APIC-EM 1.3. — 證書生成 — 通過API刪除

簡介

本檔案介紹如何使用思科應用程式原則基礎架構控制器(APIC) — 延伸行動化(EM)API建立 — 刪除憑證。使用IWAN時，一切都自動配置。但是，目前IWAN沒有任何流量從過期證書中自動恢復裝置。

在RestAPI方面，自動化也有一些流程。但是，這種自動化是按裝置進行的，它需要裝置上的某些資訊。RestAPI流在IWAN流之外，它使用某種機制來自動化裝置的證書。

背景資訊

通常的客戶拓撲。

輻條 — 中心-----APIC_EM [控制器]

以下是三種情況：

• 證書已過期。
• 證書未續訂。
• 證書完全不可用。

您將如何瞭解裝置的當前狀態？

運行命令Switch# sh cry pki cert。

如果您看到，有兩個證書，此處您需要檢查關聯的信任點。

結束日期通常為一年且應大於開始日期。

如果是sdn-network-infra-iwan，則表示從APIC-EM中，您已註冊ID和CA證書。

如何確保APIC-EM是否也擁有相同的證書，或者APIC-EM是否瞭解相同的證書？

a.顯示裝置版本並收集序列號：

藉助此序列號，您可以執行APIC-EM查詢以瞭解APIC-EM對此裝置的看法。

b.導航到API文檔。

c.按一下Public Key Infrastructure(PKI)Broker。

d.按一下First API ，它將幫助我們從API端瞭解狀態。

按一下GET。

在一個覈取方塊中，點選從show version output of Device收集到的序列號。

按一下Try it out!。

將輸出值與裝置的sh crp pki cert輸出進行比較。

如何從裝置中刪除證書？

有時會發生以下情況：在裝置上，證書存在，而在APIC-EM中，證書不存在。因此，當您運行GET API時，會收到錯誤消息。

解決方案只有一個，即從裝置中刪除證書：

a.Switch# show run | I信任點

運行命令Switch# no crypto pki trustpoint <trustpoint name>。

此命令刪除與所選信任點關聯的裝置上的所有證書。

重新檢查證書是否已刪除。 

使用命令:Switch# sh cry pki cert。

不應顯示已刪除的sdn信任點。      

b.刪除金鑰：

在裝置上運行命令：Switch# sh cry key mypubkey all。

此處您會看到金鑰名稱以sdn-network-infra開頭。

刪除金鑰的命令：

2.確保連線到裝置的APIC-EM介面應可執行Ping。

APIC-EM可能有兩個介面，其中一個是公共介面，另一個是專用介面。在這種情況下，請確保與裝置通訊的APIC-EM介面相互執行ping操作。

如何應用APIC - EM的證書？

在APIC-EM下，按一下API文檔並選擇PKI代理時，此選項可用。

POST/trust-point

• 這將建立內建APIC - EM的證書。

然後，您需要有關裝置的資訊，然後按一下試用。

範例： 

{
"platformId":"ASR1001",
"serialNumber":"SSI161908CX",
"trustProfileName":"sdn-network-infra-iwan",
"entityType":"router",    
"entityName":"HUB2"
}

• 突出顯示的資訊為STATIC，其餘資訊為Dynamic。
• 實體名稱是裝置的主機名。
• 您從show version of the device獲得的序列號。
• 可根據裝置型別更改實體型別。
• 需要此資訊來通知APIC-EM配置裝置。APIC-EM可以理解序列號。

「Try it out！（試用！）」的輸出：

此輸出表示檔案由APIC-EM在內部建立，現在已準備好在裝置上部署。

下一步是將此裝置推入套件組合。要推送，您需要獲取信任點ID。這可以通過GET API CALL完成。

GET/trust-point/serial-number/{serialNumber} -查詢

它將為您提供此輸出。這表示APIC-EM具有用於推送裝置的證書。

將證書推送到裝置。

POST/trust-point/{trustPointId} // trustPointId需要從GET序列號查詢複製

{ "響應":{ "platformId":"ASR1001","序列號":"SSI161908CX"、"trustProfileName":"sdn-network-infra-iwan","entityName":"HUB2"、"entityType":"router", "certificateAuthorityId":"f0bd5040-3f04-4e44-94d8-de97b8829e8d","attributeInfo":{}，「id」："c4c7d612-9752-4be5-88e5-e2b6f137ea13" },"version":"1.0" }

這樣會將證書推送到裝置 — 只要連線正確。

響應成功消息：

重新檢查裝置：

您會看到兩個憑證現在均已貼上：

有時APIC-EM有證書，但裝置沒有。您如何解決此問題？

您可以通過一些後台任務僅從APIC-EM中刪除證書。

有時，客戶會錯誤地從裝置中刪除證書，但在APIC-EM中，證書仍然存在。

按一下DELETE。

DELETE/trust-point/serial-number/{serialNumber} -刪除。

輸入序列號，然後按一下Try it out!。