Users Guide

请求并安装主机证书
OS10 还支持交换机获取其自己的 X.509v3 主机证书。在此过程中，您将生成一个证书签名请求 (CSR) 和一个私钥。在本地将
私钥保存在安全的位置。将 CSR 文件复制到证书颁发机构。CA 通过对 CSR 中包含的交换机证书进行数字签名，为 OS10 交换
机生成主机证书。
然后，管理员将 CA 签名的主机证书复制到交换机上的主目录。由于在生成 CSR 时创建本地私钥，因此无需使用已上传的文件
安装私钥。
交换机向需要身份验证的客户端（如 Syslog 和通过 TLS 和 HTTPS 连接的 RADIUS 服务器）呈现自己的主机证书。证书使用
OS10 交换机的私钥进行了数字签名。OS10 支持多个主机证书，以便您可以将不同的证书与不同的应用程序配合使用。有关详
细信息，请参阅安全配置文件。
要从 CA 获取主机证书，请执行以下操作：
1. 创建私钥并生成交换机的证书签名请求。
2. 将 CSR 文件复制到 CA 服务器。
3. 将 CA 签名的证书复制到交换机上的主目录。安装信任的证书。
生成证书签名请求和私钥
● 在 EXEC 模式下创建私钥和 CSR。将 CSR 文件存储在主目录或 flash: 中，以便以后可将其复制到 CA 服务器。指定
keypath 以将 device.key 文件存储在安全的永久位置（如主目录），或使用 private 选项将密钥文件存储在不会对用
户显示的内部文件系统中的专用隐藏位置。
crypto cert generate request [cert-file cert-path key-file {private | keypath}]
[country 2-letter code] [state state] [locality city] [organization organization-name]
[orgunit unit-name] [cname common-name] [email email-address] [validity days]
[length length] [altname alt-name]
如果您输入 cert-file 选项，则必须输入所有必需的参数，如证书和私钥的存储位置、国家/地区代码、状态、地点和其
他值。
如果未指定 cert-file 选项，系统会提示您以交互方式填写证书的其他参数值；例如：
You are about to be asked to enter information that will be incorporated into your
certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank.
For some fields there will be a default value; if you enter '.', the field will be
left blank.
Country Name (2 letter code) [US]:
State or Province Name (full name) [Some-State]:California
Locality Name (eg, city) []:San Francisco
Organization Name (eg, company) []:Starfleet Command
Organizational Unit Name (eg, section) []:NCC-1701A
Common Name (eg, YOUR name) [hostname]:S4148-001
Email Address []:[e-mail]
交换机使用 SHA-256 作为摘要算法。公钥算法是具有 2048 位模数的 RSA。证书断言 keyEncipherment（第 2 位）和
keyAgreement（第 4 位）的 KeyUsage 位。keyCertSign 位（第 5 位）未设置。ExtendedKeyUsage 字段表示
serverAuth 和 clientAuth。
属性 CA:FALSE 在证书的“Extensions”部分中设置。证书不用于验证其他证书。
● 如有必要，请重新输入命令，为交换机上的不同应用程序生成多个证书密钥对。您可以在安全配置文件中配置证书密钥对。
如果您想要更改指定应用程序的证书密钥对而不中断其他关键服务，则必须使用不同的证书密钥对。例如，RADIUS over
TLS 可能使用与 SmartFabric 服务不同的证书密钥对。
注
:
如果使用 crypto fips enable 命令的系统处于 FIPS 模式，则将使用 FIPS 验证和法规合规性算法生成 CSR 和私钥。
您可以管理是否在 FIPS 模式下生成密钥。
将 CSR 复制到 CA 服务器
您可以使用 TFTP、FTP 或 SCP 将 CSR 从闪存复制到目标，如 USB 闪存盘。
OS10# copy home://DellHost.pem scp:///tftpuser@10.11.178.103:/tftpboot/certs/
DellHost.pem
password:
944
安全性