사용되는 용어
3. RADIUS 프로토콜 및 AAA 기본 사항
4. SAML 프로토콜
5. SSL/TLS 및 x509 인증서
6. PKI(Public Key Infrastructure) 기본 사항

사용되는 구성 요소

이 문서의 정보는 Cisco ISE(Identity Services Engine), 릴리스 2.4 - 3.0을 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.네트워크가 작동 중인 경우 모든 명령 또는 컨피그레이션의 잠재적인 영향을 이해해야 합니다.

ISE의 SSL 인증서

SSL(Secure Sockets Layer) 인증서는 개인, 서버 또는 기타 디지털 엔티티를 식별하고 해당 엔티티를 공개 키와 연결하는 디지털 파일입니다.자체 서명 인증서는 생성자가 서명합니다.인증서는 자체 서명 또는 외부 CA(Certificate Authority)에 의해 디지털 서명(일반적으로 회사의 고유 CA 서버 또는 잘 알려진 CA 공급업체)될 수 있습니다.CA 서명 디지털 인증서는 업계 표준으로 간주되며 자체 서명 인증서보다 더 안전합니다.

Cisco ISE는 PKI에 의존하여 엔드포인트와 관리자, ISE와 기타 서버/서비스 간, 다중 노드 구축의 Cisco ISE 노드 간에 보안 통신을 제공합니다.PKI는 X.509 디지털 인증서를 사용하여 메시지의 암호화 및 암호 해독을 위한 공개 키를 전송하고 사용자 및 디바이스를 나타내는 다른 인증서의 신뢰성을 확인합니다.Cisco ISE 관리 포털을 통해 이러한 X.509 인증서를 관리할 수 있습니다.

ISE에서 시스템 인증서는 다른 애플리케이션(예: 엔드포인트, 기타 서버 등)에 대한 Cisco ISE 노드를 식별하는 서버 인증서입니다. 모든 Cisco ISE 노드는 해당 개인 키와 함께 노드에 저장 된 자체 시스템 인증서를 가지고 있습니다.각 시스템 인증서는 이미지에 표시된 대로 인증서의 용도를 나타내는 '역할'에 매핑될 수 있습니다.

ISE 3.0 시스템 인증서

이 문서의 범위는 SAML 인증서에만 적용됩니다.ISE의 다른 인증서 및 일반적으로 ISE의 SSL 인증서에 대한 자세한 내용은 다음 문서, ISE의 TLS/SSL 인증서 - Cisco를 참조하십시오.

ISE의 SAML 인증서

ISE의 SAML 인증서는 Uses(사용) 필드 아래에 SAML 항목이 있는 시스템 인증서를 찾아 결정됩니다.이 인증서는 SAML 응답이 올바른 IdP에서 수신되는지 확인하고 IdP와의 통신을 보호하기 위해 SAML ID 제공자(IdP)와 통신하는 데 사용됩니다.참고: SAML 사용을 위해 지정된 인증서는 관리, EAP 인증 등과 같은 다른 서비스에 사용할 수 없습니다.

ISE를 처음 설치하는 경우 ISE는 다음과 같은 속성을 가진 자체 서명 SAML 서버 인증서와 함께 제공됩니다.

키 크기:2048
유효성:1년
키 사용:디지털 서명(서명)
확장 키 사용:TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)

Alarm Name :
Certificate Expiration

Details :
Trust certificate 'Default self-signed server certificate' will expire in 60 days : Server=Kolkata-ISE-001

Description :
This certificate will expire soon. When it expires, ISE may fail when attempting to establish secure communications with clients. Inter-node communication may also be affected

Severity :
Warning

Suggested Actions :
Replace the certificate. For a trust certificate, contact the issuing Certificate Authority (CA). For a CA-signed local certificate, generate a CSR and have the CA create a new certificate. For a self-signed local certificate, use ISE to extend the expiration date. You can just delete the certificate if it is no longer used.