Благодарим за обратната връзка.

Това е, за да ви информира за предстоящата промяна в правилата на браузъра на Google Chrome, която влияе върху издаването на публични TLS сертификати, и да очертае действията, които Cisco ще предприеме, за да осигури постоянна поддръжка за взаимни TLS (MTL) връзки в среди със Cisco Webex Calling специална инстанция и UCM Cloud.

^{От 1 февруари 2027 г. публичните органи за удостоверяване (CA), включени в програмата Google Chrome Trust, ще спрат да подписват сертификати, които включват разширеното използване на ключове за удостоверяване на клиента (ClientAuth) (EKU).}

^{В сила от 15 март 2027 г. Google ще приложи политика, изискваща публичните корен ни агенции в основния магазин на Chrome да издават сертификати, съдържащи само EKU за удостоверяване на сървъра (ServerAuth).} В резултат на това публичните коренни агенции в основния магазин на Chrome вече няма да имат право да издават сертификати, които комбинират както Удостоверяване на сървъра, така и EKU за удостоверяване на клиента в един сертификат.

Понастоящем приложенията със специален инстанционен UC използват сертификати, които включват както сървърно удостоверяване, така и EKU за удостоверяване на клиента в рамките на един сертификат, за да установят довери е за MTL връзки. Поддръжката на отделни сървърни и клиентски сертификати вече е достъпна с версия на UC приложението v15su5.

Понастоящем специалният екземпляр използва IDtrust Commercial Root CA 1, част от основния магазин на Google Chrome, за да подпише тези сертификати. ^{Въпреки това, поради предстоящата промяна в правилата на Chrome, този сертификат вече няма да има право да издава сертификати, съдържащи и двата EKU в един сертификат, започвайки от 1 февруари 2027 г.}

Засегнати сертификати

Следните сертификати за приложения на UC са подписани с помощта на публичен корен CA и обикновено се използват за MTL връзки:

UC приложение	Тип сертификат	Общи MTL връзки
Cisco Unified CM/МСП	Томкат/Томкат-ECDSA	LDAP, Бийт на файлове, Logstash, SIP OAuth през MRA, дистанционно системно управление
	Мениджър на повиквания/мениджър на повиквания-EC	SIP стволове, междувъзлови и междуклъстерни връзки
Cisco Unity Connection	Томкат/Томкат-ECDSA	SIP прокси, SIP стволове
Им и присъствие на Cisco	Томкат/Томкат-ECDSA	—
	чаша/чаша-ECDSA	Защитете SIP с CUCM, клиенти на трети страни, SIP прокси
	чаша-xmpp /чашка-xMPP-ECDSA	Федерация XMPP
Cisco Emergency Responder	Томкат/Томкат-ECDSA	—
Cisco Expressway	Сертификат сървър	Мобилни и Remote Access (MRA)

Сертификатите не са засегнати

Всички останали сертификати в специална инстанция са самоподписани. За допълнителна информация вижте Управление на сертификати за специален екземпляр.

За да се справи с промяната на правилата на Chrome и да поддържа непрекъсната функционалност на MTL, Cisco ще предприеме следните действия:

• ^{В сила от 1 юни 2026 г. Cisco ще прехвърли публичния корен CA, използван за подписване на сертификати за приложение на специален инстанционен UC, от iTrust Commercial Root CA 1 към IDtrust Public Sector Root CA 1 за всички подновявания на сертификати.}

  Процесът на подновяване на сертификата остава същият и Центърът за предупреждения на контролния център уведомява клиентите чрез предупреждението „Под дръжка и прекъс ване“, когато подновяването е планирано. За повече информация вижте Предупре ждения за поддръжка.

• Сертификатите ще продължат да включват както EKU за удостоверяване на сървъра, така и на клиента.

Всички приложения или услуги на трети страни в клиентската среда, свързващи UC приложения в специална инстанция, използващи TLS или MTLS връзки, трябва да използват същата верига на сертификати като приложенията на UC в специален екземпляр. Ако хранилището за доверие на клиентските системи или приложения вече не включва необходимите органи за сертификат IDEntrust, новият основен сертификат трябва да бъде импортиран, за да се предотвратят неуспехи във връзка с TLS/MTLS.

1. Одит на текущите MTL връзки
   1. Идентифицирайте приложения, услуги на трети страни или интеграции, които се свързват с UC приложения в специален екземпляр с помощта на TLS или MTL.
   2. Проверете дали тези приложения се доверяват на новия публичен корен CA: IDEntrust Public Sector Root CA 1.
2. Добавете новия публичен корен CA (ако е необходимо)
   1. Ако IDtrust Public Sector Root CA 1 вече не се доверява в клиентското приложение или системния магазин за доверие, той трябва да бъде добавен.
   2. Същото може да бъде изтеглено от следните връзки:

      Root CA: IDtrust Корен от публичния сектор CA 1

      Алтернативна страница за изтегляне: Изтегля ния за поддръжка на ID Entrust

      Издаване/под-CA: IDEntrust сървър за публичния сектор CA 1.

   За повечето приложения доверието на Root CA е достатъчно, ако сървърът представи цялата верига. Издаването/Sub CA е полезно да се включи за заявления, които изискват междин ния сертификат да се внася отделно.

IDtrust Public Sector Root CA 1 се доверява по подразбиране в стандартните доверителни магазини за следните операционни системи и платформи:

• Microsoft Windows
• macOS
• iOS /iPadOS
• Android

В резултат на това клиентът е длъжен само да потвърди доверителните магазини за тези платформи, за да потвърди, че основният сертификат на новия Public CA вече е изброен. Това се отнася за крайни точки/клиенти или системи на трети страни, които използват магазините за доверие по подразбиране на тези платформи. Инструкции за актуализиране на магазина за доверие на всяка платформа са предоставени в разделите по-долу. Отговорността за извършването на тези актуализации е на Клиента или Партньора; връзките и стъпките по-долу се позовават на онлайн статии от съответните доставчици на платформи, а Cisco предоставя помощ с най-добри усилия. За по-нататъшно изясняване трябва да работите директно със съответните доставчици на платформи.

Бележка за магазина за доверие

IDtrust Public Sector Root CA 1 е включен в магазина за CA на системата Android и се доверява по подразбиране в поддържаните в момента версии на Android. Android не предоставя публично, специфично за вер сията картографиране за индивидуални дати на въвеждане на основен сертификат. Довери ето се управлява чрез магазина за CA на системата Android и се разпространява чрез актуализации на операционната система и актуализации на системата Google Play.

Не се изискват действия от клиенти, освен ако магазинът за доверие на системата на Android не е изрично променен от правилата на устройствата, контролите за управление на предприятието или специфичните за приложението ограничения за довери е.

IDtrust Root CA 1 от публичния сектор не е включен в основния магазин на Google Chrome.

За да се гарантира, че Google Chrome се доверява на сертификати, издадени съгласно този основен сертификат, клиентите трябва да гаранти рат, че основният сертификат е изрично доверен на ниво операционна система на места, които Chrome използва за локални решения за доверие.

Windows — необходима конфигурация на доверие

За да се гарантира, че root CA се доверява от Google Chrome в Windows, IDtrust Root CA 1 трябва да бъде импортиран в едно от следните места:

• Локален компютър → Надеждни коренни органи за сертифициране

  (Препоръчва се за системи, управлявани от предприятия)

или

• Текущ потребител → Надеждни органи за основно сертифициране

  (За доверие на ниво потребител)

Сертификатите, импортирани с помощта на съветника за импортиране на сертификати на Windows в тези местоположения (включително чрез групови правила), се доверяват от Google Chrome.

Основните сертификати, които съществуват само в третата страна на Windows, не се доверяват автоматично от Chrome, освен ако не са изрично импортирани, както е описано по-горе.

Mac OS — необходима конфигурация на доверие

За да се гарантира, че root CA се доверява от Google Chrome в macOS, IDtrust Public Sector Root CA 1 трябва да бъде добавен към ключодържателя на macOS и да се има изрично доверие:

1. Импортирайте сертификата в системния ключодържател (препоръчва се) или ключодържател за вход

2. Отворете сертификата и задайте:

   • Когато използвате този сертификат: Винаги се доверявайте

     (или минимум SSL: Винаги се доверявайте)

След като се има доверие на системно или потребителско ниво, Google Chrome ще уважи сертификата като доверен.

Администраторите могат да проверят на кои платформени сертификати се доверяват от Chrome, като отидат до: chrome: //certificate-manager/localcerts/platformcerts

За повече информация вижте Често задавани въпроси в Google.

Интеграциите на трети страни изискват първично валидиране на клиентите.

За всички приложения или услуги на трети страни, които установяват TLS/MTLS връзки с UC приложения за специализирани инстанции, клиентите трябва да следват действията, посочени в промените в публичния сертификат за проверка, засягащи специализираната инстанция.

Ще трябва да си сътрудничите директно с вашия доставчик на трета страна или ИТ администратор, ако са необходими актуализации на доверения магазин. Модификациите в магазините за доверие на трети страни или повед ението за проверка на сертификати са извън отговорностите на Cisco и Cisco не може да съдейства при конфигурации на доверие на сертификати на трети страни или отстраняване на неизправности

Клиентите могат да потвърдят новия Public Root CA, като използват тестовия сертификат IDenTrust.

Ако страницата се отвори успешно, на IDEntrust Public Sector Root CA 1 се доверява във вашата среда.

Ако имате въпроси относно тази промяна, правилата за браузъра на Google Chrome или актуализациите на сертификатите в специален екземпляр, отворете заявка за услуга в контролния център под жизнения цикъл на приложението U C.

Клиентите на UCM Cloud (UCMC), които притежават своя домейн и управляват собствените си подновявания на сертификат за UC приложение и които не са делегирали правомощията на домейна на Cisco за подписване на сертификати за приложения на UC, ще бъдат отговорни за директната работа с избраните от тях органи за публични сертификати за справяне с тази промяна. 

Тези клиенти трябва също така да се придържат към приложимия продукт за приложение на UC (продукти на Cisco On-Prem Call Cisco Expressway) препоръки относно използването на сертификати и коригирането, свързани с предстоящите промени в политиката за публична проверка и браузъра. За повече информация вижте Рол и и отговорности. 

Cisco ще продължи да предоставя актуализации, тъй като поддръжката на UC приложения за отделни сървърни и клиентски сертификати стане достъпна. Вижте този документ за последните актуализации.

Промени в EKU на сертификата: действия Клиентите за локално сътрудничество на Cisco трябва да предприемат сега