Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Aruba/HPE ClearPass

Kopiera länk till sidan “Aruba/HPE ClearPass”

← Alla integrationer

Identitet och fjärråtkomst · Webbserver

Förnyar HTTPS- och RADIUS/EAP-certifikat på valda ClearPass-noder och roller. Andra tjänster bevaras.

Appliancen kör paketet och ansluter till Aruba/HPE ClearPass genom ClearPass Policy Manager REST API över HTTPS på port 443. Ingen agent installeras på Aruba/HPE ClearPass.

Så går det till

  1. Appliancen ansluter till Aruba/HPE ClearPass genom ClearPass Policy Manager REST API på port 443.
  2. Discovery jämför fingeravtrycket från tjänsten med certifikatet i den valda nodens roll. HTTPS(RSA) och HTTPS(ECC) undersöks var för sig. En entydig träff och en backup med den matchande privata nyckeln krävs före en ändring. Om det misslyckas: Är noden eller rollen inte entydig ändras inget. Resultatet anger vilka uppgifter som saknas, utan nycklar, lösenord eller konfigurationsutdrag.
  3. Paketet importerar certifikat, nyckel och intermediates som krypterad PKCS#12 till valda roller. ClearPass hämtar filen från en tillfällig adress som bara klustrets noder har åtkomst till. Andra certifikatroller bevaras.
  4. Kontrollen läser rollen igen och hämtar certifikatet som tjänsten visar. HTTPS använder TLS med SNI och kontroll av vald RSA- eller EC-roll. RADIUS använder ett autentiserat EAP-TLS-, TTLS- eller PEAP-utbyte med korrelerade svar och verifierar EAP-serverns TLS-identitet; den slutför inte klientinloggningen. Om det misslyckas: Fel vid import eller kontroll utlöser automatisk rollback av berörda roller i omvänd ordning. En senare administratörsändring bevaras; resultatet anger om en roll inte kunde återställas.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till ClearPass Policy Manager REST API, port 443. Ingen agent installeras.
Tjänstens portar
443, 1812
Ni behöver
OAuth client ID och secret med åtkomst till kluster-, certifikat- och extension-inventering samt import för valda roller. Ange direkta nodadresser och tjänstenamn. Vid första övertagandet anges en krypterad PKCS#12-backup med det nuvarande certifikatet och dess privata nyckel; efterföljande förnyelser använder paketets skyddade backup på appliancen. RADIUS kräver dessutom en tillåten RADIUS-klient, shared secret och de routinguppgifter er EAP-policy använder.
Plattform
ClearPass Policy Manager med REST API för servercertifikat per nod och roll. API-format finns dokumenterade för 6.11 och 6.14.1; discovery väljer efter de funktioner systemet erbjuder.
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
aruba-clearpass-api
Observera
  • aruba-clearpass-api 1.0.0 är en signeringskandidat. Installation kräver det signerade paketet och en signerad deploy-agent-lista som innehåller versionen. Signering och publicering hanteras separat.
  • TLS kontrollerar CA och servernamn eller ett uttryckligt SHA-256-fingeravtryck för hela certifikatet. OAuth-uppgifter och privata nycklar hamnar inte i URL, kommandorad eller delbara resultat. Appliancen måste nå varje vald nod direkt, och noderna måste kunna hämta den krypterade importfilen.
  • Certificate Enrollment Manager (CEM) kan förnya en roll i hela klustret. När valda mål täcker hela den berörda CEM-instansen tar paketet över via dess expiry-only-inställning och läser om instansen. Delvis täckning utan en stödd avgränsning ändras inte. CEM tas aldrig bort, och andra instanser och tjänster bevaras. Rollback återställer berörda förnyelseinställningar och instansens driftläge, medan senare administratörsändringar bevaras.
  • RADIUS service-certifikat-overrides bevaras. Delar ett override fingeravtryck med standardrollen behöver bindningen klarläggas före ändring. Ett HTTPS- eller RadSec-certifikat visar inte vilket certifikat EAP använder. Server_name följer ert portalnamn eller klienternas EAP-tillitspolicy och använder nodadressen som standard.
  • Rollback använder sparade skyddade backups eller den angivna backupen från första övertagandet. Om bara förnyelseinställningar återställs behövs varken certifikatbackup eller filserver. Gamla krypterade filer bevaras under aktivering och återställning; den tillfälliga filservern stängs därefter. Ett förlorat importsvar klarläggs genom ny läsning och observation utan att importen upprepas.
  • Paketet sparar ursprungliga backups och senare hanterade certifikat som krypterad PKCS#12 i en privat mapp på appliancen. CERTOPS_BACKUP_DIR kan välja en annan mapp än ~/.sslbrain/aruba-clearpass-backups. Bevara mappen i appliance-backup; den innehåller skyddade inloggningsuppgifter och måste vara privat. Valda certifikatpins förs vidare vid verifierade förnyelser inom ursprunglig anslutning och valda mål. RADIUS-prober kan synas som ofullständiga sessioner i Access Tracker.

Krav på certifikatet

ClearPass har separata HTTPS(RSA)- och HTTPS(ECC)-roller samt ett RADIUS/EAP-servercertifikat per nod. Agentens nyckelval är RSA 2048, 3072 eller 4096 bitar och ECDSA P-256 eller P-384. API:ets CSR-meny omfattar även EC 521 bitar; 4096 och 521 är de största dokumenterade CSR-valen, inte dokumenterade maximistorlekar för externt importerade nycklar. ClearPass 6.11:s utvärderade TLS-konfiguration beskriver RSA 2048/3072/4096 och EC P-256/P-384. De offentliga importkällorna anger ingen generell minimi- eller maximistorlek för varje roll.

Common Name (CN) krävs när en CSR skapas i ClearPass. Källorna fastställer inte om CN krävs vid import av ett externt utfärdat servercertifikat. Kompatibilitet med CN-lösa ACME-profiler som tlsserver och minimal är därför inte dokumenterad. Använd SAN-namn som passar gästportalens värdnamn och klienternas validering av EAP-servern.

Använd ett servercertifikat för serverautentisering (serverAuth EKU). De kontrollerade importkällorna anger inget obligatoriskt clientAuth EKU eller keyEncipherment KU för HTTPS- eller RADIUS/EAP-servercertifikatet. CEM-guidens clientAuth-krav gäller certifikatet som autentiserar EST-klienten mot utfärdaren och ska inte överföras till servercertifikatet. EAP-klienternas egna krav gäller också; avsaknaden av ett publicerat importkrav är ingen garanti för alla klienter eller minimal-profiler.

Aruba avråder från wildcard i CN och EV-certifikat för RADIUS/EAP eftersom vissa klienter inte kan autentisera med dem. Det är en rekommendation, inte ett dokumenterat importförbud. CEM kan skapa DNS- och IP-SAN; de kontrollerade källorna anger inget maximalt antal SAN eller någon generell regel för IP-SAN vid extern import. HTTPS-namn och EAP-servernamn ska passa den valda tjänsten och klienternas konfiguration.

Importdialogen i ClearPass 6.12 accepterar ett certifikat med sparad nyckel, en PKCS#12-fil (.pfx/.p12) eller separata certifikat- och nyckelfiler. P7b Base64-kedjor stöds inte för HTTPS eller RADIUS/EAP. Roll-API:et i de kontrollerade 6.11- och 6.14.1-definitionerna hämtar certifikat eller PKCS#12 från en URL; nya externa nycklar levereras i PKCS#12 med lösenord. Dialogen anger inga PEM/DER-gränser och JKS-import är inte dokumenterad.

De kontrollerade källorna publicerar ingen versionsindelad importregel för PFX-kryptering med AES jämfört med 3DES/RC2. Ett legacy-exempel dokumenterar inte ett förbud mot AES. API:et skickar PFX-lösenordet i begärans body. 6.12-guiden anger klusterlösenordet vid PKCS#12-import i ett kluster; källorna fastställer inte att ett godtyckligt lösenord fungerar på alla klusterversioner. Staging-URL:en får inte innehålla inloggning, token eller lösenord.

Leverera servercertifikatet med matchande privat nyckel och nödvändiga intermediärer. Importkällorna anger ingen bestämd kedjeordning eller obligatorisk inkludering av roten. Agentens paketering kan använda servercertifikatet först och sedan intermediärer mot utfärdaren; det är inget dokumenterat ClearPass-krav. En servercertifikatexport i PKCS#12 innehåller certifikatet, intermediärer och den privata nyckeln. API:ets certifikatavläsning innehåller ingen dokumenterad privat nyckel för rollback.

Roll-API:et väljer destination via nod-UUID och rollnamn. De kontrollerade källorna anger inga krav på PFX-friendly name eller alias, varken tecken eller maximal längd. Ett JKS-alias ska inte läggas till som ett ClearPass-krav.

Använd ett certifikat som är giltigt vid installationen. De kontrollerade källorna anger ingen ClearPass-gräns för minsta eller längsta giltighetstid vid extern import. Offentliga CA:ers regler och klienternas validering gäller separat och ska inte beskrivas som en importgräns i ClearPass.

Kom igång