APIC-EM 1.3. - Geração do certificado - Supressão através do API - Cisco
APIC-EM 1.3. - Geração do certificado - Supressão através do API
ID do documento:210837
Como você conhecerá o que é o estado atual do dispositivo?
Como você assegura se APIC-EM igualmente tem o mesmo certificado ou se APIC-EM compreendeu o mesmo certificado ou não?
Como suprimir do certificado do dispositivo?
Como aplicar o certificado de APIC - EM?
Às vezes APIC-EM tem o certificado mas o dispositivo não faz. Como pode você o resolver?
Este documento descreve como usar o controlador da infraestrutura da política do aplicativo Cisco (APIC) - a mobilidade de extensão (EM) API para criar - suprima do certificado. Com IWAN, é todo configurado automaticamente. Contudo, IWAN neste momento não tem nenhum fluxo para recuperar automaticamente o dispositivo do certificado expirado.
A boa pare é que há algum flui meio na automatização em termos de RestAPI. Mas, essa automatização é pelo dispositivo e precisa alguma informação no dispositivo. O fluxo de RestAPI que é fora do fluxo de IWAN, usa algum mecanismo para automatizar o certificado para o dispositivo.
Topologia usual do cliente.
SPOKE --- HUB ----- [Controller] APIC_EM
Estas são as três situações:
O certificado é expirado.
O certificado não está renovando.
O certificado está de forma alguma disponível.
Execute o CERT sh do pki do grito de Switch# do comando.
Se você vê, há dois Certificados e aqui você precisa de verificar ponto confiável associado.
A data final realizar-se-á geralmente de um ano e deve ser maior do que a data de início.
Se é sdn-rede-infra-Iwan então significa de APIC-EM que você tem o ID assim como o certificado de CA registrados.
a. Mostre a versão do dispositivo e recolha o número de série:
Com a ajuda deste número de série você pode executar a pergunta APIC-EM para encontrar que APIC-EM pensa sobre este dispositivo.
b. Navegue à documentação API.
c. Clique sobre o corretor do Public Key Infrastructure (PKI).
d. Clique sobre o primeiro API que nos ajudará a conhecer o estado do lado API.
Clique sobre o GET.
Em uma caixa de seleção, clique sobre o número de série recolhido das saídas de versão da mostra do dispositivo.
Clique sobre a tentativa ele para fora!.
Compare o valor de saída com a saída sh CERT do pki do crp do dispositivo.
Acontece às vezes isso no dispositivo, o certificado está lá e no APIC-EM não está lá. Qual é porque, quando você executa GET API você recebe um Mensagem de Erro.
A solução é somente uma e aquela é suprimir do certificado do dispositivo:
a. Corrida da mostra de Switch# | Mim ponto confiável
Execute o comando Switch# nenhum name> cripto do <trustpoint do ponto confiável do pki.
Este comando suprime de todo o certificado no dispositivo associado com o ponto confiável selecionado.
Verifique novamente se o certificado é suprimido.
Use o comando: CERT sh do pki do grito de Switch#.
Não deve mostrar a ponto confiável do sdn qual foi suprimido.
b. Supressão da chave:
Execute o comando no dispositivo: Mypubkey sh todo da chave do grito de Switch#.
Aqui você verá que o nome chave começa com sdn-rede-infra.
Comando suprimir da chave:
2. Assegure-se de que a relação APIC-EM que é conectada ao dispositivo deva ser processo de ping.
Pôde acontecer que APIC-EM tem duas relações fora de qual é público e o outro é privado. Nesse caso, assegure-se de que a relação APIC-EM que comunica ao sibilo do dispositivo.
Sob APIC-EM, quando a documentação API são clicados e o corretor PKI selecionado, esta opção está disponível.
POST/trust-point
Isto criará o certificado dentro de APIC - EM.
Então você necessidade tem a informação no dispositivo e clica sobre a tentativa ele para fora.
"platformId":"ASR1001",
"serialNumber":"SSI161908CX",
"trustProfileName":"sdn-network-infra-iwan",
"entityType":"router",
"entityName":"HUB2"
A informação destacada é ESTÁTICA e o resto de todo é dinâmico.
O nome de entidade é hostname do dispositivo.
Número de série que você obteve da versão da mostra do dispositivo.
Tipo de entidade que você pode mudar baseado no tipo de dispositivo.
Este imformation é precisado de dizer APIC-EM para configurar o dispositivo. Aqui APIC-EM compreende o número de série.
Saída da tentativa ele para fora!:
Esta saída significa que o arquivo está criado internamente por APIC-EM e está agora pronto para distribuir no dispositivo.
A próxima etapa é introduzir este dispositivo no pacote. Para empurrar, você precisa de obter o ponto ID da confiança. Isto pode ser feito através do ATENDIMENTO GET API.
GET/trust-point/serial-number/{número de série} - Pergunta
Dar-lhe-á esta saída. Significa que o APIC-EM tem o certificado com o este a empurrar no dispositivo.
Empurre o certificado para o dispositivo.
O trustPointId POST/trust-point/{trustPointId} //precisa de ser copiado da pergunta do número de série GET
{"resposta": {"platformId": "ASR1001", "número de série": "SSI161908CX", "trustProfileName": "sdn-rede-infra-Iwan", "entityName": "HUB2", "entityType": "roteador", "certificateAuthorityId": "f0bd5040-3f04-4e44-94d8-de97b8829e8d", "attributeInfo": {}, "identificação": "c4c7d612-9752-4be5-88e5-e2b6f137ea13"}, "versão": "1.0"}