ESA 사용자 지정 CA 목록 인증서 만료 알림 이해

소개

이 문서에서는 Async OS 14.x로 업그레이드한 후 Cisco ESA(Secure Email Gateway)에서 CA(Custom Certificate Authority) 인증서 만료 알림 및 해결 방법에 대해 설명합니다.

사용되는 구성 요소

이 문서의 정보는 Async OS 14.0 이상을 실행하는 ESA를 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 이해해야 합니다.

배경 정보

Async OS 14.x로 업그레이드하는 동안 고객은 이전 시스템 인증서를 사용자 지정 CA 목록에 추가할지 여부를 확인하도록 요청받습니다.이 내용은 아래 스크린샷과 같이 14.0 릴리스 노트에도 설명되어 있으며, 전체 릴리스 노트는 여기에서 확인할 수 있습니다.

문제

14.x로 업그레이드한 후 사용자 지정 목록에 추가된 오래된 시스템 인증서가 시간이 지남에 따라 아래와 같은 경고가 발생할 수 있습니다.

2021년 6월 26일 11:27:29 -0400 인증서 "CA:Root CA Generalitat Valenciana"가 5일 후에 만료됩니다.

이러한 경고는 업그레이드 시 사용자 지정 목록에 추가된 오래된 시스템 인증서가 만료될 예정이거나 이전에 만료에 가까워진 사용자 지정 인증서를 나타냅니다.

솔루션

사용자 지정 목록의 이전 시스템 인증서에 대한 알림이 정보 제공이므로 사용자 지정 목록에서 해당 인증서를 제거하거나 만료하도록 선택할 수 있습니다.

이는 서비스에 영향을 미치지 않지만 일부 바람직하지 않은 알림을 받을 수 있습니다. 

조직에 필요한 사용자 지정 CA 인증서에 대한 경고가 표시되고 현재 시스템 목록에 포함되지 않은 경우, 업데이트된 인증서에 대해 해당 CA에 연락하여 여기의 최종 사용자 설명서에 설명된 대로 교체할 수 있습니다.

시스템 CA 인증서 번들은 업그레이드 후 자동으로 업데이트되며, 정기적으로 사용자 지정 목록의 인증서가 만료되어도 시스템 목록의 인증서 작업에 영향을 주지 않습니다.

시스템 목록 및 사용자 지정 목록이 모두 활성화되어 있는지 확인하려면 Network(네트워크) -> Certificates(인증서) -> Certificate Authorities(인증 기관):설정 편집

또한 동일한 탐색 메뉴에서 시스템 및 사용자 지정 목록을 내보내거나 CLI certconfig -> certauthority 명령을 사용하여 필요에 따라 두 목록의 인증서를 수동으로 검토할 수도 있습니다.

사용자 지정 CA 목록에서 알림을 생성하는 인증서를 제거하려면 SSH를 사용하여 어플라이언스에 대해 관리자가 수행할 수 있는 단계는 다음과 같습니다.

참고:아래의 샘플 출력과 다를 수 있는 경고에 따라 사용자 지정 목록에서 인증서의 이름/위치를 확인하십시오.

example.com> certconfig

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> certauthority

Certificate Authority Summary
Custom List: Enabled
System List: Enabled

Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> custom

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> delete

You must enter a value from 1 to 104.
1. [AAA Certificate Services]
2. [ANCERT Certificados CGN]
3. [ANCERT Certificados Notariales]
4. [ANCERT Corporaciones de Derecho Publico]
5. [Actalis Authentication Root CA]
6. [Admin-Root-CA]
7. [Agence Nationale de Certification Electronique]
8. [Agence Nationale de Certification Electronique]
9. [America Online Root Certification Authority 1]
10. [America Online Root Certification Authority 2]
11. [Autoridad Certificadora Raiz de la Secretaria de Economia]
12. [Autoridad de Certificacion de la Abogacia]
13. [Baltimore CyberTrust Root]
14. [COMODO Certification Authority]
15. [COMODO RSA Certification Authority]
16. [Certipost E-Trust TOP Root CA]
17. [Certum CA]
18. [Chambers of Commerce Root]
19. [Cisco Root CA 2048]
20. [ComSign Advanced Security CA]
21. [ComSign CA]
22. [ComSign Secured CA]
23. [Cybertrust Global Root]
24. [D-TRUST Root Class 2 CA 2007]
25. [D-TRUST Root Class 3 CA 2007]
26. [DST Root CA X3]
27. [DigiCert Assured ID Root CA]
28. [DigiCert Baltimore CA-2 G2]
29. [DigiCert Global Root CA]
30. [DigiCert Global Root G2]
31. [DigiCert High Assurance EV Root CA]
32. [E-CERT ROOT CA]
33. [Echoworx Root CA2]
34. [Entrust Root Certification Authority - G2]
35. [Entrust Root Certification Authority]
36. [GLOBALTRUST]
37. [GeoTrust Global CA]
38. [GeoTrust Primary Certification Authority - G2]
39. [GeoTrust Primary Certification Authority - G3]
40. [GeoTrust Primary Certification Authority]
41. [GeoTrust RSA CA 2018]
42. [GeoTrust SSL CA - G2]
43. [GeoTrust Universal CA 2]
44. [GeoTrust Universal CA]
45. [Global Chambersign Root]
46. [GlobalSign PersonalSign 2 CA - SHA256 - G3]
47. [GlobalSign Root CA]
48. [GlobalSign]
49. [GlobalSign]
50. [Go Daddy Root Certificate Authority - G2]
51. [Hongkong Post Root CA 1]
52. [HydrantID SSL ICA G2]
53. [InfoNotary CSP Root]
54. [NetLock Minositett Kozjegyzoi (Class QA) Tanusitvanykiado]
55. [Network Solutions Certificate Authority]
56. [OISTE WISeKey Global Root GA CA]
57. [Post. Trust Root CA]
58. [QuoVadis Root CA 2]
59. [Root CA Generalitat Valenciana]                                                     <<<<<<<<<<< Select this one based on sample alert above
60. [S-TRUST Authentication and Encryption Root CA 2005:PN]
61. [SSC Root CA A]
62. [SSC Root CA B]
63. [SSC Root CA C]
64. [Secure Global CA]
65. [SecureTrust CA]
66. [Serasa Certificate Authority III]
67. [Serasa Certificate Authority II]
68. [Serasa Certificate Authority I]
69. [Starfield Services Root Certificate Authority]
70. [SwissSign Gold CA - G2]
71. [SwissSign Platinum CA - G2]
72. [SwissSign Silver CA - G2]
73. [Swisscom Root CA 1]
74. [TC TrustCenter Class 2 CA II]
75. [TC TrustCenter Class 3 CA II]
76. [TC TrustCenter Class 4 CA II]
77. [TC TrustCenter Universal CA II]
78. [TC TrustCenter Universal CA I]
79. [TDC OCES CA]
80. [Trusted Certificate Services]
81. [UCA Global Root]
82. [UCA Root]
83. [USERTrust RSA Certification Authority]
84. [VAS Latvijas Pasts SSI(RCA)]
85. [VRK Gov. Root CA]
86. [VeriSign Class 3 Public Primary Certification Authority - G5]
87. [VeriSign Universal Root Certification Authority]
88. [Visa Information Delivery Root CA]
89. [Visa eCommerce Root]
90. [WellsSecure Public Root Certificate Authority]
91. [XRamp Global Certification Authority]
92. [thawte Primary Root CA - G3]
93. [thawte Primary Root CA]

Select the custom ca certificate you wish to delete
[]> 59

Are you sure you want to delete "Root CA Generalitat Valenciana"? [N]> Y
Custom ca certificate "Root CA Generalitat Valenciana" removed

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> [ENTER]

Certificate Authority Summary
Custom List: Enabled
System List: Enabled
Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> [ENTER]

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> [ENTER]

example.com> commit

Please be sure to commit the change at the end.

관련 정보 

• Cisco Secure Email Gateway 릴리스 정보
• Cisco Secure Email Gateway 최종 사용자 가이드