Déploiement du module de sécurité matérielle Microsoft Azure sur le pare-feu virtuel vSRX 3.0
Vue d’ensemble de l’intégration du module de sécurité matérielle Microsoft Azure Key Vault
Le module de sécurité matérielle (HSM) Key Vault de Microsoft Azure est un service cloud qui fonctionne comme un magasin de secrets sécurisé. Vous pouvez stocker en toute sécurité des clés, des mots de passe, des certificats et d’autres secrets. Ce service des fournisseurs de cloud nous aide à générer, stocker et gérer les clés cryptographiques en toute sécurité. Les applications de pare-feu virtuel vSRX utilisent ces clés cryptographiques pour protéger les données au repos, telles que les clés privées, les mots de passe et autres données sensibles. Azure Key Vault HSM peut également être utilisé comme solution de gestion des clés. Azure Key Vault facilite la création et le contrôle des clés de chiffrement utilisées pour chiffrer vos données. Lorsque vous fournissez le mot de passe de chiffrement principal, ce mot de passe est utilisé pour chiffrer les données sensibles et enregistrer les données chiffrées (AES256) sur le disque. Le mot de passe de chiffrement principal est également protégé à l’aide d’une paire de clés RSA générée et stockée dans HSM.
Le pare-feu virtuel vSRX (processus mgd) génère un hachage de configuration. Ce hachage (et d’autres données sensibles) est protégé à l’aide d’un mot de passe de chiffrement principal comme clé pour le chiffrement AES-GCM 256.
Le mot de passe principal est utilisé pour protéger des secrets tels que le mot de passe RADIUS, les clés IKE prépartagées et d’autres secrets partagés dans la configuration du processus de gestion (mgd) de Junos OS. Le mot de passe principal est protégé à l’aide du mot de passe de chiffrement principal. Le mot de passe principal lui-même n’est pas enregistré dans le cadre de la configuration. La qualité du mot de passe est évaluée pour sa force, et l’appareil donne un retour d’information si des mots de passe faibles sont utilisés.
Les données sensibles, telles que les PKI, les clés privées et la configuration, qui sont stockées en texte brut sur les instances du pare-feu virtuel vSRX 3.0, peuvent désormais être protégées à l’aide du service HSM.
Lorsque vous activez Microsoft Azure Key Vault HSM sur Pare-feu virtuel vSRX, Pare-feu virtuel vSRX crée une paire de clés RSA de taille 2048 et l’utilise pour chiffrer un fichier de clé privée PKI situé dans /var/db/certs/common/key-pairs, un hachage de configuration et un mot de passe maître, qui est enregistré dans : /config/unrd-master-password.txt.
Les paires de clés existantes avant l’activation de HSM ne seront pas chiffrées et seront supprimées.
En activant le HSM, la couche logicielle exploite le service HSM sous-jacent qui protège les informations sensibles telles que les clés privées, les mots de passe principaux du système, etc., en stockant les informations à l’aide d’un chiffrement AES 256 bits (au lieu d’être stockées au format texte clair). L’appareil génère également un nouveau hachage SHA256 de la configuration chaque fois que l’administrateur valide la configuration. Ce hachage est vérifié à chaque démarrage du système. Si la configuration a été altérée, la vérification échoue et l’appareil ne continue pas à démarrer. Les données chiffrées et le hachage de la configuration sont protégés par le module HSM à l’aide du mot de passe de chiffrement principal.
La validation du hachage est effectuée lors de toute opération de validation en effectuant une vérification de validation du fichier de configuration par rapport au hachage enregistré lors des commits précédents. Dans un système de cluster de châssis, le hachage est généré indépendamment sur le système de sauvegarde dans le cadre du processus de validation.
Le hachage n’est enregistré que pour la configuration actuelle et non pour les configurations de restauration. Le hachage n’est pas généré lors du redémarrage ou de l’arrêt de l’appareil.
Le pare-feu virtuel vSRX utilise HSM pour chiffrer les secrets suivants :
Hachage SHA256 de la configuration
Mot de passe principal de l’appareil
Toutes les paires de clés de l’appareil
Les clés créées par chaque instance de pare-feu virtuel vSRX 3.0 seront étiquetées et/ou nommées à l’aide de l’UUID de chaque machine virtuelle. Vous pouvez vous connecter au portail cloud, accéder aux clés et vérifier leurs propriétés ou les opérations demandées.
Configurer Microsoft Azure Key Vault HSM sur Pare-feu virtuel vSRX 3.0Configure Microsoft Azure Key Vault HSM on 3.0
Key Vault sur la pile Azure fournit un service HSM cloud pour toutes les applications Azure. Toutes les applications doivent être inscrites dans Azure Active Directory pour utiliser des services tels que Key Vault.
vSRX3.0 est intégré à Microsoft Azure Cloud HSM lorsqu’il est exécuté sur Azure. Vous pouvez vous connecter au portail cloud, accéder aux clés et vérifier leurs propriétés ou les opérations demandées.
Pour chaque fournisseur de cloud public, des étapes uniques doivent être suivies pour intégrer le pare-feu virtuel vSRX au HSM cloud. Cette section décrit les étapes nécessaires à l’intégration du pare-feu virtuel vSRX 3.0 avec Microsoft Azure Key Vault HSM.
Vous aurez besoin des éléments répertoriés suivants pour intégrer le pare-feu virtuel vSRX à Microsoft Azure Key Vault HSM :
Instance du pare-feu virtuel vSRX 3.0
Microsoft Azure Key Vault
Configurer l’authentification de coffre de clés pour le pare-feu virtuel vSRX
Configurations spécifiques à Microsoft Azure pour l’intégration de HSM
Microsoft Azure Key Vault est un service de gestion hébergé dans le cloud qui permet aux utilisateurs de chiffrer des clés et de petits secrets à l’aide de clés protégées par des modules de sécurité matériels (HSM).
Cette procédure décrit les étapes générales d’intégration de Microsoft Azure Key Vault HSM au pare-feu virtuel vSRX 3.0.
- Créer un coffre de clés. Dans le tableau de bord, sélectionnez + Créer une ressource, Sécurité + Identité, puis Key Vault comme illustré à la figure 1.
Figure 1 : Création d’un coffre
de clés
Vous devez créer un coffre de clés « premium » pour accéder aux fonctionnalités de clé cryptographique nécessaires au pare-feu virtuel vSRX 3.0. Une fois que vous avez créé un coffre de clés, pour plus d’informations sur la création et la gestion des clés et des secrets dans le coffre, consultez Gérer le coffre de clés dans Azure Stack à l’aide du portail.
- Activez l’identité gérée pour le pare-feu virtuel vSRX 3.0.
L’identité managée affectée par le système aide le pare-feu virtuel vSRX à s’authentifier auprès d’autres services (par exemple, Key Vault) sans enregistrer les informations d’identification dans le code en inscrivant votre application dans Azure Active Directory. L’activation de cette identité génère un ID d’objet unique, qui peut être utilisé pour le référer à d’autres instances de pare-feu virtuel vSRX.
Pour activer l’identité managée pour le pare-feu virtuel vSRX sur Microsoft Azure, vous devez configurer les identités managées pour les ressources Microsoft Azure sur une machine virtuelle à l’aide du portail Azure, comme illustré dans les figures 2 et 3.
Pour plus d’informations, consultez Configurer des identités managées pour les ressources Azure sur une machine virtuelle à l’aide du portail Azure
Figure 2 : Activation de l’identité managée affectée par le système lors de la création d’une machine virtuelle
Figure 3 : Activation de l’identité managée affectée par le système sur une machine virtuelle
existante
Modifier le mot de passe du chiffrement principal
Si vous souhaitez modifier le mot de passe de chiffrement principal, vous pouvez exécuter la request security hsm master-encryption-password set plain-text-password commande à partir du mode opérationnel :
Il est recommandé de ne pas modifier la configuration pendant que vous modifiez le mot de passe de chiffrement principal.
Le système vérifie si le mot de passe de chiffrement principal est déjà configuré. Si le mot de passe de chiffrement principal est configuré, vous êtes invité à entrer le mot de passe de chiffrement principal actuel.
Le mot de passe de chiffrement principal saisi est validé par rapport au mot de passe de chiffrement principal actuel pour s’assurer que ces mots de passe de chiffrement principaux correspondent. Si la validation réussit, vous serez invité à saisir le nouveau mot de passe de chiffrement principal sous forme de texte brut. Il vous sera demandé d’entrer la clé deux fois pour valider le mot de passe.
Le système procède ensuite à un nouveau chiffrement des données sensibles avec le nouveau mot de passe de chiffrement principal. Vous devez attendre la fin de ce processus de rechiffrement avant d’essayer de modifier à nouveau le mot de passe de chiffrement principal.
Si le fichier de mot de passe de chiffrement principal crypté est perdu ou corrompu, le système ne sera pas en mesure de déchiffrer les données sensibles. Le système ne peut être récupéré qu’en réimportant les données sensibles en texte clair et en les chiffrant à nouveau.
Vérification de l’état du HSM
But
Pour vérifier la connectivité avec HSM.
Action
Vous pouvez utiliser la show security hsm status commande pour vérifier l’état du HSM. Les informations suivantes s’affichent :
Si HSM est activé et accessible ou désactivé
Est-ce que la clé de liaison principale (paire de clés RSA) est créée dans HSM
La clé de chiffrement principale est-elle configurée - état du mot de passe du chiffrement principal (défini ou non)
Informations sur le fournisseur de cloud
demande de sécurité hsm maître-chiffrement-mot de passe
- Syntaxe
- Informations sur la version
- Description
- Options
- Niveau de privilège requis
- Champs de sortie
- Sortie de l’échantillon
Syntaxe
request security hsm master-encryption-password set plain-text-password
Informations sur la version
Commande introduite dans Junos OS version 19.4R1.
Description
Utilisez cette commande pour définir ou remplacer le mot de passe (en texte brut).
Options
| plain-text-password | Définissez ou remplacez le mot de passe (en texte clair). |
Niveau de privilège requis
entretien
Champs de sortie
Lorsque vous entrez cette commande, vous recevez un retour d’information sur l’état de votre demande.
Sortie de l’échantillon
demande de sécurité hsm maître-cryptage-mot de passe définir un-mot-de-passe-texte
user@host> request security hsm master-encryption-password set plain-text-password
Enter new master encryption password: Repeat new master encryption password: Binding password with HSM Master encryption password is bound to HSM Encoding master password .. Successfully encoded master password Deleting all previous local certificates, keypairs and certificate requests
Afficher l’état du HSM de sécurité
- Syntaxe
- Informations sur la version
- Description
- Options
- Niveau de privilège requis
- Champs de sortie
- Sortie de l’échantillon
- Sortie de l’échantillon
Syntaxe
show security HSM status
Informations sur la version
Commande introduite dans Junos OS version 19.4R1.
Description
Affichez l’état actuel du module de sécurité matérielle (HSM). Vous pouvez utiliser cette show security hsm status commande pour vérifier l’état du HSM, de la clé de liaison principale, du mot de passe de chiffrement principal et des détails du fournisseur cloud.
Options
Cette commande n’a pas d’options.
Niveau de privilège requis
sécurité
Champs de sortie
Le tableau 1 répertorie les champs de sortie de la show security hsm status commande.
Nom du champ |
Description du champ |
|---|---|
|
Spécifie si HSM est activé ou désactivé. |
|
Affiche l’état de la clé de liaison principale du HSM, qu’elle soit créée ou non dans HSM. HSM génère des clés cryptographiques et les chiffre afin que celles-ci ne puissent être déchiffrées que par le HSM. Ce processus est connu sous le nom de liaison. Chaque HSM possède une clé de liaison principale, également appelée clé racine de stockage. |
|
Affiche l’état de configuration du chiffrement principal, qu’il soit défini ou non. Les données chiffrées et le hachage de la configuration sont protégés par le pare-feu virtuel vSRX à l’aide du service Microsoft Key Vault (HSM). |
|
Affiche les détails spécifiques au fournisseur cloud. |
Sortie de l’échantillon
show security hsm status (sortie de la commande HSM status lorsque le pare-feu virtuel vSRX démarre pour la première fois, mais que cette fonctionnalité n’est pas activée)
user@host> show security hsm status
HSM Status: Accessible: no Master Binding Key: not-created Master Encryption Key: not-configured Azure Key Vault: unknown
Sortie de l’échantillon
afficher l’état HSM de la sécurité (sortie de la commande HSM status après une intégration réussie avec Key Vault)
user@host> show security hsm status
HSM Status: Accessible: yes Master Binding Key: created Master Encryption Key: configured Azure Key Vault: vsrx3-hsm-kv
Voir aussi
Comprendre la fonctionnalité VPN avec le service HSM Key Vault Microsoft Azure
Avec l’intégration du service HSM Key Vault Microsoft Azure sur vSRX3.0, vous pouvez désormais utiliser le service HSM pour créer, stocker et effectuer les opérations de paires de clés VPN requises. La création de paires de clés est désormais activée dans le service HSM. Il est désormais possible d’établir un tunnel VPN basé sur PKI à l’aide des paires de clés générées par le HSM. Une fois la clé de chiffrement principale configurée, vous pouvez configurer la fonctionnalité VPN à l’aide du service HSM. Vous ne pouvez générer que des paires de clés RSA de longueur 2048 et 4096 bits. Les opérations telles que la signature de clé privée lors de la création de CSR dans PKID, la signature de clé privée lors de la vérification du certificat reçu du serveur d’autorité de certification dans PKID et la signature de clé privée pendant les négociations IKE à IKED sont déchargées du pare-feu virtuel vSRX et sont désormais effectuées par le service HSM.
La génération de paires de clés à l’aide du service HSM est réservée aux processus pkid et iked. De plus, les paires de clés existantes dans le système de fichiers avant l’activation du service HSM ne sont pas chiffrées et ces paires de clés sont supprimées.
Scénario de déploiement
Cette section fournit un scénario de déploiement dans lequel l’instance Pare-feu virtuel vSRX 3.0 est lancée en tant que passerelle dans un réseau virtuel et se connecte à un centre de données à l’aide d’une connexion IPsec pure.
La figure 4 illustre le scénario de déploiement.
IPsec
Vous pouvez générer des paires de clés à l’aide du service HSM cloud Microsoft Azure pour le processus pkid et utiliser ces paires de clés pour obtenir un certificat local du serveur CA. Utilisez la paire de clés présente dans le service HSM cloud pour la signature de clé privée pendant les négociations IKE.
La fonctionnalité VPN exécutée dans le cloud Microsoft Azure à l’aide du service HSM est illustrée à la figure 5.
Microsoft Azure
Les composants concernés sont les suivants :
Lancement du pare-feu virtuel vSRX 3.0 dans le cloud Microsoft Azure.
Peer : deuxième instance de Pare-feu virtuel vSRX 3.0 lancée dans le cloud Azure. Un tunnel est établi entre le premier pare-feu virtuel vSRX 3.0 et le pair.
Key Vault : service HSM lancé dans le cloud Azure. Vous pouvez interagir entre le pare-feu virtuel vSRX 3.0 et le HSM. et l’homologue peut créer et stocker des paires de clés localement.
Serveur d’autorité de certification : tout serveur d’autorité de certification auquel les instances du pare-feu virtuel vSRX peuvent accéder. Le serveur CA est lancé sur le cloud Azure.
Cette procédure décrit les étapes à suivre pour autoriser l’accès du pare-feu virtuel vSRX au HSM en authentifiant le pare-feu virtuel vSRX auprès du service HSM cloud.
Initialiser une session avec le service HSM : chaque processus qui doit interagir avec le HSM doit initialiser sa propre session distincte. Pour la fonctionnalité VPN, vous devez établir 2 sessions avec le service HSM pour chaque appareil concerné. Une session est établie avec le processus pkid et une autre session avec le processus iked. Ces sessions avec le service HSM ne sont établies qu’une seule fois au cours du processus d’initialisation du démon. Si un démon est redémarré, une nouvelle session est établie avec le service HSM. Lorsqu’une session est établie avec succès avec le service HSM, un contexte de session valide est renvoyé. Les sessions seront établies avec le service HSM uniquement si la clé de chiffrement principale (MEK) est activée. Chaque session constitue une connexion TLS sécurisée entre le pare-feu virtuel vSRX et le HSM cloud.
Gestion des paires de clés au niveau du HSM : pour créer et stocker des paires de clés au niveau du HSM, utilisez la
request security pki generate-key-pair certificate-id certificate-id-name <size> <type>commande.Note:Le terme certificate-id n’est qu’un identifiant associé à la paire de clés qui a été générée. Il n’y a pas encore de lien avec la création d’un certificat. Si aucun type et aucune taille ne sont mentionnés, les valeurs par défaut de type RSA et de taille 2048 sont prises en compte.
Redirection vers le HSM : lorsque le HSM est activé, la même commande CLI est redirigée vers le HSM. Une nouvelle paire de clés avec les paramètres donnés est créée au niveau du HSM. Les clés créées par chaque pare-feu virtuel vSRX sont balisées à l’aide de l’UUID de chaque machine virtuelle. Vous pouvez vous connecter au portail cloud, accéder aux clés et vérifier leurs propriétés/opérations que vous souhaitez. L’UUID de chaque clé est au format suivant :<nom-clé>_<ID d’instance vm-unique>. Vous devez fournir le nom de la clé au moment de sa création. L’instance de machine virtuelle est le facteur qui rendra l’ID de clé unique dans le service HSM. Par conséquent, il est nécessaire que l’ID d’instance de machine virtuelle soit unique pour chaque machine virtuelle en cours d’exécution. Ceci est assuré par Microsoft Azure. La redirection HSM sera un appel temporisé, dans lequel si aucune réponse n’est reçue en x quelques secondes, un message
call to HSM failedd’erreur s’affiche.Récupération des informations de clé publique : après la création de la paire de clés au niveau du HSM, nous récupérons les composants de clé publique de la paire de clés. Le HSM renvoie le module et l’exposant. Ces composants sont convertis en structure EVP_PKEY à l’aide d’API OpenSSL. La structure de la clé publique est ensuite stockée en tant que nouvelle entrée dans le hachage des clés. De cette façon, les composants de clé publique peuvent être récupérés à partir du hachage si nécessaire. Actuellement, le HSM ne détecte pas les paires de clés en double. À la place, lorsque l’ID de clé d’erreur est reçu à nouveau, le HSM écrase la paire de clés préexistante. Pour éviter ce remplacement de paires de clés, la clé publique est enregistrée dans le hachage au moment de la création de la clé elle-même. De cette façon, la création d’une paire de clés dupliquée est arrêtée au niveau de l’appareil lui-même, sans appel au HSM.
Vous recevrez un message d’erreur
error: Failed to generate key pair at HSM. Found a key with the same name at HSM. Use a different certificate id next time. Refer to PKID logs for more detailslorsque vous tenterez d’utiliser le même nom pour créer une nouvelle paire de clés, même si vous avez supprimé la paire de clés précédente.Suppression des paires de clés : HSM ne prend pas en charge d’API pour supprimer les paires de clés créées au niveau du HSM. La commande delete keypair émise au niveau de l’interface de ligne de commande entraîne la suppression du composant de clé publique du disque et du hachage de clé. La paire de clés n’est pas supprimée du HSM. Pour supprimer la paire de clés du HSM, vous devez accéder au HSM et supprimer manuellement la paire de clés. Si la fonctionnalité de suppression réversible d’Azure Key Vault est activée, vous devez également éliminer la paire de clés de la paire de clés avant de pouvoir réutiliser le nom de la paire de clés.
Note:L’exportation de clés à partir du fichier n’est pas prise en charge. Lorsque vous utilisez les
request security pki local-certificate exportcommandes etrequest security pki key-pair exportpour exporter des clés, vous recevez un messageExport of keypairs/certificate is not supported when HSM is enabledd’erreur .Signature par clé privée : la clé privée est désormais présente au niveau du HSM. Ainsi, toutes les opérations nécessitant la clé privée ont été déchargées sur le HSM. Les opérations consistent à :
Les opérations de signature de clé privée sont utilisées pendant :
Création de la demande de signature de certificat (CSR)
Vérification du certificat local reçu de l’autorité de certification
Signature du RSA lors des négociations IKE
Interopérabilité SHA-1. Le coffre de clés Azure prend en charge la signature de clé privée pour les résumés SHA-256 uniquement.
Comportement de CLI avec et sans HSM
CLI |
Non-HSM |
HSM |
|
Crée une paire de clés localement |
Création d’une paire de clés au niveau du HSM |
|
Création d’un CSR localement |
Contacte le HSM pour la signature de clé privée lors de la création du CSR. Le digest doit être SHA-256 |
|
Crée un CSR localement. Envoie le CSR au serveur de l’autorité de certification et reçoit un certificat |
Contacte le HSM pour la signature de clé privée lors de la création du CSR. Envoie le CSR au serveur de l’autorité de certification et reçoit un certificat. Le digest doit être SHA-256 |
|
Exportation du certificat local vers un autre appareil |
Impossible car la paire de clés n’est pas présente localement |
|
Exportée de la paire de clés présente localement vers un autre appareil |
Impossible car la paire de clés n’est pas présente localement |
|
Génère un certificat auto-signé |
Contacte HSM pour la signature, puis génère un certificat auto-signé |
|
Affiche le certificat local présent sur l’appareil |
Indique que la paire de clés est générée localement ou au niveau du HSM cloud |
Demander la sécurité, certificat local, PKI, s’inscrire, SCEP
- Syntaxe
- Informations sur la version
- Description
- Options
- Niveau de privilège requis
- Champs de sortie
- Sortie de l’échantillon
- Sortie de l’échantillon
Syntaxe
request security pki local-certificate enroll scep
ca-profile ca-profile name
certificate-id certificate-id-name
challenge-password challenge-password
digest (sha-1 | sha-256)
domain-name domain-name
email email-address
ip-address ip-address
ipv6-address ipv6-address
logical-system (logical-system-name | all)
scep-digest-algorithm (md5 | sha-1)
scep-encryption-algorithm (des | des3)
subject subject-distinguished-name
Informations sur la version
Commande introduite dans Junos OS version 9.1. Ajout de l’option Numéro de série (SN) au champ de sortie de chaîne d’objet dans Junos OS version 12.1X45. scep ajout du mot-clé et ipv6-address de l’option dans Junos OS version 15.1X49-D40.
À partir de Junos OS version 20.1R1 sur Pare-feu virtuel vSRX 3.0, vous pouvez protéger les clés privées utilisées par PKID et IKED à l’aide du service de module de sécurité matérielle (HSM) Microsoft Azure Key Vault. Vous pouvez établir un tunnel VPN basé sur PKI à l’aide des paires de clés générées au niveau du HSM. L’option hub certificate-id sous certificate-id n’est pas disponible pour la configuration après la génération de la paire de clés HSM.
À partir de la version 20.4R1 de Junos OS sur le pare-feu virtuel vSRX 3.0, vous pouvez protéger les clés privées utilisées par PKID et IKED à l’aide d’AWS Key Management Service (KMS). Vous pouvez établir un tunnel VPN basé sur PKI à l’aide des paires de clés générées par le KMS. L’option hub certificate-id sous certificate-id n’est pas disponible pour la configuration après la génération de la paire de clés PKI.
À partir de la version 22.4R2 de Junos OS, logical-system est introduite dans la déclaration pour l’inscription des certificats SCEP PKI.
Description
Inscrivez et installez un certificat numérique local en ligne à l’aide du protocole SCEP (Simple Certificate Enrollment Protocol).
Si vous entrez la request security pki local-certificate enroll commande sans spécifier le scep mot-clé or cmpv2 , SCEP est la méthode par défaut pour l’inscription d’un certificat local.
Options
| ca-profile ca-profile-name | Nom du profil de l’autorité de certification. |
| certificate-id certificate-id-name | Nom du certificat numérique local et de la paire de clés publique/privée. |
| challenge-password password | Mot de passe défini par l’administrateur et normalement obtenu à partir de la page Web d’inscription SCEP de l’autorité de certification. Le mot de passe doit comporter au maximum 256 caractères. Vous pouvez appliquer la limite aux caractères requis. |
| digest (sha-1 | sha-256) | Algorithme de hachage utilisé pour signer les certificats RSA, SHA-1 ou SHA-256. SHA-1 est la valeur par défaut. |
| domain-name domain-name | Nom de domaine complet (FQDN). Le nom de domaine complet fournit l’identité du propriétaire du certificat pour les négociations Internet Key Exchange (IKE) et fournit une alternative au nom de l’objet. |
| email email-address | Adresse e-mail du titulaire du certificat. |
| ip-address ip-address | Adresse IP du routeur. |
| ipv6-address ipv6-address | Adresse IPv6 du routeur pour l’autre sujet. |
| logical-system (logical-system-name | all) | Nom du système logique ou tous. Cette option est facultative. |
| scep-digest-algorithm (md5 | sha-1) | Résumé de l’algorithme de hachage, soit MD5 ou SHA-1 ; SHA-1 est la valeur par défaut. |
| scep-encryption-algorithm (des | des3) | Algorithme de chiffrement, DES ou DES3 ; DES3 est la valeur par défaut. |
| subject subject-distinguished-name | Format DN (Distinguished Name (DN) qui contient le composant de domaine, le nom commun, le service, le numéro de série, le nom de la société, l’état et le pays au format suivant : DC, CN, OU, O, SN, L, ST, C.
|
Niveau de privilège requis
Maintenance et sécurité
Champs de sortie
Lorsque vous entrez cette commande, vous recevez un retour d’information sur l’état de votre demande.
Sortie de l’échantillon
nom_commande
user@host> request security pki local-certificate enroll scep certificate-id r3-entrust-scep ca-profile entrust domain-name router3.example.net subject "CN=router3,OU=Engineering,O=example,C=US" challenge-password 123
Certificate enrollment has started. To view the status of your enrollment, check the public key infrastructure log (pkid) log file at /var/log/pkid. Please save the challenge-password for revoking this certificate in future. Note that this password is not stored on the router.
Sortie de l’échantillon
Exemple de sortie pour le pare-feu virtuel vSRX 3.0
user@host> request security pki generate-key-pair certificate-id example
Generated key pair example, key size 2048 bits
user@host> request security pki local-certificate enroll certificate-id ?
Possible completions: <certificate-id> Certificate identifier example
user@host> request security pki generate-key-pair certificate-id Hub
error: Failed to generate key pair at HSM. Found a key with the same name at HSM. Use a different certificate id next time. Refer to PKID logs for more details