NX-API CLI は、スイッチで Cisco NX-OS CLI を実行するために VSH を生成します。VSH のタイムアウトは 5 分です。Cisco NX-OS CLI の実行に 5 分以上かかると、コマンドは失敗し、「Back-end processing error.」というメッセージが表示されます。これは、NX-API コマンドのタイムアウトによって制御されます。これは、NX-API を介して要求されたコマンドを実行できる時間を制御します。この値は 300 秒に固定されており、変更できません。

証明書認証には次の注意事項と制約事項があります。

• NX-API クライアントには、ユーザー名とパスワードを設定する必要があります。

• NX-API クライアントとスイッチは、デフォルトでウェルノウン ポートで HTTP を介して通信します。柔軟性を高めるために、HTTP はウェルノウン ポートでもサポートされます。ただし、追加のポートを設定することもできます。

• クライアント証明書認証の Python スクリプティングがサポートされています。クライアント証明書がパスフレーズで暗号化されている場合、python はパスフレーズの入力を通常どおり要求します。ただし、Python 要求ライブラリの現在の制限により、パスフレーズをスクリプトに渡すことはできません。

• NX-API クライアントとスイッチは、同じトラストポイントを使用する必要があります。

• サポートされるトラストポイントの最大数は、スイッチごとに 26 です。

• 信頼できる CA のリストは、すべての NX-API クライアントとスイッチで同じである必要があります。信頼できる CA の個別のリストはサポートされていません。

• 証明書認証は、NX-API サンドボックスではサポートされていません。

• 次の条件によって、NX-API サンドボックスがスイッチにロードされるかどうかが決まります。

  • NX-API サンドボックスは、nxapi client certificate authentication optional または no nxapi client certificate authentication が構成されている場合にのみロードされます。

  • NX-API サンドボックスは、接続の確立時に有効なクライアント証明書がブラウザに提示されない限り、strict および two-step 認証モードをロードしません。

• スイッチには NGINX サーバーが組み込まれています。複数のトラストポイントが設定されていても、証明書失効リスト（CRL）が 1 つのトラストポイントだけにインストールされている場合、NGINX の制限により NX-API クライアント証明書認証は失敗します。この制限を回避するには、すべてのトラストポイントに CRL を構成します。

• 証明書は期限切れになったり、期限切れになったりする可能性があり、CA（トラストポイント）によって設定された CRL の有効性に影響を与える可能性があります。スイッチが有効な CRL を使用できるように、設定されているすべてのトラストポイントに必ず CRL をインストールしてください。トラストポイントによって失効した証明書が存在しない場合は、空の CRL を生成、インストールし、更新する必要があります。これはたとえば週に 1 回行います。

  暗号化 CLI を使用して CRL を更新した後、nxapi client cert authentication を発行して、新しく更新された CRL を再適用します。

• NX-API クライアント証明書認証が有効になっているときに ASCII リロードを使用する場合は、リロードの完了後に nxapi client certificate authentication を発行する必要があります。

• 証明書パスは信頼済み CA 証明書で終了している必要があります。

• TLS 用に提示されるサーバー証明書には、extendedKeyUsage フィールドにサーバー認証目的（OID 1.3.6.1.5.5.7.3.1 の id-kp 1）が必要です。

• TLS 用に提示されるクライアント証明書には、extendedKeyUsage フィールドにサーバー認証目的（OID 1.3.6.1.5.5.7.3.2 の id-kp 1）が必要です。

• この機能は CRL（証明書失効リスト）をサポートします。オンライン証明書ステータス プロトコル（OCSP）はサポートされていません。

• 『NX-OS セキュリティ ガイド』の追加の注意事項と制約事項に従ってください。

  • 証明書と基本認証の両方を使用します。そうすることで、証明書が何らかの理由で侵害された場合でも、正しいユーザーとパスワードが要求されます。

  • 秘密キーは秘密にしておきます。サーバーの公開キーには接続を試みるすべてのユーザーがアクセスできるからです。

  • CRL は中央 CA からダウンロードし、最新の状態に保つ必要があります。古い CRL はセキュリティリスクにつながる可能性があります。

  • トラストポイントは最新の状態に保ちます。トラストポイントまたは構成の変更が証明書認証機能に加えられた場合は、更新された情報をリロードするために、この機能を明示的に無効にしてから再度有効にします。

• nxapi certificate httpscert certfile bootflash:<>「CLI」で NX-API に関連付けられるクライアント証明書アイデンティティ ファイルには、最大 8K というファイルサイズの制限があります。これは Day-1 の制限です。

• NX-API 管理コマンドの表 1 において、コマンド nxapi certificate {httpscrt certfile | httpskey keyfile} filename に関連付けられる行で、サポートされる証明書ファイルの最大サイズは 8K 未満です。

Before configuring certificate authentication, make sure the following are present on the switch:

1. Configure the client with a username and password. For information see Configuring User Accounts and RBAC.

2. Configure the CA(s) (trustpoint) and CRL(s) (if any).

If no certificates were revoked by a trustpoint, create a blank CRL for each trustpoint.

For information, see the Cisco Nexus 9000 Series NX-OS Security Configuration Guide.

次の例は、認証用のクライアント証明書を使用した Python スクリプトを示しています。

import requests
import json

"""
Modify these please
"""
switchuser='USERID'
switchpassword='PASSWORD' 
mgmtip='NXOS MANAGEMENT IP/DOMAIN NAME'

client_cert_file='PATH_TO_CLIENT_CERTIFICATE'
client_key_file='PATH_TO_CLIENT_KEY_FILE'
ca_cert='PATH_TO_CA_CERT_THAT_SIGNED_NXAPI_SERVER_CERT'

url='https://' + mgmtip + '/ins'
myheaders={'content-type':'application/json-rpc'}
payload=[
  {
    "jsonrpc": "2.0",
    "method": "cli",
    "params": {
      "cmd": "show clock",
      "version": 1
    },
    "id": 1
  }
]
response = requests.post(url,data=json.dumps(payload), headers=myheaders,auth=(switchuser,switchpassword),cert=(client_cert_file_path,client_key_file),verify=ca_cert).json()

必要に応じて、スクリプトを変更できます。

• クライアント証明書認証モードによっては、スイッチ パスワードをヌル値に設定することで（switchpassword= ）、スイッチ パスワードを省略できます。

  • optional および strict モードの場合、switchpassword= は空白のままにできます。この場合、NX-API はユーザー名とクライアント証明書のみに基づいてクライアントを認証します。

  • two-step モードの場合、パスワードが必要なため、switchpassword= の値を指定する必要があります。

• POST コマンドで verify=False を設定することで、NX-API サーバの証明書が有効であることの確認をバイパスできます。

次に、NX-API クライアント認証用の正しく構造化された cURL 証明書要求の例を示します。

/usr/bin/curl --user admin: --tlsv1.2 --cacert ./ca.pem --cert ./user.crt:pass123! --key ./user.key -v -X POST -H "Accept: application/json" -H "Content-type: application/json" --data '{"ins_api":{"version": "1.0", "type": "cli_show", "chunk": "0", "sid": "1", "input": "show clock","output_format": "json"}}' https://<device-management-ip>:443/ins

構文要素

次の表は、この要求で使用されるパラメータを示しています。