常见问题解答 证书调配门户常见问题解答，2.0版 证书调配门户常见问题解答
2 Revised:July13,2016, 证书调配门户常见问题解答 •证书调配门户是用来做什么的？•为什么我不能登录？•如何更改我的密码？•如何生成单个证书及属性？•什么是常用名(CN)？•什么是主体备用名称或SAN？支持什么类型的格式？•什么是证书模板？•可用的证书格式有哪些？•为什么需要证书密码？必须遵循的密码规则有哪些？•什么是证书签名请求或CSR？如何获得它？•如何获得单个证书及CSR？•我是否可以请求批量证书？•如何创建用于批量证书请求的CSV文件？我可以通过一个请求获得多少证书？•如何取消现有的批量证书请求？•我可以提交多个批量证书请求吗？•如果在批量证书请求运行时关闭浏览器，会出现什么情况？•我可以代表其他人生成证书吗？•证书压缩文件的内容是什么？•如何使用证书？•出现以下错误时，我该怎么办？ 证书调配门户是用来做什么的？证书调配门户为无法通过设备入网流程的设备颁发证书。
例如，销售点终端等设备无法通过BYOD流程时，需要为其手动颁发证书。
证书调配门户允许特权用户组为此类设备上传证书请求；如果需要，可生成密钥对；并且下载证书。
为什么我不能登录？要登录证书调配门户，您的用户帐户应属于管理员为证书调配门户配置的特定身份组。
请与您的管理员联系以寻求帮助。

2 如何更改我的密码？只有当您是思科ISE的内部用户时（您的用户信息应存储于思科ISE内部数据库中），才可以通过证书调配门户更改密码。
要更改密码，请执行以下操作：1使用您的凭证，登录证书调配门户。
2单击右上角的账户(ount)菜单下拉列表。
3点击更改密码(ChangePassword)。
4按照屏幕上的提示更改密码。
如何生成单个证书及属性？要生成单个证书及属性，请执行以下操作：1使用您的凭证，登录证书调配门户。
2从我想(Iwantto)下拉列表中，选择生成单个证书（无证书签名请求）。
3在常用名(CommonName)字段中，输入您的用户名（即，用于登录证书调配门户的用户名）。
4在主体备用名称(SAN)字段中，输入您请求为其颁发证书的设备的MAC地址。
5选择一个证书模板。
6（可选）输入说明。
7选择证书下载格式。
8请输入密码以保护客户端证书的安全。
在设备上安装此证书时，您必须输入该密码。
9点击生成(Generate)。
此时便会生成证书压缩文件，您可以将其下载到系统中。
什么是常用名(CN)？验证服务器使用客户端证书“常用名”(CommonName)字段中的值对用户进行验证。
在“常用名”(CommonName)字段中，输入用户名（即，用于登录证书调配门户的用户名）。
什么是主体备用名称或SAN？支持什么类型的格式？主体备用名称(SAN)是X.509证书的扩展项，允许不同的值与安全证书相关联。
思科ISE（版本2.0）仅支持MAC地址。
因此，在“SAN/MAC地址”(SAN/MAC)字段中，采用以下任一格式输入您设备的MAC地址：•00-11-22-33-44-55•00:11:22:33:44:55•0011.2233.4455•001122-334455•001122334455
3 什么是证书模板？证书授权机构(CA)使用证书模板向终端实体颁发证书。
证书模板由思科ISE管理员创建，思科ISE管理员会定义一组字段供CA在验证请求和颁发证书时使用。
常用名(CN)等字段用于验证请求（CN应与用户名相匹配）。
CA在颁发证书时使用其他字段。
可用的证书格式有哪些？您可以选择下载以下任一格式的终端实体证书。
“终端实体”一词是指为之颁发证书的用户/设备。
•PKCS12格式（包括证书链；证书链和密钥的文件）：将CA根证书、CA中间证书以及终端实体的证书和私钥存储在一个加密文件时，所采用的二进制格式。
•PKCS12格式（证书和密钥的文件）：将终端实体的证书和私钥存储在一个加密文件时，所采用的二进制格式。
•加强隐私电子邮件(PEM)格式的证书和PKCS8PEM格式的密钥（包括证书链）：CA根证书、CA中间证书和终端实体证书均采用PEM格式。
PEM格式的证书是采用BASE64编码的ASCII文件。
每个证书的开头采用“-------证书开始(BEGINCERTIFICATE)-----”标签，结尾采用“-----证书结束(ENDCERTIFICATE)-----”标签。
终端实体的私钥使用PKCS8PEM存储，开头采用“----------加密私钥开始(BEGINENCRYPTEDPRIVATEKEY)-----”标签，结尾采用“-----加密私钥结束(ENDENCRYPTEDPRIVATEKEY)-----”标签。
•PEM格式的证书和PKCS8PEM格式的密钥：终端实体证书采用PEM格式。
PEM格式的证书是采用BASE64编码的ASCII文件。
每个证书的开头采用“-------证书开始(BEGINCERTIFICATE)-----”标签，结尾采用“----证书结束(ENDCERTIFICATE)-----”标签。
终端实体的私钥使用PKCS8PEM存储，开头采用“----------加密私钥开始(BEGINENCRYPTEDPRIVATEKEY)-----”标签，结尾采用“-----加密私钥结束(ENDENCRYPTEDPRIVATEKEY)-----”标签。
为什么需要证书密码？必须遵循的密码规则有哪些？您需要设置一个证书密码来保护您的证书安全。
如需查看证书内容以及在设备上导入证书，您必须提供该证书密码。
密码必须符合以下规则：•密码必须包含至少1个大写字母、1个小写字母和1个数字•密码的长度必须介于8到15个字符之间•允许的字符包括A-Z、a-z、0-
9、_和# 什么是证书签名请求或CSR？如何获得证书签名请求或CSR？证书签名请求(CSR)是从终端实体（用户/设备）向证书授权机构(CA)发送的证书请求。
CSR包含用于确定终端实体的重要信息（例如：常用名、主体备用名称，部门名称等）。
OpenSSL是一种最受欢迎的工具，用于生成CSR。
关于如何获取CSR的信息，请与管理员联系。

4 如何获得单个证书及CSR？要生成单个证书及CSR，请执行以下操作：1使用您的凭证，登录证书调配门户。
2从我想(Iwantto)下拉列表中，选择生成单个证书（含证书签名请求）。
3输入CSR的详细信息。
4选择一个证书模板。
5（可选）输入说明。
6选择证书下载格式。
7请输入密码以保护客户端证书的安全。
在设备上安装此证书时，您必须输入该密码。
8点击生成(Generate)。
此时便会生成含有CSR的证书压缩文件。
您可以将其下载到系统中。
我是否可以请求批量证书？可以。
您可以通过创建CSV文件并将其上传至证书调配门户，来请求批量证书。
如何创建用于批量证书请求的CSV文件？我可以通过一个请求获得多少证书？要创建用于批量证书请求的CSV文件，请执行以下操作：1使用您的凭证，登录证书调配门户。
2从我想(Iwantto)下拉列表中，选择生成批量证书。
3点击此处下载CSV模板(DownloadCSVtemplatehere)。
此时CSV模板会下载到您的系统中。
4在电子表格（例如：MSExcel）中打开下载文件。
5输入设备的CN和SAN值，每个设备输入一行。
6保存文件。
7在证书调配门户中，点击上传(Upload)。
8点击浏览(Browse)并选择您之前创建的CSV文件。
9选择一个证书模板。
10（可选）输入说明。
11选择证书下载格式。
12请输入密码以保护客户端证书的安全。
在设备上安装此证书时，您必须输入该密码。
13点击生成(Generate)。
此时便会生成包含所有证书的压缩文件。
您可以将其下载到系统中。
在一个批量证书请求中，您最多可以请求500个证书。
如何取消现有的批量证书请求？在批量证书请求提交过程中，在“证书生成状态”(CertificateGenerationStatus)页面，点击取消(Cancel)。

5 我可以提交多个批量证书请求吗？您一次只能提交一个请求。
在证书生成并且确认下载完成之后，您可以提交另一个请求。
如果在批量证书请求运行时关闭浏览器，会出现什么情况？如果在批量证书请求运行时关闭浏览器或退出证书调配门户，您会自动重定向到“证书生成状态”(CertificateGenerationStatus)页面。
在该页面，您可以看到您的请求进度。
证书生成后，您可以查看摘要并下载生成的证书。
我可以代表其他人生成证书吗？您必须是具有管理员权限的用户（超级管理员或ERS管理员权限），才可以为其他人生成证书。
其他用户只能为他们自己请求证书。
证书压缩文件的内容是什么？根据您选择的证书下载格式，压缩文件包含以下内容：•终端实体证书-该证书必须与您提供的常用名和主体备用名称(SAN)等信息匹配。
例如，如果用户名是Joe的请求者为他的设备提交申请，该设备的MAC地址(SAN)为11-22-33-44-55-66，则证书文件应命名为Joe_11-22-33-44-55-66.cer。
•私钥（仅用于使用属性的单个证书请求或批量证书请求）-终端实体证书的私钥。
如果用户名是Joe的请求者为他的设备提交申请，该设备的MAC地址(SAN)为11-22-33-44-55-66，则私钥文件应命名为Joe_11-22-33-44-55-66.key。
•证书链-证书链上的所有证书都链接到思科ISE内部CA的根CA。
•在EAP-TLS身份验证时，为了使终端实体信任ISE服务器，压缩文件包含以下文件之一：EAP证书链（如果思科ISE服务器证书由外部CA签名）思科ISE自签名证书（如果ISE服务器使用自签名证书进行服务器身份验证） 如何使用证书？在将证书压缩文件下载到本地系统后：1将证书导入客户端设备的密钥库。
如果您提交了批量证书请求，请将相关的终端实体证书和私钥复制到采用相关MAC地址的设备（基于SAN）。
2修改您的无线或有线设置以进行基于EAP-TLS的身份验证，然后选择终端实体证书。
3将设备连接到网络。
设备应通过身份验证。

6 出现以下错误时，我该怎么办？ •无效请求-给定CSR的常用名与提供的用户名不匹配，并且该用户没有ERS管理员权限因为请求中的常用名(CN)与请求者的用户名不匹配，所以出现此错误消息。
CN必须与请求颁发证书的用户的名字相匹配。
此验证可确保用户没有为他人申请证书。
但是，属于ERS管理员群组的用户（管理员用户）可以为其他用户请求证书，并且CN无需与管理员用户的用户名相匹配。
解决方法：重新提交请求，并在“常用名”(CommonName)字段中输入您的用户名。
•给定CN无效。
不能包含[]":;|=,+*?
<>字符由于CN中包含无效字符，因此显示此错误消息。
无效字符包括[]":;|=,+*?
<>。
这些字符不允许出现在ActiveDirectory用户名中，因此也不应出现在CN中。
解决方法：重新提交采用有效CN的请求。
•无效MAC地址由于MAC地址无效，因此显示此错误消息。
MAC地址格式必须是11-11-11-11-11-11,11:11:11:11:11:11,1111.1111.1111,111111.111111,111111111111。
除了分隔符“-”，“:”和“.”，MAC地址只能包含数字09以及字母A-
F。
解决方法：提供系统支持格式的MAC地址，并重新提交请求。
•CA服务器错误-到内部CA的证书请求失败CN此错误消息表示思科ISE内部CA失败。
解决方法：重新提交请求。
如果提交请求一直失败，请与管理员联系。
•ISE服务器错误-给定CSR文本畸形由于CSR未采用有效的PEM格式，因此显示此错误消息。
解决方法：提供采用有效PEM格式的CSR。
•无效请求-给定CSR的OURDN与证书模板中定义的OURDN不匹配由于OURDN（或错误消息中的RDN）与证书模板中定义的OURDN不匹配，因此显示此错误消息。
解决方法：联系管理员以了解应在CSR中使用什么RDN值。
•超过此CSV允许的最大条目数。
最大值为500由于您提供的CSV文件有超过500个条目，因此显示此错误消息。
解决方法：将CSV文件拆分为多个CSV文件，使拆分后的每个文件含有不超过500个条目。
提交这些CSV文件用于批量证书请求，每次提交一个文件。
在一个请求处理完成后，再继续进行下一个请求。
•CSV文件中的列出现丢失或增加。
请严格按照模板填写由于CSV文件格式不正确，因此显示此错误消息。
解决方法：确保每个条目有两个字段的值；为每个条目提供一个CN和一个SAN。
SAN应是MAC地址。
重新提交请求。

7 ©2015CiscoSystems,Inc.Allrightsreserved. 美洲总部CiscoSystems,Inc.SanJose,CA95134-1706USA 亚太区总部CiscoSystems(USA)Pte.Ltd.Singapore 欧洲总部CiscoSystemsInternationalBVAmsterdam,TheNetherlands Cisco在全球拥有200多个办事处。
相关地址、电话和传真号码可见于Cisco位于/go/offices上的网站。