Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
Auf dieser Seite
 

Zertifikatsregistrierung

Eine Zertifizierungsstelle (Certificate Authority, CA) stellt digitale Zertifikate aus, mit deren Hilfe durch Zertifikatsvalidierung eine sichere Verbindung zwischen zwei Endpunkten hergestellt werden kann. In den folgenden Themen wird beschrieben, wie Zertifizierungsstellenzertifikate online oder lokal mithilfe von SCEP (Simple Certificate Enrollment Protocol) konfiguriert werden:

Online-Registrierung digitaler Zertifikate: Konfigurationsübersicht

Sie können entweder CMPv2 (Certificate Management Protocol Version 2) oder SCEP (Simple Certificate Enrollment Protocol) verwenden, um digitale Zertifikate zu registrieren. So registrieren Sie ein Zertifikat online:

  1. Generieren Sie ein Schlüsselpaar auf dem Gerät. Weitere Informationen finden Sie unter Selbstsignierte digitale Zertifikate.

  2. Erstellen Sie ein Zertifizierungsstellenprofil oder Profile, die spezifische Informationen für eine Zertifizierungsstelle enthalten. Siehe Beispiel: Konfigurieren eines Zertifizierungsstellenprofils.

  3. Registrieren Sie nur für SCEP das CA-Zertifikat. Weitere Informationen finden Sie unter Online-Registrierung eines CA-Zertifikats mithilfe von SCEP.Online-Registrierung eines CA-Zertifikats mit SCEP

  4. Registrieren Sie das lokale Zertifikat von der Zertifizierungsstelle, deren Zertifizierungsstellenzertifikat Sie zuvor geladen haben. Siehe Beispiel: Online-Registrierung eines lokalen Zertifikats mithilfe von SCEP.

  5. Konfigurieren Sie die automatische Wiederregistrierung. Siehe Beispiel: Verwenden von SCEP zum automatischen Erneuern eines lokalen Zertifikats.

Grundlegendes zur Onlineregistrierung von Zertifizierungsstellenzertifikaten

Mit dem Simple Certificate Enrollment Protocol (SCEP) können Sie Ihr Gerät von Juniper Networks so konfigurieren, dass es online ein Zertifikat einer Zertifizierungsstelle (CA) erhält und die Online-Registrierung für die angegebene Zertifikats-ID startet. Der öffentliche Schlüssel der Zertifizierungsstelle überprüft Zertifikate von Remote-Peers.

Grundlegendes zu lokalen Zertifikatsanforderungen

Wenn Sie eine lokale Zertifikatanforderung erstellen, generiert das Gerät ein nend-Entitätszertifikat im PKCS #10-Format aus einem Schlüsselpaar, das Sie zuvor mit derselben Zertifikats-IDgeneriert haben.

Ein Antragstellername wird der lokalen Zertifikatanforderung in Form eines allgemeinen Namens (CN), einer Organisationseinheit (OU), einer Organisation (O), eines Ortes (L), eines Bundeslandes (ST), eines Landes (C) und einer Domänenkomponente (DC) zugeordnet. Darüber hinaus wird ein alternativer Antragstellername in der folgenden Form zugeordnet:

  • IP-Adresse

  • E-Mail-Adresse

  • Vollqualifizierter Domänenname (FQDN)

    Geben Sie den Antragstellernamen im Format des definierten Namens in Anführungszeichen an, einschließlich der Domänenkomponente (DC), des allgemeinen Namens (CN), der Seriennummer (SN), des Namens der Organisationseinheit (OU), des Organisationsnamens (O), des Ortes (L), des Bundeslandes (ST) und des Landes (C).

    Einige Zertifizierungsstellen unterstützen keine E-Mail-Adresse als Domänennamen in einem Zertifikat. Wenn Sie in der lokalen Zertifikatanforderung keine E-Mail-Adresse angeben, können Sie bei der Konfiguration des Geräts als dynamischer Peer keine E-Mail-Adresse als lokale IKE-ID verwenden. Stattdessen können Sie einen vollqualifizierten Domänennamen verwenden (sofern dieser im lokalen Zertifikat enthalten ist), oder Sie können das Feld für die lokale ID leer lassen. Wenn Sie keine lokale ID für einen dynamischen Peer angeben, geben Sie die des Peers auf dem Gerät am anderen Ende des IPsec-Tunnels in das Feld Peer-ID ein.hostname.domain-name

Online-Registrierung eines CA-Zertifikats mit SCEP

Bevor Sie beginnen:

  1. Generieren Sie ein öffentliches und privates Schlüsselpaar. Weitere Informationen finden Sie unter Selbstsignierte digitale Zertifikate.

  2. Erstellen Sie ein CA-Profil. Siehe Beispiel: Konfigurieren eines Zertifizierungsstellenprofils.

So registrieren Sie ein CA-Zertifikat online:

  1. Rufen Sie das CA-Zertifikat online mit SCEP ab. (Die Attribute, die erforderlich sind, um den CA-Server zu erreichen, werden aus dem definierten CA-Profil abgerufen.)

    Der Befehl wird synchron verarbeitet, um den Fingerabdruck des empfangenen CA-Zertifikats bereitzustellen.

  2. Vergewissern Sie sich, dass das richtige Zertifikat geladen ist. Das CA-Zertifikat wird nur geladen, wenn Sie an der CLI-Eingabeaufforderung etwas eingeben .yes

    Weitere Informationen zum Zertifikat, z. B. die Bitlänge des Schlüsselpaars, finden Sie mit dem Befehl .show security pki ca-certificate

Beispiel: Online-Registrierung eines lokalen Zertifikats mit SCEP

In diesem Beispiel wird gezeigt, wie Sie ein lokales Zertifikat online mit dem Simple Certificate Enrollment Protocol (SCEP) registrieren.

Anforderungen

Bevor Sie beginnen:

Überblick

In diesem Beispiel konfigurieren Sie Ihr Gerät von Juniper Networks so, dass es online ein lokales Zertifikat erhält, und starten die Online-Registrierung für die angegebene Zertifikats-ID mit SCEP. Den URL-Pfad zum CA-Server geben Sie im CA-Profilnamen an.ca-profile-ipsec

Mit dem Befehl starten Sie die Online-Registrierung für die angegebene Zertifikats-ID.request security pki local-certificate enroll scep (Ab Junos OS Version 15.1X49-D40 und Junos OS Version 17.3R1 wird das Schlüsselwort unterstützt und ist erforderlich.) Sie müssen den Namen des Zertifizierungsstellenprofils (z. B. ), die Zertifikat-ID, die einem zuvor generierten Schlüsselpaar entspricht (z. B . ), und die folgenden Informationen angeben:scepca-profile-ipsecqqq

  • Das vom Administrator der Zertifizierungsstelle bereitgestellte Abfragekennwort für die Zertifikatregistrierung und erneute Registrierung.

  • Mindestens einer der folgenden Werte:

    • Der Domänenname zur Identifizierung des Zertifikatbesitzers in IKE-Aushandlungen, z. B. .qqq.example.net

    • Die Identität des Zertifikatbesitzers für die IKE-Aushandlung mit der E-Mail-Anweisung, z. B . . .qqq@example.net

    • Die IP-Adresse, wenn das Gerät für eine statische IP-Adresse konfiguriert ist, z. B. .10.10.10.10

Geben Sie den Antragstellernamen im Format des definierten Namens in Anführungszeichen an, einschließlich der Domänenkomponente (DC), des allgemeinen Namens (CN), der Seriennummer (SN), des Namens der Organisationseinheit (OU), des Organisationsnamens (O), des Ortes (L), des Bundeslandes (ST) und des Landes (C).

Sobald das Gerätezertifikat abgerufen wurde und die Onlineregistrierung für die Zertifikat-ID beginnt. Der Befehl wird asynchron verarbeitet.

Konfiguration

Verfahren

Schritt-für-Schritt-Anleitung

So registrieren Sie ein lokales Zertifikat online:

  1. Geben Sie das CA-Profil an.

  2. Wenn Sie mit der Konfiguration des Geräts fertig sind, bestätigen Sie die Konfiguration.

  3. Starten Sie den Registrierungsvorgang, indem Sie den Befehl operational mode ausführen.

    Wenn Sie SN im Betrefffeld ohne Seriennummer definieren, wird die Seriennummer direkt vom Gerät gelesen und dem Certificate Signing Request (CSR) hinzugefügt.

Ab Junos OS Version 19.4R2 wird eine Warnmeldung angezeigt, wenn Sie versuchen, ein lokales Zertifikat mit einem ECDSA-Schlüssel (Elliptic Curve Digital Signature Algorithm) bei SCEP (Simple Certificate Enrollment Protocol) zu registrieren, da der ECDSA-Schlüssel von SCEP nicht unterstützt wird.ECDSA Keypair not supported with SCEP for cert_id <certificate id>

Überprüfung

Um zu überprüfen, ob die Konfiguration ordnungsgemäß funktioniert, geben Sie den Befehl ein.show security pki

Beispiel: Verwenden von SCEP zum automatischen Erneuern eines lokalen Zertifikats

Sie können entweder CMPv2 (Certificate Management Protocol Version 2) oder SCEP (Simple Certificate Enrollment Protocol) verwenden, um digitale Zertifikate zu registrieren. In diesem Beispiel wird gezeigt, wie die lokalen Zertifikate mithilfe von SCEP automatisch erneuert werden.

Anforderungen

Bevor Sie beginnen:

Überblick

Sie können das Gerät so aktivieren, dass Zertifikate, die durch die Onlineregistrierung erworben oder manuell geladen wurden, automatisch erneuert werden. Durch die automatische Zertifikaterneuerung müssen Sie nicht daran denken, Zertifikate auf dem Gerät zu erneuern, bevor sie ablaufen, und trägt dazu bei, dass gültige Zertifikate jederzeit erhalten bleiben.

Die automatische Zertifikatserneuerung ist standardmäßig deaktiviert. Sie können die automatische Zertifikaterneuerung aktivieren und das Gerät so konfigurieren, dass es automatisch eine Anforderung zur erneuten Registrierung eines Zertifikats sendet, bevor es abläuft. Sie können angeben, wann die Anforderung zur erneuten Registrierung des Zertifikats gesendet werden soll. Der Auslöser für die erneute Registrierung ist der Prozentsatz der Gültigkeitsdauer des Zertifikats, der bis zum Ablauf verbleibt. Wenn die Verlängerungsanforderung beispielsweise gesendet werden soll, wenn die verbleibende Lebensdauer des Zertifikats 10 Prozent beträgt, konfigurieren Sie 10 für den Trigger für die erneute Registrierung.

Damit diese Funktion funktioniert, muss das Gerät in der Lage sein, den CA-Server zu erreichen, und das Zertifikat muss während des Verlängerungsvorgangs auf dem Gerät vorhanden sein. Darüber hinaus müssen Sie sicherstellen, dass die Zertifizierungsstelle, die das Zertifikat ausstellt, denselben DN zurückgeben kann. Die Zertifizierungsstelle darf den Antragstellernamen oder die alternative Antragstellernamenerweiterung im neuen Zertifikat nicht ändern.

Sie können die automatische Erneuerung von SCEP-Zertifikaten entweder für alle SCEP-Zertifikate oder pro Zertifikat aktivieren und deaktivieren. Sie verwenden den Befehl, um die erneute Registrierung von Zertifikaten zu aktivieren und zu konfigurieren.set security pki auto-re-enrollment scep In diesem Beispiel geben Sie die Zertifikat-ID des Zertifizierungsstellenzertifikats als an und legen den Namen des Zertifizierungsstellenprofils, der dem Zertifikat zugeordnet ist, auf fest .ca-ipsecca-profile-ipsec Sie legen das Abfragekennwort für das Zertifizierungsstellenzertifikat auf das vom Administrator der Zertifizierungsstelle bereitgestellte Abfragekennwort fest. Dieses Kennwort muss mit dem Kennwort identisch sein, das zuvor für die Zertifizierungsstelle konfiguriert wurde. Außerdem legen Sie den Prozentsatz für den Auslöser für die erneute Registrierung auf fest .10 Bei der automatischen Neuregistrierung verwendet das Gerät von Juniper Networks standardmäßig das vorhandene Schlüsselpaar. Eine bewährte Sicherheitspraxis besteht darin, ein neues Schlüsselpaar für die erneute Registrierung neu zu generieren. Um ein neues Schlüsselpaar zu generieren, verwenden Sie den Befehl.re-generate-keypair

Konfiguration

Verfahren

Schritt-für-Schritt-Anleitung

So aktivieren und konfigurieren Sie die erneute Registrierung lokaler Zertifikate:

  1. So aktivieren und konfigurieren Sie die erneute Registrierung von Zertifikaten.

    Ab Junos OS Version 15.1X49-D40 und Junos OS Version 17.3R1 wird das Schlüsselwort unterstützt und ist erforderlich.scep

  2. Wenn Sie mit der Konfiguration des Geräts fertig sind, bestätigen Sie die Konfiguration.

Überprüfung

Um zu überprüfen, ob die Konfiguration ordnungsgemäß funktioniert, geben Sie den Befehl Betriebsmodus ein.show security pki local-certificate detail

Grundlegendes zur Registrierung von CMPv2- und SCEP-Zertifikaten

Abhängig von Ihrer Bereitstellungsumgebung können Sie entweder CMPv2 (Certificate Management Protocol Version 2) oder SCEP (Simple Certificate Enrollment Protocol) für die Online-Zertifikatregistrierung verwenden. In diesem Thema werden einige der grundlegenden Unterschiede zwischen den beiden Protokollen beschrieben.

Tabelle 1 beschreibt die Unterschiede zwischen den Protokollen CMPv2- und SCEP-Zertifikatregistrierung.

Tabelle 1: Vergleich der Registrierung von CMPv2- und SCEP-Zertifikaten

Attribut

CMPv2

SCEP

Unterstützte Zertifikatstypen:

DSA, ECDSA und RSA

Nur RSA

Unterstützte Standards

RFCs 4210 und 4211

Entwurf der Internet Engineering Task Force

Anforderungen und Antworten für die Zertifikatregistrierung und -wiederregistrierung unterscheiden sich zwischen CMPv2 und SCEP. Bei CMPv2 gibt es keinen separaten Befehl zum Registrieren von CA-Zertifikaten. Mit SCEP registrieren Sie CA-Zertifikate mit dem Befehl und geben das CA-Profil an.request security pki ca-certificate enroll Ein CA-Profil muss entweder mit CMPv2 oder SCEP konfiguriert werden.

Grundlegendes zur Zertifikatregistrierung mit CMPv2

Der Befehl verwendet CMPv2, um ein lokales digitales Zertifikat online zu registrieren.request security pki local-certificate enroll cmpv2 Mit diesem Befehl werden sowohl Endentitäts- als auch CA-Zertifikate basierend auf der CA-Serverkonfiguration geladen. Das Zertifizierungsstellenprofil muss vor der Registrierung des Zertifizierungsstellenzertifikats erstellt werden, da die Registrierungs-URL aus dem Zertifizierungsstellenprofil extrahiert wird.

In diesem Thema wird die Zertifikatregistrierung beim CMPv2-Protokoll beschrieben.

Meldungen zur Zertifikatregistrierung und -erneuten Registrierung

Das CMPv2-Protokoll umfasst hauptsächlich Vorgänge zur Zertifikatregistrierung und erneuten Registrierung. Der Zertifikatregistrierungsprozess umfasst Initialisierungsanforderungs- und Initialisierungsantwortnachrichten, während die erneute Zertifikatregistrierung Schlüsselaktualisierungsanforderungs- und Schlüsselaktualisierungsantwortnachrichten umfasst.

Der CMPv2-Server antwortet mit Initialization Response (IP). Die Antwort enthält ein Endentitätszertifikat sowie optionale CA-Zertifikate. Die Nachrichtenintegrität und Authentizität der Initialisierungsantwort kann mit Hilfe von Shared-Secret-Informationen gemäß RFC 4210 überprüft werden. Die Initialisierungsantwort kann auch mithilfe des öffentlichen Schlüssels der Aussteller-Zertifizierungsstelle überprüft werden. Bevor Sie ein Endentitätszertifikat erneut registrieren, muss ein gültiges CA-Zertifikat auf dem Gerät registriert sein.

Die Initialisierungsantwort oder Schlüsselaktualisierungsantwort kann ein Zertifikat der Ausstellerzertifizierungsstelle oder eine Kette von Zertifizierungsstellenzertifikaten enthalten. Die in den Antworten empfangenen CA-Zertifikate werden als vertrauenswürdige CA-Zertifikate behandelt und auf dem empfangenden Gerät gespeichert, sofern sie nicht bereits im Speicher der vertrauenswürdigen CA vorhanden sind. Diese CA-Zertifikate werden später für die Überprüfung von Endentitätszertifikaten verwendet.

Die erneute Registrierung von CA-Zertifikaten wird nicht unterstützt. Wenn ein Zertifizierungsstellenzertifikat abläuft, müssen Sie die Registrierung des aktuellen Zertifizierungsstellenzertifikats aufheben und erneut registrieren.

Endentitätszertifikat mit Zertifikat der Ausstellerzertifizierungsstelle

In einem einfachen Szenario kann die Initialisierungsantwortnachricht nur ein Endentitätszertifikat enthalten, in diesem Fall werden die CA-Informationen separat bereitgestellt. Das Zertifikat wird im Zertifikatspeicher der Endentität gespeichert.

Die Nachricht "Initialisierungsantwort" kann sowohl ein Endentitätszertifikat als auch ein selbstsigniertes Zertifikat der Ausstellerzertifizierungsstelle enthalten. Das Endentitätszertifikat wird zuerst im Zertifikatspeicher gespeichert, und dann wird das CA-Zertifikat überprüft. Wenn das Zertifizierungsstellenzertifikat gefunden wird und der Subject Distinguished Name (DN) des Zertifizierungsstellenzertifikats in der Initialisierungsantwortnachricht mit dem Aussteller-DN des Endentitätszertifikats übereinstimmt, wird das Zertifizierungsstellenzertifikat im Zertifikatspeicher der Zertifizierungsstelle für den CA-Profilnamen gespeichert, der im CMPv2-Zertifikatregistrierungsbefehl angegeben ist. Wenn das Zertifizierungsstellenzertifikat bereits im Zertifikatspeicher der Zertifizierungsstelle vorhanden ist, wird keine Aktion ausgeführt.

End-Entity-Zertifikat mit CA-Zertifikatskette

In vielen Bereitstellungen wird das Endentitätszertifikat von einer Zwischenzertifizierungsstelle in einer Zertifikatskette ausgestellt. In diesem Fall kann die Initialisierungsantwortnachricht das Endentitätszertifikat zusammen mit einer Liste der Zertifizierungsstellenzertifikate in der Kette enthalten. Die Zwischenzertifizierungsstellenzertifikate und die selbstsignierten Stammzertifizierungsstellenzertifikate sind alle erforderlich, um das Endentitätszertifikat zu überprüfen. Die Zertifizierungsstellenkette kann auch erforderlich sein, um Zertifikate zu validieren, die von Peergeräten mit ähnlichen Hierarchien empfangen wurden. Im folgenden Abschnitt wird beschrieben, wie Zertifikate in der Zertifizierungsstellenkette gespeichert werden.

In enthält die Nachricht "Initialisierungsantwort" das Endentitätszertifikat und drei CA-Zertifikate in einer Zertifikatskette.Abbildung 1

Abbildung 1: End-Entity-Zertifikat mit CA-ZertifikatsketteEnd-Entity-Zertifikat mit CA-Zertifikatskette

Das Endentitätszertifikat wird im Endentitätszertifikatspeicher gespeichert. Für jedes CA-Zertifikat ist ein CA-Profil erforderlich. Das Zertifizierungsstellenzertifikat mit dem Antragsteller DN Sub11-CA ist die erste Zertifizierungsstelle in der Kette und der Aussteller des Endentitätszertifikats. Sie wird in dem Zertifizierungsstellenprofil gespeichert, das mit dem Befehl CMPv2 certificate enrollment angegeben wird.

Jedes der verbleibenden Zertifizierungsstellenzertifikate in der Kette wird überprüft, ob es im Zertifizierungsstellenspeicher vorhanden ist. Wenn ein Zertifizierungsstellenzertifikat nicht im Zertifizierungsstellenspeicher vorhanden ist, wird es gespeichert und ein Zertifizierungsstellenprofil dafür erstellt. Der neue Name des Zertifizierungsstellenprofils wird mit den am wenigsten signifikanten 16 Ziffern der Seriennummer des Zertifizierungsstellenzertifikats erstellt. Wenn die Seriennummer länger als 16 Ziffern ist, werden die höchstwertigen Ziffern über 16 Ziffern abgeschnitten. Wenn die Seriennummer kürzer als 16 Ziffern ist, werden die verbleibenden höchstwertigen Ziffern mit s aufgefüllt.0 Wenn die Seriennummer z. B. 11111000100010001000 lautet, lautet der Name des CA-Profils .1000100010001000 Wenn die Seriennummer 10001000 lautet, lautet der Name des CA-Profils .0000000010001000

Es ist möglich, dass mehrere Zertifikatsseriennummern die gleichen 16 Ziffern mit der geringsten Wertigkeit haben können. In diesem Fall wird an den Profilnamen angehängt, um einen eindeutigen CA-Profilnamen zu erstellen. Zusätzliche CA-Profilnamen werden erstellt, indem die angehängte Nummer von bis zu erhöht wird.-00-01-99 Zertifizierungsstellenprofilnamen können z. B. , und .10001000100010001000100010001000-001000100010001000-01

Siehe auch

Beispiel: Manuelles Generieren einer CSR für das lokale Zertifikat und Senden an den CA-Server

In diesem Beispiel wird gezeigt, wie eine Zertifikatsignieranforderung manuell generiert wird.

Anforderungen

Generieren Sie einen öffentlichen und einen privaten Schlüssel. Weitere Informationen finden Sie unter Selbstsignierte digitale Zertifikate.

Überblick

In diesem Beispiel generieren Sie eine Zertifikatanforderung mit der Zertifikat-ID eines öffentlich-privaten Schlüsselpaars, das Sie zuvor generiert haben (ca-ipsec). Anschließend geben Sie den Domänennamen (example.net) und den zugehörigen allgemeinen Namen (abc) an. Die Zertifikatsanforderung wird im PEM-Format angezeigt.

Sie kopieren die generierte Zertifikatsanforderung und fügen sie in das entsprechende Feld auf der CA-Website ein, um ein lokales Zertifikat zu erhalten. (In der Dokumentation des CA-Servers erfahren Sie, wo die Zertifikatsanforderung eingefügt werden muss.) Wenn der PKCS #10-Inhalt angezeigt wird, werden auch der MD5-Hash und der SHA-1-Hash der PKCS #10-Datei angezeigt.

Konfiguration

Verfahren

Schritt-für-Schritt-Anleitung

So generieren Sie ein lokales Zertifikat manuell:

  • Geben Sie die Zertifikat-ID, den Domänennamen und den allgemeinen Namen an.

Überprüfung

Geben Sie den Befehl ein, um die Zertifikatsignieranforderung anzuzeigen.show security pki certificate-request detail

Beispiel: Manuelles Laden von CA- und lokalen Zertifikaten

In diesem Beispiel wird gezeigt, wie Zertifizierungsstellen und lokale Zertifikate manuell geladen werden.

Anforderungen

Bevor Sie beginnen:

Überblick

In diesem Beispiel laden Sie die Zertifikate local.cert und ca.cert herunter und speichern sie im Verzeichnis /var/tmp/ auf dem Gerät.

Nachdem Sie Zertifikate von einer Zertifizierungsstelle heruntergeladen haben, übertragen Sie sie auf das Gerät (z. B. per FTP) und laden sie dann.

Sie können die folgenden Zertifikatsdateien auf ein Gerät mit Junos OS laden:

  • Ein lokales oder Endentitätszertifikat (EE), das Ihr lokales Gerät identifiziert. Bei diesem Zertifikat handelt es sich um Ihren öffentlichen Schlüssel.

  • Ein Zertifikat der Zertifizierungsstelle, das den öffentlichen Schlüssel der Zertifizierungsstelle enthält.

  • Eine Zertifikatsperrliste, die alle von der Zertifizierungsstelle gesperrten Zertifikate auflistet.

    Sie können mehrere EE-Zertifikate auf das Gerät laden.

Konfiguration

Verfahren

Schritt-für-Schritt-Anleitung

So laden Sie die Zertifikatsdateien auf ein Gerät:

  1. Laden Sie das lokale Zertifikat.

  2. Laden Sie das CA-Zertifikat.

  3. Untersuchen Sie den Fingerabdruck des CA-Zertifikats. Wenn er für dieses CA-Zertifikat korrekt ist, wählen Sie Ja aus, um es zu akzeptieren.

Überprüfung

Um zu überprüfen, ob die Zertifikate ordnungsgemäß geladen sind, geben Sie die Befehle und im Betriebsmodus ein.show security pki local-certificateshow security pki ca-certificate

Siehe auch

Löschen von Zertifikaten (CLI-Verfahren)

Sie können ein lokales oder vertrauenswürdiges Zertifizierungsstellenzertifikat löschen, das automatisch oder manuell generiert wird.

Verwenden Sie den folgenden Befehl, um ein lokales Zertifikat zu löschen:

Geben Sie eine Zertifikat-ID an, um ein lokales Zertifikat mit einer bestimmten ID zu löschen, verwenden Sie diese zum Löschen aller lokalen Zertifikate oder geben Sie an , dass das automatisch generierte selbstsignierte Zertifikat gelöscht werden soll.allsystem-generated

Wenn Sie ein automatisch generiertes selbstsigniertes Zertifikat löschen, generiert das Gerät ein neues.

So löschen Sie ein CA-Zertifikat:

Geben Sie ein Zertifizierungsstellenprofil an, um ein bestimmtes Zertifizierungsstellenzertifikat zu löschen, oder verwenden Sie es , um alle im persistenten Speicher vorhandenen Zertifizierungsstellenzertifikate zu löschen.all

Sie werden um eine Bestätigung gebeten, bevor ein CA-Zertifikat gelöscht werden kann.

Tabellarischer Änderungsverlauf

Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Feature Explorer, um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.

Release
Beschreibung
19.4R2
Ab Junos OS Version 19.4R2 wird eine Warnmeldung angezeigt, wenn Sie versuchen, ein lokales Zertifikat mit einem ECDSA-Schlüssel (Elliptic Curve Digital Signature Algorithm) bei SCEP (Simple Certificate Enrollment Protocol) zu registrieren, da der ECDSA-Schlüssel von SCEP nicht unterstützt wird.ECDSA Keypair not supported with SCEP for cert_id <certificate id>
15.1X49-D40
Ab Junos OS Version 15.1X49-D40 und Junos OS Version 17.3R1 wird das Schlüsselwort unterstützt und ist erforderlich.scep
15.1X49-D40
Ab Junos OS Version 15.1X49-D40 und Junos OS Version 17.3R1 wird das Schlüsselwort unterstützt und ist erforderlich.scep