Configurar o certificado HTTPS da GUI do APIC da ACI

Introdução

Este documento descreve a configuração de certificados SSL personalizados e SSL autoassinados.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Assinaturas e certificados digitais
• Processo de emissão de certificado pela organização da Autoridade de Certificação (CA)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Application Policy Infrastructure Controller (APIC)
• Navegador
• ACI executando 5.2 (8e)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Após a inicialização do dispositivo, ele usa o certificado autoassinado como o certificado SSL para HTTPS. O certificado autoassinado é válido por 1000 dias.

Por padrão, o dispositivo renova automaticamente e gera um novo certificado autoassinado um mês antes da expiração do certificado autoassinado.

Configurações

O dispositivo usa um certificado autoassinado. Ao acessar a GUI do APIC, o navegador avisa que o certificado não é confiável. Para resolver esse problema, este documento usa uma autoridade CA confiável para assinar o certificado.

Etapa 1. Importar o Certificado Raiz ou Certificado Intermediário da Autoridade de Certificação

Na barra de menus, navegue até Admin > AAA > Security > Public Key Management > Certificate Authorities.

Nome: Obrigatório.

Formule o conteúdo de acordo com suas regras de nomenclatura. Ele pode conter _, mas não caracteres especiais do inglês, como:
, . ; ' " : | + * / = ` ~ ! @ # $ % ^ & ( ) e espaços.

Descrição: Opcional.

Cadeia de Certificação: Obrigatório.

Preencha o certificado raiz de CA confiável e o certificado intermediário de CA.

Clique no botão Submit.

Etapa 2. Criar Toque de Tecla

Na barra de menus, navegue até Admin > AAA > Security > Public Key Management > Key Rings.

Nome:Obrigatório (insira um nome).

Certificado:não adicione nenhum conteúdo se você gerar uma CSR (Certificate Signing Request, solicitação de assinatura de certificado) usando o Cisco APIC através do toque de chave. Como alternativa, adicione o conteúdo do certificado assinado se você já tiver um assinado pela CA nas etapas anteriores, gerando uma chave privada e CSR fora do Cisco APIC.

Módulo: Obrigatório (clique no botão de opção para obter a intensidade de chave desejada).

Autoridade de Certificação: Obrigatória. Na lista suspensa, escolha a autoridade de certificação criada anteriormente.

Chave privada:não adicione nenhum conteúdo se você gerar um CSR usando oCisco APICatravés do toque de chave. Como alternativa, adicione a chave privada usada para gerar o CSR para o certificado assinado que você inseriu.

Clique no botão Submit.

Etapa 3. Gerar Chave Privada e CSR

Na barra de menus, navegue até Admin > AAA > Security > Public Key Management > Key Rings.

Assunto: Obrigatório. Insira o CN (nome comum) do CSR.

Você pode inserir o nome de domínio totalmente qualificado (FQDN) dos APICs da Cisco usando um curinga, mas em um certificado moderno, geralmente é recomendável que você insira um nome identificável do certificado e insira o FQDN de todos os APICs da Cisco no campo Nome de assunto alternativo (também conhecido como SAN - Nome alternativo do assunto) porque muitos navegadores modernos esperam o FQDN no campo SAN.

Nome Alternativo do Assunto: Obrigatório. Insira o FQDN de todos os APICs da Cisco, como DNS:apic1.example.com,DNS:apic2.example.com,DNS:apic3.example.com ou DNS:*example.com.

Como alternativa, se desejar que a SAN corresponda a um endereço IP, insira os endereços IP dos APICs da Cisco com o formato: IP:192.168.1.1.

Preencha os campos restantes de acordo com os requisitos da organização de CA que você está solicitando para emitir o certificado.

Clique no botão Submit.

Etapa 4. Obtenha o CSR e envie-o para a organização da CA

Na barra de menus, navegue até Admin > AAA > Security > Public Key Management > Key Rings.

Clique duas vezes no nome de Key Ring de criação e localize a opção Request. O conteúdo na Solicitação é o CSR.

Copie todo o conteúdo da solicitação e envie-a para sua autoridade de certificação.

A autoridade de certificação usa sua chave privada para executar a verificação de assinatura no seu CSR.

Depois de obter o certificado assinado da CA, ele copia o certificado para o Certificado.

Clique no botão Submit.

Etapa 5. Atualizar o Certificado de Autenticação na Web

Na barra de menus, navegue até Fabric > Fabric Policies > Policies > Pod > Management Access > Default.

na lista suspensa Admin KeyRing, escolha o KeyRing desejado.

Clique no botão Submit.

Após clicar em enviar, ocorre um erro devido a motivos de certificado. Atualizar com o novo certificado.

Verificar

Depois de acessar a GUI do APIC, o APIC usa o certificado assinado pela CA para se comunicar. Exiba as informações do certificado no navegador para verificá-las.

Troubleshooting

Se o navegador ainda perguntar que a GUI do APIC não é confiável, verifique no navegador se o certificado da GUI é consistente com o enviado no Keyring.
Você precisa confiar no certificado raiz da autoridade de certificação que emitiu o certificado no seu computador ou navegador.

Em APICs que usam certificados autoassinados, avisos de expiração de certificado podem aparecer em raros casos.

Localize o certificado no Keyring, use a ferramenta de análise de certificado para analisar o certificado e compare-o com o certificado usado no navegador.

Se o certificado no chaveiro for renovado, crie uma nova Política de Acesso de Gerenciamento e aplique-a.

Se o certificado no Keyring não for renovado automaticamente, entre em contato com o TAC da Cisco para obter mais assistência.

Informações Relacionadas

• Guia de configuração de segurança do Cisco APIC, versão 5.2(x)
• Suporte técnico e downloads da Cisco