Děkujeme za vaši zpětnou vazbu.

Certifikáty můžete přidat z místního webového rozhraní zařízení. Alternativně můžete přidat certifikáty spuštěním příkazů rozhraní API. Informace o tom, které příkazy umožňují přidávat certifikáty, naleznete na stránce roomos .cisco.com.

Servisní certifikáty a důvěryhodné certifikační autority

Při použití TLS (Transport Layer Security) může být vyžadováno ověření certifikátu. Server nebo klient může vyžadovat, aby jim zařízení předložilo platný certifikát před nastavením komunikace.

Certifikáty jsou textové soubory, které ověřují pravost zařízení. Tyto certifikáty musí být podepsány důvěryhodnou certifikační autoritou (CA). Chcete-li ověřit podpis certifikátů, musí být v zařízení umístěn seznam důvěryhodných certifikačních autorit. Seznam musí obsahovat všechny certifikační autority potřebné k ověření certifikátů jak pro protokolování auditu, tak pro další připojení.

Certifikáty se používají pro následující služby: HTTPS server, SIP, IEEE 802.1X a protokolování auditu. V zařízení můžete uložit několik certifikátů, ale pro každou službu je povolen pouze jeden certifikát najednou.

Když v RoomOS říjen 2023 a novějším přidáte certifikát CA do zařízení, použije se také na připojené zařízení. Room Navigator Chcete-li synchronizovat dříve přidané certifikáty certifikační autority s připojenýmRoom Navigator, musíte restartovat zařízení. Pokud nechcete, aby periferie získala stejné certifikáty jako zařízení, ke kterému je připojeno, nastavte konfiguraci SynctoPeripherals Security Certificates SynctoPeripher als na hodnotu False.

Pro připojení Wi-Fi

Doporučujeme přidat důvěryhodný certifikát CA pro každé zařízení Board, Desk nebo Room Series, pokud vaše síť používá ověřování WPA-EAP. Musíte to provést individuálně pro každé zařízení a před připojením k Wi-Fi.

Podporované formáty certifikátů a klíčů

• Tento systém přijímá soubory certifikátů v PEM nebo binárním formátu.

• Soubory PEM mohou obsahovat jak certifikát, tak soukromý klíč ve stejném souboru.

• Soukromý klíč musí být ve stejném formátu jako certifikát; to znamená, že oba musí být buď PEM nebo binární.

• Podporované formáty binárních certifikátů zahrnují soubory X.509 s příponou .der, .cer nebo .crt a soubory PKCS7 s příponou.p7b.

• Podporované formáty binárních privátních klíčů zahrnují šifrované klíče RSA nebo DSA, obvykle s příponami .key, .der nebo .p8.

Certifikát a soukromý klíč jsou uloženy ve stejném souboru v zařízení. Pokud se ověřování nezdaří, spojení nebude navázáno.

Správci musí vygenerovat požadavek na podpis certifikátu (CSR) z Řídicího centra pro zařízení Board, Desk nebo Room Series registrované v cloudu.

Chcete-li vygenerovat CSR a nahrát podepsaný certifikát do zařízení, postupujte takto:

1. V zobrazení zákazníka v Control Hub přejděte na stránku Zařízení a vyberte zařízení ze seznamu.
2. Přejděte do nabídky Akce > Spustit XCommand > Zabezpečení > Certifikáty > CSR > Vytvořit.
3. Zadejte požadované údaje o certifikátu a vyberte možnost Spustit.
4. Zkopírujte veškerý text mezi ----BEGIN CERTIFICATE REQUEST---- a ----END CERTIFICATE REQUEST----.
5. K podepsání CSR použijte Certificate Authority (CA) dle vašeho výběru.
6. Exportujte podepsaný certifikát ve formátu PEM (kódovaný Base64).
7. Otevřete podepsaný soubor certifikátu v textovém editoru (např. Poznámkový blok) a zkopírujte veškerý text mezi ----BEGIN CERTIFICATE---- a ----END CERTIFICATE----.
8. V Řídicím centru přejděte na Zařízení > vyberte zařízení > Akce > Spustit XCommand > Zabez pečení > Certifikáty > CSR > Odkaz.
9. Vložte zkopírovaný obsah certifikátu do části Tělo a vyberte možnost Spustit.
10. Aktualizujte stránku a ověřte, zda se certifikát zobrazuje pod položkou Existující certifikát.

SCEP (Simple Certificate Enrollment Protocol) poskytuje automatizovaný mechanismus pro zápis a obnovení certifikátů, které se používají například ověřování 802.1X na zařízeních. SCEP umožňuje udržovat přístup zařízení k zabezpečeným sítím bez ručního zásahu.

• Pokud je zařízení nové nebo bylo obnoveno z továrního nastavení, potřebuje k dosažení adresy URL SCEP přístup k síti. Zařízení by mělo být připojeno k síti bez 802.1X, aby bylo možné získat adresu IP.

• Pokud používáte SSID pro bezdrátovou registraci, projděte si obrazovky přihlášení a nakonfigurujte připojení k síti.

• Jakmile jste připojeni k zajišťovací síti, zařízení nemusí být na konkrétní obrazovce pro přihlášení.

• Aby byly vhodné pro všechna nasazení, nebudou XAPI pro zápis SCEP ukládat certifikát certifikační autority použitý k podepsání certifikátu zařízení. Pro ověřování serveru musí být certifikát CA použitý k ověření certifikátu serveru přidán pomocí certifikátů zabezpečení XCommand CA Add.

Předpoklady

Potřebujete následující informace:

• Adresa URL serveru SCEP.

• Otisk podepisujícího certifikátu CA (Certificate Authority).

• Informace o certifikátu k zápisu. To tvoří název předmětu certifikátu.

  • Obecný název

  • Název země

  • Název státu nebo provincie

  • Název lokality

  • Název organizace

  • Organizační jednotka

• Název předmětu bude seřazen jako /C = /ST = /L = /O = /OU = /CN =

• Heslo výzvy serveru SCEP, pokud jste nakonfigurovali server SCEP tak, aby vynucoval OTP nebo sdílené tajemství.

Požadovanou velikost klíče pro dvojici klíčů požadavku na certifikát můžete nastavit pomocí následujícího příkazu. Výchozí hodnota je 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Zašleme žádost o certifikát, která je platná po dobu jednoho roku pro vypršení platnosti certifikátu. Zásady na straně serveru mohou změnit datum vypršení platnosti během podepisování certifikátu.

Připojení k síti Ethernet

Pokud je zařízení připojeno k síti, ujistěte se, že má přístup k serveru SCEP. Zařízení by mělo být připojeno k síti bez 802.1x, aby bylo možné získat adresu IP. Aby bylo možné získat adresu IP, bude možná nutné poskytnout zřizovací síti MAC adresu zařízení. MAC adresu najdete na uživatelském rozhraní nebo na štítku na zadní straně zařízení.

Poté, co je zařízení připojeno k síti, můžete do zařízení SSH jako správce získat přístup k TSH a poté spustit následující příkaz pro odeslání požadavku SCEP pro registraci:

xCommand Security Certificates Services Enrollment SCEP Request 

Jakmile server SCEP vrátí podepsaný certifikát zařízení, aktivujte protokol 802.1X.

Aktivujte podepsaný certifikát:

xCommand Security Certificates Services Activate 

Po aktivaci certifikátu restartujte zařízení.

Bezdrátové připojení

Pokud je zařízení připojeno k bezdrátové síti, ujistěte se, že má přístup k serveru SCEP.

Poté, co je zařízení připojeno k síti, můžete do zařízení SSH jako správce získat přístup k TSH a poté spustit následující příkaz pro odeslání požadavku SCEP pro registraci:

xCommand Security Certificates Services Enrollment SCEP Request 

Zařízení obdrží podepsaný certifikát ze serveru SCEP.

Aktivujte podepsaný certifikát:

xCommand Security Certificates Services Activate

Po aktivaci je třeba nakonfigurovat síť Wi-Fi s ověřováním EAP-TLS.

xCommand Network Wifi Configure 

Ve výchozím nastavení konfigurace Wi-Fi přeskočí kontroly ověření serveru. Pokud je vyžadováno pouze jednosměrné ověřování, ponechte Al lowMissingCA ve výchozím nastavení hodnotu True.

Chcete-li vynutit ověření serveru, ujistěte se, že je volitelný parametr allowMissingCA nastaven na hodnotu False. Pokud nelze navázat připojení kvůli chybám ověření služby, zkontrolujte, zda byla přidána správná certifikační autorita, abyste ověřili certifikát serveru, který se může lišit od certifikátu zařízení.

Popisy API

Role: administrátor, integrátor

xCommand Security Certificates Services Enrollment SCEP Request

Odešle CSR na daný SCEP server k podepsání. Parametry CSR SubjectName budou sestaveny v následujícím pořadí: C, ST, L, O, OU, CN.

Parametry:

• URL (y): <S: 0, 256>

  Adresa URL serveru SCEP.

• Otisk prstu (r): <S: 0, 128>

  Otisk certifikátu CA, který podepíše požadavek SCEP CSR.

• Společné jméno (y): <S: 0, 64>

  Přidá „/CN =“ do názvu subjektu CSR.

• VýzvaHeslo: <S: 0, 256>

  OTP nebo sdílené tajemství ze serveru SCEP pro přístup k podpisu.

• Název země: <S: 0, 2>

  Přidá „/C =“ do názvu subjektu CSR.

• Název státu nebo provincie: <S: 0, 64>

  Přidá „/ST=“ do názvu subjektu CSR.

• Název lokality: <S: 0, 64>

  Přidá „/L =“ do názvu subjektu CSR.

• Název organizace: <S: 0, 64>

  Přidá „/O=“ do názvu subjektu CSR.

• Organizační jednotka [5]: <S: 0, 64>

  Přidá do názvu subjektu CSR až 5 parametrů „/OU=“.

• SANDN [5]: <S: 0, 64>

  Přidá do alternativního názvu subjektu CSR až 5 parametrů Dns.

• SanEmail [5]: <S: 0, 64>

  Přidá až 5 parametrů e-mailu k alternativnímu názvu subjektu CSR.

• SaniP [5]: <S: 0, 64>

  Přidá až 5 parametrů IP k alternativnímu názvu subjektu CSR.

• SanUri [5]: <S: 0, 64>

  Přidá do alternativního názvu subjektu CSR až 5 parametrů Uri.

xCommand Security Certificates Services Enrollment Profiles Delete

Odstraní profil zápisu, aby již nebyly obnoveny certifikáty.

Parametry:

• Otisk prstu (r): <S: 0, 128>

  Otisk certifikátu CA, který identifikuje profil, který chcete odstranit. Můžete zobrazit dostupné profily, které chcete odebrat spuštěním:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Zobrazí seznam profilů zápisu pro obnovení certifikátu.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Přidejte profil zápisu pro certifikáty vydané otiskem prstu certifikační autority, abyste použili zadanou adresu URL SCEP k obnovení.

Obnovení

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Aby bylo možné certifikát automaticky obnovit, musí mít zařízení přístup k URL SCEP, která může certifikát rezignovat.

Jednou denně zařízení zkontroluje certifikáty, jejichž platnost vyprší po 45 dnech. Zařízení se poté pokusí obnovit tento certifikát, pokud jeho vydavatel odpovídá profilu.

POZNÁMKA: Všechny certifikáty zařízení budou zkontrolovány na obnovení, a to i v případě, že certifikát nebyl původně zaregistrován pomocí SCEP.

Navigátor

1. Přímé spárování: Zapsané certifikáty lze aktivovat jako certifikát „Párování“.

2. Vzdáleně spárované: Řekněte navigátoru, aby zapsal nový certifikát SCEP pomocí ID perifer ního zařízení:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Profily zápisu se automaticky synchronizují se spárovaným navigátorem.

3. Samostatný navigátor: Stejný jako zápis kodeku

Ověřování 802.1x můžete nastavit přímo z Room Navigator nabídky Nastavení.

Standard ověřování 802.1x je zvláště důležitý pro sítě Ethernet a zajišťuje, že přístup k síťovým prostředkům bude udělen pouze autorizovaná zařízení.

Na základě metody EAP nakonfigurované ve vaší síti jsou k dispozici různé možnosti přihlášení. Například:

• TLS: Uživatelské jméno a heslo se nepoužívají.
• PEAP: Certifikáty se nepoužívají.
• TTLS: Vyžaduje se uživatelské jméno/heslo i certifikáty; ani jeden není volitelný.

Existuje několik způsobů, jak získat klientský certifikát na zařízení:

1. Nahrávání PEM: Použijte funkci Přidat služby Security Certificates Services.
2. Vytvoření CSR: Vygenerujte požadavek na podpis certifikátu (CSR), podepište jej a propojte jej pomocí bezpečnostních certifikátů CSR Vytvořit/propojit.
3. SCEP: Využijte požadavek SCEP pro registraci služeb bezpečnostních certifikátů.
4. DHCP Možnost 43: Nakonfigurujte doručení certifikátu pomocí této možnosti.

Nastavení a aktualizace certifikátů pro 802.1x by mělo být provedeno před spáro váním Room Navigator se systémem nebo po obnovení továrního nastavení. Room Navigator

Výchozí přihlašovací údaje jsou admin a prázdné heslo. Další informace o tom, jak přidat certifikáty přístupem k rozhraní API, naleznete v nejnovější verzi průvodce API.

1. Otevřete ovládací panel v Navigátoru klepnutím na tlačítko v pravém horním rohu nebo přejetím prstem z pravé strany. Poté klepněte na Nastavení zařízení.
2. Přejděte na Síťové připojení a vyberte Ethernet.
3. Zapněte možnost Použít IEEE 802.1X.
   • Pokud je ověřování nastaveno s přihlašovacími údaji, zadejte identitu uživatele a přístupovou frázi. Můžete také zadat anonymní identitu: toto je volitelné pole, které poskytuje způsob, jak oddělit identitu skutečného uživatele od počátečního požadavku na ověření.
   • Ověření TLS můžete vypnout nebo zapnout. Když je ověření TLS zapnuto, klient aktivně ověří pravost certifikátu serveru během podání TLS. Když je ověření TLS vypnuto, klient neprovede aktivní ověření certifikátu serveru.
   • Pokud jste nahráli klientský certifikát přístupem k rozhraní API, zapněte možnost Použít klientský certifikát.
   • Přepněte metody protokolu EAP (Extensible Authentication Protocol), které chcete použít. Volba metody EAP závisí na konkrétních bezpečnostních požadavcích, infrastruktuře a schopnostech klienta. Metody EAP jsou klíčové pro zajištění bezpečného a ověřeného přístupu k síti.

Cisco nyní podporuje používání integrovaných certifikátů Secure Unique Device Identifier (SUDI) pro ověřování bezdrátové sítě 802.1x. Dříve byly certifikáty SUDI podporovány pouze pro ověřování Wired/LAN 802.1x.

Tato funkce je k dispozici od Ro omOS 26.7.1.7. Všechna zařízení se systémem RoomOS 26 tuto funkci podporují, zatímco v RoomOS 11 není podporována.

Chcete-li tuto funkci povolit, musí Cisco Identity Services Engine (ISE) pro síť Wi-Fi přidat do služby ISE TrustStore následující certifikáty certifikační autority:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Certifikát SUDI můžete aktivovat pomocí webového rozhraní zařízení výběrem možnosti použití certifikátu SUDI pro ověřování 802.1x.

Případně použijte následující příkaz:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Chcete-li najít otisk prstu SUDI, spusťte:

xCommand Security Certificates Services Show

Pokud je otisk prstu úspěšně aktivován, uvidíte v eventlog/auditlogu položky podobné následujícím:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Po aktivaci certifikátu SUDI nakonfigurujte síť Wi-Fi tak, aby používala ověřování EAP-TLS. To lze provést z dotykového panelu zařízení nebo obrazovky výběrem metody ověřování jako EAP-TLS.