Certificado SAML do ISE

Introduction

Este documento descreve os certificados do sistema SAML (Security Assertion Markup Language) no Cisco Identity Services Engine (ISE). Ele abrange a finalidade dos certificados SAML, como executar a renovação e, finalmente, responde às perguntas frequentes. Ele abrange o ISE da versão 2.4 para a 3.0, no entanto, ele deve ser semelhante ou idêntico a outras versões de software do ISE 2.x e 3.x, a menos que declarado de outra forma.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

1. Cisco ISE
2. A terminologia usada para descrever diferentes tipos de implantações de ISE e de AAA (Authentication, Authorization and Accounting, Autenticação, Autorização e Contabilidade)
3. Protocolo RADIUS e conceitos básicos de AAA
4. protocolo SAML
5. Certificados SSL/TLS e x509
6. Princípios básicos da infraestrutura de chave pública (PKI)

Componentes Utilizados

As informações neste documento são baseadas no Cisco Identity Services Engine (ISE), versões 2.4 - 3.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a sua rede estiver ativa, certifique-se de que você entende o impacto potencial de qualquer comando ou configuração.

Certificados SSL no ISE

Um certificado SSL (Secure Sockets Layer) é um arquivo digital que identifica um indivíduo, um servidor ou qualquer outra entidade digital e associa essa entidade a uma chave pública. Um certificado autoassinado é assinado por seu criador. Os certificados podem ser autoassinados ou assinados digitalmente por uma autoridade de certificação externa (AC) - geralmente um servidor de CA da própria empresa ou um fornecedor de CA bem conhecido. Um certificado digital assinado por CA é considerado um padrão do setor e mais seguro do que um certificado autoassinado.

O Cisco ISE depende do PKI para fornecer comunicação segura com endpoints e administradores, entre o ISE e outros servidores/serviços e entre nós do Cisco ISE em uma implantação de vários nós. O PKI conta com certificados digitais X.509 para transferir chaves públicas para criptografia e descriptografia de mensagens e verificar a autenticidade de outros certificados que representam usuários e dispositivos. Por meio do portal de administração do Cisco ISE, você pode gerenciar esses certificados X.509.

No ISE, os certificados do sistema são certificados de servidor que identificam um nó do Cisco ISE para outros aplicativos (como endpoints, outros servidores, etc.). Cada nó do Cisco ISE tem seus próprios certificados de sistema armazenados no nó juntamente com as chaves privadas correspondentes. Cada certificado do sistema pode ser mapeado para 'Funções' que indicam a finalidade do certificado como mostrado na imagem.

Certificados do sistema ISE 3.0

O escopo deste documento é apenas para o certificado SAML. Para outros certificados no ISE, e mais sobre certificados SSL no ISE em geral, consulte este documento: Certificados TLS/SSL no ISE - Cisco

Certificado SAML no ISE

O certificado SAML no ISE é determinado procurando certificados do sistema com a entrada SAML no campo Usages. Este certificado será usado para se comunicar com provedores de identidade SAML (IdP), como verificar se as respostas SAML estão sendo recebidas do IdP correto e para garantir a comunicação com o IdP. Observe que os certificados designados para o uso de SAML não podem ser usados para nenhum outro serviço, como Admin, autenticação EAP e assim por diante.

Pela primeira vez em instalações do ISE, o ISE vem com um certificado de servidor SAML autoassinado que tem estas propriedades:

Tamanho da chave: 2048
Validade: um ano
Uso principal: Assinatura digital (assinatura)
Uso de chave estendida: Autenticação do servidor Web TLS (1.3.6.1.5.5.7.3.1)

Alarm Name :
Certificate Expiration

Details :
Trust certificate 'Default self-signed server certificate' will expire in 60 days : Server=Kolkata-ISE-001

Description :
This certificate will expire soon. When it expires, ISE may fail when attempting to establish secure communications with clients. Inter-node communication may also be affected

Severity :
Warning

Suggested Actions :
Replace the certificate. For a trust certificate, contact the issuing Certificate Authority (CA). For a CA-signed local certificate, generate a CSR and have the CA create a new certificate. For a self-signed local certificate, use ISE to extend the expiration date. You can just delete the certificate if it is no longer used.