配置 ISE 2.0 证书调配门户
简介
本文档介绍身份服务引擎 (ISE) 证书调配门户的配置和功能。
-
先决条件
要求
Cisco 建议您具有以下主题的基础知识：
- ISE
- 证书和证书颁发机构(CA)服务器。
使用的组件
本文档中的信息基于以下软件和硬件版本：
- 身份服务引擎2.0
- Windows 7 PC
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
背景信息
证书调配门户是ISE 2.0中引入的一项新功能，终端设备可以使用此功能从服务器注册和下载身份证书。它向无法通过自注册流程的设备颁发证书。
例如，销售点终端等设备无法通过自带设备(BYOD)流程，需要手动颁发证书。
证书调配门户允许特权用户组上传此类设备的证书请求(CSR);生成密钥对，然后下载证书。
在ISE上，您可以创建修改的证书模板，最终用户可以选择合适的证书模板下载证书。对于这些证书，ISE充当证书颁发机构(CA)服务器，我们可以获得由ISE内部CA签名的证书。
ISE 2.0证书调配门户支持以下格式的证书下载：
- PKCS12格式(包括证书链；证书链和密钥均为一个文件)
- PKCS12格式（证书和密钥的一个文件）
- 隐私增强型电子邮件(PEM)格式的证书（包括链），PKCS8 PEM格式的密钥。
- PEM格式的证书，PKCS8 PEM格式的密钥：
限制
目前，ISE仅支持CSR中的这些扩展来签署证书。
- subjectDirectoryAttributes
- subjectAlternativeName
- keyUsage
- subjectKeyIdentifier
- auditIdentity
- extendedKeyUsage
- CERT_TEMPLATE_OID（这是自定义的OID，用于指定通常在BYOD流中使用的模板）
配置
要在网络中使用证书调配功能，必须启用ISE内部CA服务，并配置证书调配门户。
第1步：在ISE GUI上，导航至Administration > System > Certificates > Certificate Authority > Internal CA，并要在ISE节点上启用内部CA设置，请点击Enable Certificate Authority。
步骤2.在Administration > System > Certificates > Certificate Templates > Add下创建证书模板。
根据要求输入详细信息，然后点击提交，如下图所示。
步骤3.要配置ISE证书调配门户，请导航至Administration > Device Portal Management > Certificate Provisioning > Create，如图所示：
步骤4.在新证书门户上，展开门户设置，如图所示。
HTTPS端口 HTTPS证书调配门户应使用的端口。 允许的接口 ISE应侦听此门户的接口。 证书组标记 用于证书调配门户的证书标记，指示用于此门户的系统证书。 认证方法 选择验证登录此门户的身份库序列。默认情况下，证书请求序列正在使用。 授权组 可通过将一组特定AD组和内部用户组移动到所选表来控制可访问证书调配门户的用户集。只有属于所选组的用户才能访问门户。 完全限定域名(FQDN) 您还可以为此门户指定特定FQDN。使用http/https浏览到FQDN的用户将重定向到此门户。FQDN应是唯一的，不与任何其他门户共享。 空闲超时 该值定义门户的空闲超时。 步骤5.配置登录页设置。
步骤6.配置AUP页面设置。
步骤7.您还可以添加登录后横幅。
步骤8.在Certificate Provisioning门户设置下，指定允许的证书模板。
步骤9.滚动到页面顶部并单击“保存”以保存更改。
此外，可通过导航至门户页面自定义选项卡进一步自定义门户，在该选项卡中，AUP文本、登录后横幅文本和其他消息可根据要求进行更改。
验证
使用本部分可确认配置能否正常运行。
如果ISE已正确配置用于证书调配，则可通过以下步骤从ISE证书调配门户请求/下载证书。
步骤1.打开浏览器，浏览到如上所述配置的证书调配门户FQDN或证书调配测试URL。您被重定向到门户，如下图所示：
步骤2.使用用户名和密码登录。
步骤3.身份验证成功后，接受AUP并进入证书调配页面。
步骤4.证书调配页面提供以下三种方式下载证书的功能：
- 单个证书（无证书签名请求）
- 单个证书（带证书签名请求）
- 批量证书
生成单个证书，无证书签名请求
- 要生成不带CSR的单个证书，请选择“生成单个证书（不带证书签名请求）”选项。
- 输入公用名(CN)。
- 输入要为其生成证书的设备的MAC地址。
- 选择适当的证书模板。
- 选择应下载证书的所需格式。
- 输入证书密码并单击G生成。
- 成功生成并下载单个证书。
使用证书签名请求生成单个证书
- 要生成不带CSR的单个证书，请选择“生成单个证书（带证书签名请求）”选项。
- 从记事本文件的“证书签名请求详细信息”下复制并粘贴CSR内容。
- 输入要为其生成证书的设备的MAC地址。
- 选择适当的证书模板。
- 选择应下载证书的所需格式。
- 输入证书密码并单击Generate。
- 将成功生成并下载单个证书。
生成批量证书
如果上传包含CN和MAC地址字段的CSV文件，则可以为多个MAC地址生成批量证书。
- 要生成不带CSR的单个证书，请选择“生成单个证书（带证书签名请求）”选项。
- 上传csv文件以进行批量请求。
- 选择适当的证书模板。
- 选择应下载证书的所需格式。
- 输入证书密码并单击Generate。
- 生成并下载批量证书压缩文件。
故障排除
目前没有针对此配置的故障排除信息。
反馈