[ISE/事例紹介]：ISE のサーバー証明書更新不可

[xiaoshya]

• 事象
• 対策
• 備考

 

事象

以下のドキュメントを参考に、ISEのサーバー証明書の更新を行います。
証明書のインストールにて、ISE コンソールで、[Administration] > [System] > [Certificates] > [Certificate Signing Requests] より、発行された証明書をBind すると、下記のエラーメッセージが出力されます。

<参照したマニュアル>
ISEでの証明書更新の設定
https://www.cisco.com/c/ja_jp/support/docs/security/identity-services-engine/217191-configuration-guide-to-certificate-renew.html

<エラーメッセージ>
There is one or more trusted certificate(s) with the same subject name and issuer but having a different serial number .Binding was aborted.
For successful binding, you need to remove the other certificate(s) first.

 

対策

以下の手順で、既存の証明書を削除してから、新証明書のbind を実施します。

Step1. System Certificatesの「Generate Self Signed Certificate」で、CN=FQDNの一時的な証明書を作成する
Step2. System Certificatesで、削除対象の既存の証明書の役割(used by)を上記Step1で作成した一時的な証明書に移行する
Step3. System Certificates とTrusted Certificatesで、削除対象の証明書を削除する
Step4. 新証明書のCA証明書をTrusted Certificatesにインポートする
Step5. 新証明書をbindする
Step6. 上記Step2での証明書役割を新証明書に移行する
Step7. 作成された一時的な証明書を削除する

 

備考

対象の証明書が「it is used by Admin」で、上記内容の実施の際にISEのサービスが再起動するため、メンテナンス時間帯の実施をご検討ください。

-------抜粋------
Changing the certificate of the admin role certificate on a primary PAN node restarts services on all other nodes. The system restarts one node at a time, after the primary PAN restart has complete.
-----------------

Cisco Identity Services Engine Administrator Guide, Release 3.0
https://www.cisco.com/c/en/us/td/docs/security/ise/3-0/admin_guide/b_ISE_admin_3_0/b_ISE_admin_30_basic_setup.html#concept_8B6D9760C14344EC972B2DD81876328B