Благодарим за обратната връзка.

Можете да добавяте сертификати от локалния уеб интерфейс на устройството. Като алтернатива можете да добавяте сертификати, като стартирате API команди. За да видите кои команди ви позволяват да добавяте сертификати, вижте roomos .cisco.com.

Сертификати за услуги и надеждни CA

При използване на TLS (Transport Layer Security) може да се наложи валидиране на сертификата. Сървър или клиент може да изисква устройството да им представи валиден сертификат, преди да бъде настроена комуникацията.

Сертификатите са текстови файлове, които проверяват автентичността на устройството. Тези сертификати трябва да бъдат подписани от доверен сертифициращ орган (CA). За да проверите подписа на сертификатите, на устройството трябва да се намира списък с надеждни АО. Списъкът трябва да включва всички КО, необходими за проверка на сертификатите както за регистриране на одита, така и за други връзки.

Сертификатите се използват за следните услуги: HTTPS сървър, SIP, IEEE 802.1X и регистриране на одит. Можете да съхранявате няколко сертификата на устройството, но само един сертификат е активиран за всяка услуга наведнъж.

На RooMOS октомври 2023 г. и по-късно, когато добавите CA сертификат към устройство, той се прилага и за Room Navigator ако е свързано. За да синхронизирате предварително добавените CA сертификати със свързанRoom Navigator, трябва да рестартирате устройството. Ако не искате периферните устройства да получават същите сертификати като устройството, към което е свързано, задайте конфигурацията Серти фикати за сигурност на периферни устройства SyncToPeripherals на False.

За Wi-Fi връзка

Препоръчваме ви да добавите доверен сертификат за сертификат за всяко устройство Board, Desk или Room Series, ако вашата мрежа използва удостоверяване WPA-EAP. Трябва да направите това индивидуално за всяко устройство и преди да се свържете с Wi-Fi.

Поддържани сертификати и ключови формати

• Тази система приема сертификатни файлове в PEM или двоичен формат.

• PEM файловете могат да съдържат както сертификата, така и частния ключ в един и същ файл.

• Частният ключ трябва да е в същия формат като сертификата; тоест и двата трябва да бъдат или PEM, или двоични.

• Поддържаните двоични формати на сертификати включват X.509 файлове с разширения .der, .cer или .crt и PKCS7 файлове с разширение.p7b.

• Поддържаните двоични формати на частни ключове включват RSA или DSA криптирани ключове, обикновено с разширения.key, .der или .p8.

Сертификатът и частният ключ се съхраняват в един и същ файл на устройството. Ако удостоверяването не успее, връзката няма да бъде установена.

Администраторите трябва да генерират заявка за подписване на сертификат (CSR) от Контролния център за регистрирано в облака устройство за табла, бюро или Room Series.

Изпълнете следните стъпки, за да генерирате КСО и да качите подписан сертификат на вашето устройство:

1. От изгледа на клиента в Control Hub отидете на страницата Устройства и изберете устройството си от списъка.
2. Отидете в Действия> Стартиране на XCommand > Защита > Сертификати > КСО > Създаване.
3. Въведете необходимите данни за сертификата и изберете Изпълнение.
4. Копирайте целия текст между ----BEGIN CERTIFICATE REQUEST---- и ----END CERTIFICATE REQUEST----.
5. Използвайте Certificate Authority (CA) по ваш избор, за да подпишете КСО.
6. Експортирайте подписания сертификат във формат PEM (Base64 кодиран).
7. Отворете подписания файл със сертификат в текстов редактор (например Notepad) и копирайте целия текст между ----BEGIN CERTIFICATE---- и ----END CERTIFICATE----.
8. В Контролния център отидете на Устройства > изберете вашето устройство > Действия > Стартиране на XCommand > Защита > Сер тификати > КСО > Връзка.
9. Поставете копираното съдържание на сертификата в секцията Тяло и изберете Изпълнение.
10. Обновете страницата, за да проверите дали сертификатът се показва под Съществуващ сертификат.

Simple Certificate Enrollment Protocol (SCEP) предоставя автоматизиран механизъм за записване и обновяване на сертификати, които се използват например 802.1X удостоверяване на устройства. SCEP ви позволява да поддържате достъпа на устройството до защитени мрежи без ръчна намеса.

• Когато устройството е ново или е възстановено фабрично, то се нуждае от достъп до мрежата, за да достигне до URL адреса на SCEP. Устройството трябва да бъде свързано към мрежата без 802.1X, за да получи IP адрес.

• Ако използвате SSID за безжично записване, преминете през екраните за внедряване, за да конфигурирате връзката с мрежата.

• След като сте свързани към мрежата за осигуряване, устройството не е необходимо да е на конкретен екран за внедряване.

• За да отговарят на всички внедрявания, SCEP Enrollment XAPI няма да съхраняват сертификата за сертификат, използван за подписване на сертификата на устройството. За удостоверяване на сървъра сертификат CA, използван за валидиране на сертификата на сървъра, трябва да бъде добавен с XCommand Security Certificates CA Add.

Предпоставки

Нуждаете се от следната информация:

• URL адрес на SCEP сървъра.

• Протов отпечатък на сертификата за подписване CA (Certificate Authority).

• Информация за сертификата за записване. Това съставлява предмет ното име на сертификата.

  • Общо име

  • Име на държавата

  • Наименование на държавата или провинцията

  • Име на местността

  • Име на организацията

  • Организационна единица

• Името на предмета ще бъде подредено като /C = /ST = /L = /O = /OU = /CN =

• Паролата за предизвикателство на SCEP Server, ако сте конфигурирали SCEP сървъра да наложи OTP или споделена тайна.

Можете да зададете необходимия размер на ключа за двойката ключове за заявка за сертификат, като използвате следната команда. По подразбиране е 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Изпращаме заявка за сертификат, която е валидна за една година за изтичане на сертификата. Правилата от страна на сървъра може да променя датата на изтичане по време на подписването на сертификата.

Ethernet връзка

Когато дадено устройство е свързано към мрежа, уверете се, че има достъп до SCEP сървъра. Устройството трябва да бъде свързано към мрежа без 802.1x, за да се получи IP адрес. Може да се наложи MAC адресът на устройството да бъде предоставен на мрежата за осигуряване, за да се получи IP адрес. MAC адресът може да бъде намерен в потребителския интерфейс или на етикета в задната част на устройството.

След като устройството е свързано към мрежата, можете да SSH към устройството като администра тор за достъп до TSH, след което изпълнете следната команда, за да изпратите заявката за записване SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

След като SCEP сървърът върне подписания сертификат за устройство, активирайте 802.1X.

Активирайте подписания сертификат:

xCommand Security Certificates Services Activate 

Рестартирайте устройството след активиране на сертификата.

Безжична връзка

Когато дадено устройство е свързано към безжична мрежа, уверете се, че има достъп до SCEP сървъра.

След като устройството е свързано към мрежата, можете да SSH към устройството като администра тор за достъп до TSH, след което изпълнете следната команда, за да изпратите заявката за записване SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Устройството получава подписания сертификат от SCEP сървъра.

Активирайте подписания сертификат:

xCommand Security Certificates Services Activate

След активирането трябва да конфигурирате Wi-Fi мрежата с EAP-TLS удостоверяване.

xCommand Network Wifi Configure 

По подразбиране конфигурацията на Wi-Fi пропуска проверките за валидиране на сървъра. Ако е необходимо само еднопосочно удостоверяване, запазете Al lowMissingCA по подразбиране на True.

За да принудите валидирането на сървъра, уверете се, че оп ционалният параметър AllowMissingCA е зададен на False. Ако връзка не може да бъде установена поради грешки при проверка на услугата, проверете дали е добавен правилният CA, за да проверите сертификата на сървъра, който може да е различен от сертификата на устройството.

Описания на API

Роля: Администратор, Интегратор

xCommand Security Certificates Services Enrollment SCEP Request

Изпраща КСО към даден SCEP сървър за подписване. Параметрите на CSR SubjectName ще бъдат конструирани в следния ред: C, ST, L, O, Ous, CN.

Параметри:

• URL адрес (r): <S: 0, 256>

  URL адресът на SCEP сървъра.

• Отпечатък (r): <S: 0, 128>

  CA сертификат за пръстов отпечатък, който ще подпише заявката за SCEP CSR.

• Общо име (r): <S: 0, 64>

  Добавя „/CN=“ към името на обекта на КСО.

• ПредизвикателствоПисмо: <S: 0, 256>

  OTP или Споделена тайна от SCEP сървъра за достъп до подписване.

• Име на държаваИме: <S: 0, 2>

  Добавя „/C=“ към името на обекта на КСО.

• Име на държава/провинция: <S: 0, 64>

  Добавя „/ST=“ към името на обекта на КСО.

• Локално име: <S: 0, 64>

  Добавя „/L=“ към името на обекта на КСО.

• Име на организацията: <S: 0, 64>

  Добавя „/O=“ към името на обекта на КСО.

• Организационна единица [5]: <S: 0, 64>

  Добавя до 5 параметъра „/OU=“ към името на обекта на КСО.

• SANDN [5]: <S: 0, 64>

  Добавя до 5 Dns параметъра към алтернативното име на CSR субекта.

• СанЕмейл [5]: <S: 0, 64>

  Добавя до 5 параметъра за имейл към алтернативното име на тема на КСО.

• СанИП [5]: <S: 0, 64>

  Добавя до 5 Ip параметъра към алтернативното име на обекта на КСО.

• СанУри [5]: <S: 0, 64>

  Добавя до 5 параметъра Uri към алтернативното име на обекта на КСО.

xCommand Security Certificates Services Enrollment Profiles Delete

Изтрива профил за записване, за да не подновява сертификатите.

Параметри:

• Отпечатък (r): <S: 0, 128>

  Протистов отпечатък за сертификат CA, който идентифицира профила, който искате да премахнете. Можете да видите наличните профили, които да премахнете, като стартирате:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Изброява профили за записване за подновяване на сертификата

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Добавете профил за записване за сертификати, издадени от пръстовия отпечатък на CA, за да използвате дадения SCEP URL адрес за подновяване.

Подновяване

xCommand Security Certificates Services Enrollment SCEP Profiles Set

За да поднови автоматично сертификата, устройството трябва да има достъп до SCEP URL адреса, който може да се откаже от сертификата.

Веднъж дневно устройството ще проверява за сертификати, които ще изтекат след 45 дни. След това устройството ще се опита да поднови този сертификат, ако неговият издател съответства на профил.

ЗАБЕЛЕЖКА: Всички сертификати на устройството ще бъдат проверени за подновяване, дори ако сертификатът първоначално не е бил регистриран с помощта на SCEP.

Навигатор

1. Директно сдвояване: Записаните сертификати могат да бъдат активирани като сертификат „Сдвояване“.

2. Отдалечено сдвояване: Кажете на навигатора да запише нов SCEP сертификат, използвайки идентификат ора на периферната система:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Профилите за записване се синхронизират автоматично със сдво ен навиг

3. Самостоятелен навигатор: Същото като записването на кодеци

Можете да настроите удостоверяване 802.1x директно от менюто Room Navigator Настройки.

Стандартът за удостоверяване 802.1x е особено важен за Ethernet мрежите и гарантира, че само оторизирани устройства получават достъп до мрежовите ресурси.

Налични са различни опции за вход въз основа на EAP метода, конфигуриран във вашата мрежа. Например:

• TLS: Потребителско име и парола не се използват.
• PEAP: Сертификатите не се използват.
• TTLS: Изискват се както потребителско име/парола, така и сертификати; нито един от тях не е задължителен.

Има няколко начина да получите клиентски сертификат на устройство:

1. Качете PEM: Използвайте функцията Добавяне на услуги за сертификати за сигурност.
2. Създайте КСО: Генерирайте заявка за подписване на сертификат (CSR), подпишете го и го свържете с помощта на сертификати за сигурност CSR Create/Link.
3. SCEP: Използвайте услуги за сертификати за сигурност Заявка за записване на SCEP.
4. DHCP Опция 43: Конфигурирайте доставката на сертификат чрез тази опция.

Настройването и актуализирането на сертификатите за 802.1x трябва да се извърши преди сдво яването на Room Navigator системата или след фабрично нулиране на. Room Navigator

Идентификационните данни по подразбиране са администратор и празна парола. За повече информация как да добавяте сертификати чрез достъп до API вижте най-новата версия на ръководството за API.

1. Отворете контролния панел на навигатора, като докоснете бутона в горния десен ъгъл или плъзнете от дясната страна. След това докоснете Настройки на устройството.
2. Отидете на Мрежова връзка и изберете Ethernet.
3. Превключване Използ вайте IEEE 802. 1X включено.
   • Ако удостоверяването е настроено с идентификационни данни, въведете идентичността на потребителя и паролата. Можете също да въведете анонимна самоличност: това е незадължително поле, което предоставя начин за отделяне на самоличността на действителния потребител от първоначалната заявка за удостоверяване.
   • Можете да изключите или включ ите TLS Veri fy. Когато TLS проверката е включена, клиентът активно проверява автентичността на сертификата на сървъра по време на TLS ръкостискането. Когато проверката на TLS е изключена, клиентът не извършва активна проверка на сертификата на сървъра.
   • Ако сте качили клиентски сертификат чрез достъп до API, включете Използване на клиентски сертификат.
   • Превключете методите на протокола за разширение за удостоверяване (EAP), които искате да използвате. Изборът на EAP метод зависи от специфичните изисквания за сигурност, инфраструктурата и възможностите на клиента. Методите за ЕАП са от решаващо значение за осигуряване на сигурен и удостоверен достъп до мрежата.

Cisco вече поддържа използването на вградените сертификати за защитен уникален идентификатор на устройството (SUDI) за безжи чно удостоверяване 802.1x. Преди това SUDI сертификатите бяха поддър жани само за Wired/LAN 802.1x удостоверяване.

Тази функция е налична, започвайки с RooMOS 26.7.1.7. Всички устройства, работещи с RooMOS 26, поддържат тази функция, докато тя не се поддържа на RooMOS 11.

За да активирате тази функция, Cisco Identity Services Engine (ISE) за Wi-Fi мрежата трябва да добави следните сертификати за CA към ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Можете да активирате SUDI сертификата с помощта на уеб интерфейса на устройството, като изберете опцията за използване на сертификата SUDI за удостоверяване 802.1x.

Като алтернатива, използвайте следната команда:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

За да намерите пръстовия отпечатък SUDI, стартирайте:

xCommand Security Certificates Services Show

Ако пръ стовият отпечатък се активира успешно, ще видите записи, подобни на следните в дневника на събития та/ аудит:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

След активиране на сертификата SUDI, конфигурирайте Wi-Fi мрежата да използва EAP-TLS удостоверяване. Това може да стане от сензорния панел или екрана на устройството, като изберете метода за удостоверяване като EAP-TLS.