شكرًا على ملاحظاتك.

هذا لإبلاغك بالتغيير القادم في سياسة متصفح Google Chrome الذي يؤثر على إصدار شهادات TLS العامة ولتحديد الإجراءات التي ستتخذها Cisco لضمان الدعم المستمر لاتصالات TLS المتبادلة (MTLS) في بيئات المثيل Cisco Webex Calling المخصص وبيئات UCM Cloud.

^{اعتبارًا من 1 فبراير 2027، ستتوقف سلطات إصدار الشهادات العامة (CAs) المضمنة في برنامج Google Chrome Trust عن توقيع الشهادات التي تتضمن استخدام المفتاح الموسع لمصادقة العميل (ClientAuth) (EKU).}

^{اعتبارًا من 15 مارس 2027، ستفرض Google سياسة تتطلب من المراجع المرجعية العامة في متجر Chrome Root إصدار شهادات تحتوي فقط على EKU لمصادقة الخادم (ServerAuth).} ونتيجة لذلك، لن يُسمح لـ Public Root CAs في متجر Chrome Root Store بعد الآن بإصدار شهادات تجمع بين وحدات EKU لمصادقة الخادم ومصادقة العميل في شهادة واحدة.

تستخدم تطبيقات UC ذات المثيل المخصص حاليًا شهادات تتضمن كلاً من مصادقة الخادم ووحدات EKU لمصادقة العميل ضمن شهادة واحدة لتأسيس الثقة لاتصالات mTLS. يتوفر الآن دعم لشهادات الخادم والعميل المنفصلة مع إصدار تطبيق UC v15su5.

وفي الوقت الحالي، يستخدم المثيل المخصص IdenTrust Commercial Root CA 1، وهو جزء من متجر غوغل كروم روت، لتوقيع هذه الشهادات. ومع ذلك، نظرًا للتغيير القادم في سياسة Chrome، لن يُسمح لـ CA هذا بإصدار شهادات تحتوي على كلا الوحدتين الإلكترونيتين في شهادة واحدة بدءًا من 1 ^فبراير 2027.

الشهادات المتأثرة

يتم توقيع شهادات تطبيق UC التالية باستخدام Public Root CA وتستخدم بشكل شائع لاتصالات mTLS:

تطبيق UC	نوع الشهادة	اتصالات MTLS الشائعة
Cisco Unified CM/الشركات الصغيرة والمتوسطة	تومكات\ تومكات - إكدسا	LDAP، Filebeat، Logstash، مصادقة SIP عبر ذاكرة الوصول العشوائي، النظام عن بُعد
	مدير المكالمات/مدير المكالمات - ECDSA	قنوات SIP والاتصالات بين العقد وبين المجموعات
Cisco Unity Connection	تومكات\ تومكات - إكدسا	بروكسي SIP، قنوات SIP
المراسلة الفورية والتواجد من Cisco	تومكات\ تومكات - إكدسا	—
	كوب/كوب - إكسا	تأمين SIP مع CUCM وعملاء الطرف الثالث وبروكسي SIP
	كوب-xmpp/كوب-XMPP-ECDSA	اتحاد XMPP
Cisco Emergency Responder	تومكات\ تومكات - إكدسا	—
Cisco Expressway	شهادة الخادم	موبايل لاند Remote Access (MRA)

الشهادات التي لم تتأثر

جميع الشهادات المتبقية في المثيل المخصص موقعة ذاتيًا. للحصول على معلومات إضافية، راجع إدارة شهادات المثيل المخصص.

لمعالجة تغيير سياسة Chrome والحفاظ على وظائف mTLS غير المنقطعة، ستتخذ Cisco الإجراء التالي:

• اعتبارًا من 1 يونيو 2026، ^{ستقوم Cisco بتحويل المرجع المرجعي العام المستخدم لتوقيع شهادات تطبيق UC للمثيل المخصص من IdenTrust Commercial Root CA 1 إلى IdenTrust Public Sector Root CA 1 لجميع عمليات تجديد الشهادات.}

  تظل عملية تجديد الشهادة كما هي، ويقوم مركز تنبيهات Control Hub بإخطار العملاء من خلال تنبيه "الصيانة والانقطاع» عند جدولة التجديد. لمزيد من المعلومات، راجع تنبيهات الصيانة.

• ستستمر الشهادات في تضمين وحدات EKU لمصادقة الخادم والعميل.

يجب أن تستخدم أي تطبيقات أو خدمات تابعة لجهات خارجية في بيئة العميل تربط تطبيقات UC في المثيل المخصص باستخدام اتصالات TLS أو mTLS نفس سلسلة الشهادات مثل تطبيقات UC في المثيل المخصص. إذا كان مخزن ثقة أنظمة العملاء أو التطبيقات لا يتضمن بالفعل مراجع شهادات IdenTrust المطلوبة، فيجب استيراد الشهادة الجذرية الجديدة لمنع فشل اتصال TLS/MTLS.

1. تدقيق اتصالات MTLS الحالية
   1. حدد التطبيقات أو خدمات الجهات الخارجية أو عمليات الدمج التي تتصل بتطبيقات UC في المثيل المخصص باستخدام TLS أو mTLS.
   2. تحقق مما إذا كانت هذه التطبيقات تثق في المرجع الأساسي العام الجديد: IdenTrust Public Sector Root CA 1.
2. أضف المرجع المرجعي العام الجديد (إذا لزم الأمر)
   1. إذا لم يكن IDENTrust Public Sector Root CA 1 موثوقًا به بالفعل في تطبيق العميل أو مخزن ثقة النظام، فيجب إضافته.
   2. يمكن تنزيل نفس الشيء من الروابط التالية:

      الجذر CA: الجذر CA 1 في القطاع العام من IdenTrust

      صفحة تنزيل بديلة: تنزيلات دعم IdenTrust

      الإصدار/المرجع السابق: خادم IdenTrust للقطاع العام CA 1.

   بالنسبة لمعظم التطبيقات، تكون الثقة في Root CA كافية إذا كان الخادم يقدم السلسلة الكاملة. من المفيد تضمين المرجع المصدر/الفرعي للتطبيقات التي تتطلب استيراد الشهادة المتوسطة بشكل منفصل.

يتم الوثوق بـ IdenTrust Public Sector Root CA 1 افتراضيًا في مخازن الثقة القياسية لأنظمة التشغيل والأنظمة الأساسية التالية:

• Microsoft Windows
• ماك أو إس
• آي أو إس/ آيباد أو إس
• Android

ونتيجة لذلك، يُطلب من العميل فقط التحقق من صحة مخازن الثقة لهذه المنصات للتأكد من أن الشهادة الجذرية لـ Public CA الجديدة مدرجة بالفعل. ينطبق هذا على نقاط النهاية/العملاء أو أنظمة الطرف الثالث التي تستخدم مخازن الثقة الافتراضية على هذه الأنظمة الأساسية. يتم توفير تعليمات تحديث متجر الثقة على كل منصة في الأقسام أدناه. تقع مسؤولية إجراء هذه التحديثات على عاتق العميل أو الشريك؛ تشير الروابط والخطوات أدناه إلى المقالات عبر الإنترنت من موردي المنصات المعنيين، وتوفر Cisco المساعدة على أساس أفضل جهد. لمزيد من التوضيح، يجب أن تعمل مباشرة مع موردي المنصات المعنيين.

ملاحظة متجر الثقة في Android

تم تضمين IdenTrust Public Sector Root CA 1 في متجر CA لنظام Android ويمكن الوثوق به افتراضيًا في إصدارات Android المدعومة حاليًا. لا يوفر Android تخطيطًا عامًا خاصًا بالإصدار لتواريخ تقديم شهادة الجذر الفردية. تتم إدارة الثقة من خلال متجر CA لنظام Android وتوزيعها عبر تحديثات نظام التشغيل وتحديثات نظام Google Play.

لا يلزم اتخاذ أي إجراء من جانب العميل ما لم يتم تعديل متجر ثقة نظام Android بشكل صريح من خلال سياسة الجهاز أو ضوابط إدارة المؤسسة أو قيود الثقة الخاصة بالتطبيق.

لم يتم تضمين المرجع الجذري 1 للقطاع العام من IdenTrust في متجر غوغل كروم روت.

لضمان ثقة Google Chrome في الشهادات الصادرة بموجب هذا المرجع المصدق الجذري، يجب على العملاء التأكد من أن الشهادة الجذرية موثوقة بشكل صريح على مستوى نظام التشغيل في المواقع التي يستهلكها Chrome لاتخاذ قرارات الثقة المحلية.

Windows - تكوين الثقة المطلوب

لضمان ثقة Google Chrome في المرجع المصدق الجذري على نظام التشغيل Windows، يجب استيراد المرجع الجذري للقطاع العام IdenTrust 1 إلى أحد المواقع التالية:

• الكمبيوتر المحلي ← سلطات إصدار الشهادات الجذرية الموثوقة

  (يُوصى به للأنظمة المُدارة من قِبل المؤسسات)

أو

• المستخدم الحالي ← سلطات تصديق الجذر الموثوق بها

  (للثقة على مستوى المستخدم)

يثق Google Chrome في الشهادات التي يتم استيرادها باستخدام معالج استيراد شهادات Windows إلى هذه المواقع (بما في ذلك عبر سياسة المجموعة).

لا يثق Chrome تلقائيًا في الشهادات الجذرية التي لا توجد إلا في الطرف الثالث في Windows ما لم يتم استيرادها بشكل صريح كما هو موضح أعلاه.

نظام التشغيل Mac OS - تكوين الثقة المطلوب

لضمان ثقة Google Chrome في المرجع المصدق الجذري على macOS، يجب إضافة المرجع الجذري للقطاع العام IdenTrust 1 إلى سلسلة مفاتيح macOS والحصول على الوثوق به بشكل صريح:

1. قم باستيراد الشهادة إلى سلسلة مفاتيح النظام (مستحسن) أو سلسلة مفاتيح تسجيل الدخول

2. افتح الشهادة وقم بتعيين:

   • عند استخدام هذه الشهادة: ثق دائمًا

     (أو على الأقل، SSL: ثق دائمًا)

بمجرد الوثوق بها على مستوى النظام أو المستخدم، سيحترم Google Chrome الشهادة على أنها موثوقة.

يمكن للمسؤولين التحقق من شهادات النظام الأساسي التي يثق بها Chrome من خلال الانتقال إلى: chrome: //certificate-manager/loccerts/platformcerts

لمزيد من المعلومات، راجع الأسئلة الشائعة حول Google.

تتطلب عمليات تكامل الجهات الخارجية التحقق الأساسي من العميل.

بالنسبة لأي تطبيقات أو خدمات تابعة لجهات خارجية تنشئ اتصالات TLS/MTLS مع تطبيقات UC ذات المثيل المخصص، يجب على العملاء اتباع الإجراءات المذكورة في تغييرات شهادة CA العامة التي تؤثر على المثيل المخصص.

ستحتاج إلى التعاون مباشرةً مع المورد الخارجي أو مسؤول تكنولوجيا المعلومات إذا كانت تحديثات متجر الثقة مطلوبة. تقع التعديلات على مخازن الثقة التابعة لجهات خارجية أو سلوكيات التحقق من صحة الشهادات خارج مسؤوليات Cisco، ولا يمكن لـ Cisco المساعدة في تكوينات ثقة الشهادات من جهة خارجية أو استكشاف الأخطاء وإصلاحها.

يمكن للعملاء التحقق من صحة المرجع المرجعي العام الجديد باستخدام شهادة اختبار IdenTrust.

في حالة فتح الصفحة بنجاح، يتم الوثوق بـ IDENTrust Public Sector Root CA 1 في بيئتك.

إذا كانت لديك أسئلة بخصوص هذا التغيير أو سياسة متصفح Google Chrome أو تحديثات الشهادات في المثيل المخصص، فافتح طلب الخدمة في Control Hub ضمن دورة حياة تطبيق UC.

سيكون عملاء UCM Cloud (UCMC) الذين يمتلكون نطاقهم ويديرون عمليات تجديد شهادات تطبيق UC الخاصة بهم والذين لم يفوضوا سلطة المجال إلى Cisco لتوقيع شهادات تطبيق UC مسؤولين عن العمل مباشرة مع سلطات الشهادات العامة التي اختاروها لمعالجة هذا التغيير. 

يجب على هؤلاء العملاء أيضًا التوافق مع توصيات منتج تطبيق UC القابل للتطبيق (منتجات الاتصال من Cisco on-prem و Cisco Expressway) فيما يتعلق باستخدام الشهادة والمعالجة المتعلقة بـ CA العام القادم وتغييرات سياسة المتصفح. لمزيد من المعلومات، راجع الأدوار والمسؤوليات. 

ستستمر Cisco في تقديم التحديثات عندما يصبح دعم تطبيق UC لشهادات الخادم والعميل المنفصلة متاحًا. راجع هذا المستند للحصول على آخر التحديثات.

تغييرات EKU للشهادة: الإجراءات التي يجب على عملاء التعاون الداخلي لـ Cisco اتخاذها الآن