FireSIGHT系统上用于SSL/TLS上Microsoft AD身份验证的身份验证对象验证
简介
您可以配置FireSIGHT管理中心，以允许外部Active Directory LDAP用户对Web用户界面和CLI的访问进行身份验证。本文讨论如何配置、测试和排除Microsoft AD身份验证对象的故障通过SSL/TLS。
先决条件
思科建议您了解FireSIGHT管理中心上的用户管理和外部身份验证系统。
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。
步骤
步骤1.配置不使用SSL/TLS加密的身份验证对象。
- 按照通常的方式配置身份验证对象。加密和未加密身份验证的基本配置步骤相同。
- 确认身份验证对象正在工作，并且AD LDAP用户可以对未加密的身份验证。
步骤2.测试无CA证书的SSL和TLS身份验证对象。
在没有CA证书的情况下，通过SSL和TLS测试身份验证对象。如果遇到问题，请咨询系统管理员以在AD LDS服务器上解决此问题。如果之前已将证书上传到身份验证对象，请选择“Certificate has been loaded(Select to clear loaded certificate)”以清除证书并再次测试AO。
如果身份验证对象失败，请咨询您的系统管理员以验证AD LDS SSL/TLS配置，然后继续下一步。但是，请继续执行以下步骤，使用CA证书进一步测试身份验证对象。
步骤3.下载Base64 CA证书
- 登录AD LDS。
- 打开Web浏览器并连接到http://localhost/certsrv
- 单击“Download a CA certificate， certificate chain， or CRL”
- 从“CA Certificate”列表中选择CA证书，从“Encoding Method”中选择“Base64”
- 单击“Download CA certificate”(下载CA证书)链接下载certnew.cer文件。
步骤4.验证证书中的Subject值。
- 右键单击certnew.cer，然后选择open。
- 单击“详细信息”选项卡，然后从“显示”下拉选项中选择“<全部>”
- 检验每个字段的值。特别是，验证主题值是否与身份验证对象的主服务器主机名匹配。
步骤5.在Microsoft Windows计算机上测试证书。您可以在加入工作组或域的Windows计算机上执行此测试。
- 将CA证书复制到C:\Certficate或任何首选目录。
- 运行Windows命令行cmd.exe。作为管理员
- 使用Certutil命令测试CA证书
cd c:\Certificate
certutil -v -urlfetch -verify certnew.cer >cacert.test.txt
如果Windows计算机已加入域，则CA证书应位于证书存储区中，且cacert.test.txt中不应出现错误。但是，如果Windows计算机在工作组中，您可能会看到两条消息之一，具体取决于受信任CA列表中是否存在CA证书。
a.CA受信任，但找不到CA的CRL:
ERROR: Verifying leaf certificate revocation status returned The revocation function
was unable to check revocation because the revocation server was offline. 0x80092013
(-2146885613)
CertUtil: The revocation function was unable to check revocation because the
revocation server was offline.
b.CA不受信任：
Verifies against UNTRUSTED root
Cert is a CA certificate
Cannot check leaf certificate revocation status
CertUtil: -verify command completed successfully.
如果您收到以下任何其他错误消息，请咨询您的系统管理员，以解决AD LDS和中间CA上的问题。这些错误消息表示证书不正确、CA证书中的主题、缺少证书链等。
Failed "AIA" Time: 0
Failed "CDP" Time: 0
Error retrieving URL: The specified network resource or d evice is no longer available
步骤6.确认CA证书有效并在步骤5中通过测试后，将证书上传到身份验证对象并运行测试。
步骤7.保存身份验证对象并重新应用系统策略。
反馈