Děkujeme za vaši zpětnou vazbu.

Cílem je informovat vás o nadcházející změně zásad prohlížeče Google Chrome, která má dopad na vydávání veřejných certifikátů TLS, a nastínit kroky, které společnost Cisco podnikne, aby zajistila trvalou podporu vzájemných připojení TLS (MTL) v prostředích Ded Cisco Webex Calling icated Instance a UCM Cloud.

Počínaje 1. úno ^rem 2027 přestanou veřejné certifikační autority (CA) zahrnuté v programu Google Chrome Trust podepisovat certifikáty, které zahrnují rozšířené použití klíčů EKU (Client Authen tication) (ClientAuth).

S účinností od 15. ^března 2027 společnost Google vynucuje zásady vyžadující, aby veřejné kořenové certifikační autority v kořenovém obchodě Chrome vydávaly certifikáty obsahující pouze EKU ověřování serveru (ServerAuth). Veřejné kořenové certifikační autority v kořenovém úložišti Chrome tak již nebudou moci vy dávat certifikáty, které kombinují EKU ověřování serveru a ověřování klienta do jediného certifikátu.

Aplikace UC s vyhrazenou instancí v současné době používají certifikáty, které obsahují EKU ověřování serveru a ověřování klienta v rámci jednoho certifikátu k vytvoření důvěryhodnosti pro připojení MTL. Podpora samostatných serverových a klientských certifikátů je nyní k dispozici s verzí aplikace UC V15su5.

Dedikovaná instance v současné době k podepisování těchto certifikátů používá IdenTrust Commercial Root CA 1, která je součástí kořenového úložiště Google Chrome. ^{Vzhledem k nadcházející změně zásad prohlížeče Chrome však tato certifikační autorita již nebude od 1. února 2027 oprávněna vydávat certifikáty obsahující obě EKU v jednom certifikátu.}

Ovlivněny certifikáty

Následující certifikáty aplikací UC jsou podepsány pomocí veřejné kořenové certifikační autority a běžně se používají pro připojení MTL:

Aplikace UC	Typ certifikátu	Běžné připojení MTL
Cisco Unified CM/MSP	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth přes MRA, Vzdálený Syslog
	Správce volání/ Správce volání-ECDSA	SIP kmeny, propojení mezi uzly a mezi klastry
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	SIP proxy, SIP trunky
Cisco IM a přítomnost	Tomcat/Tomcat-ECDSA	—
	šálek/pohár-ECDSA	Zabezpečený SIP s CUCM, klienty třetích stran, SIP Proxy
	pohárk-xmpp/pohár-XMPP-ECDSA	Federace XMPP
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Certifikát serveru	Mobilní a Remote Access (MRA)

Certifikáty nejsou ovlivněny

Všechny zbývající certifikáty ve vyhrazené instanci jsou podepsány vlastními silami. Další informace naleznete v tématu S práva certifikátů vyhrazených instancí.

Aby společnost Cisco vyřešila změnu zásad prohlížeče Chrome a zachovala nepřerušovanou funkčnost MTL, provede následující kroky:

• S účinností od 1. ^června 2026 společnost Cisco přepne veřejnou kořenovou CA používanou k podepis ování certifikátů aplikace Dedicated Instance UC z IdenTrust Commercial Root CA 1 na IdenTrust Public Sector Root CA 1 pro všechna obnovení certifikátů.

  Proces obnovení certifikátu zůstává stejný a Centrum upozornění Control Hub upozorní zákazníky prostřednictvím výstrahy „Údržba a výpadek“, když je obnovení naplánováno. Další informace naleznete v tématu Upozornění na údržbu.

• Certifikáty budou i nadále obsahovat EKU ověřování serveru i klienta.

Všechny aplikace nebo služby třetích stran v zákaznickém prostředí připojující aplikace UC ve vyhrazené instanci pomocí připojení TLS nebo MTL musí používat stejný řetězec certifikátů jako aplikace UC ve vyhrazené instanci. Pokud úložiště důvěryhodnosti zákaznických systémů nebo aplikací ještě neobsahuje požadované certifikační autority IdenTrust, musí být nový kořenový certifik át importován, aby se zabránilo selhání připojení TLS/MtLS.

1. Audit aktuálních připojení MTL
   1. Identifikujte aplikace, služby třetích stran nebo integrace, které se připojují k aplikacím UC ve vyhrazené instanci pomocí protokolu TLS nebo MTL.
   2. Ověřte, zda tyto aplikace důvěřují nové veřejné kořenové certifikační autoritě: IdenTrust Public S ector Root CA 1.
2. Přidejte novou veřejnou kořenovou certifikační autoritu (je-li požadováno)
   1. Pokud kořenová certifikační autorita IdenTrust Public Sector 1 již není důvěryhodná v zákaznické aplikaci nebo úložišti důvěryhodnosti systému, musí být přidána.
   2. Totéž lze stáhnout z následujících odkazů:

      Kořenová certifik ační autor ita: IdenTrust Public Sector Root CA 1

      Alternativní stránka ke stažení: IdenTrust Support Downloads

      Vydávání/podřízená certifikační autorita: IdenTrust Public Sector Server CA 1.

   Pro většinu aplikací stačí důvěřovat kořenové certifikační autoritě, pokud server představuje celý řetězec. Vystavování/podcertifikační autorita je výhodné zahrnout pro aplikace, které vyžadují, aby byl zprostředkující certifikát importován samostatně.

Kořenová certifikační autorita IdenTrust Public Sector 1 je ve výchozím nastavení důvěryhodná ve standardních úložištích důvěryhod nosti pro následující operační systémy a platformy:

• Microsoft Windows
• MacOS
• iOS /iPadOS
• Android

V důsledku toho je zákazník povinen pouze ověřit úložiště důvěryhodnosti pro tyto platformy, aby potvrdil, že kořenový certifikát nové veřejné certifikační autority je již uveden. To platí pro kon cové body/klienty nebo systémy třetích stran, které používají výchozí úložiště důvěryhodnosti na těchto platformách. Pokyny pro aktualizaci úložiště důvěryhodnosti na každé platformě jsou uvedeny v následujících částech. Odpovědnost za provádění těchto aktualizací nese zákazník nebo partner; níže uvedené odkazy a kroky odkazují na online články od příslušných dodavatelů platforem a společnost Cisco poskytuje pomoc s maximálním úsilím. Pro další objasnění musíte spolupracovat přímo s příslušnými dodavateli platforem.

Poznámka k obchodu důvěryhodnosti systému Android

Kořenová CA pro veřejný sektor IdenTrust Public Sector 1 je součástí úložiště CA systému Android a ve výchozím nastavení je důvěryhodná v aktuálně podporovaných verzích systému Android. Android neposkytuje veřejné mapování specifické pro verzi pro jednotlivá data zavedení kořenového certifikátu. Dů věra je spravována prostřednictvím úložiště CA systému Android a distribuována prostřednictvím aktualizací operačního systému a aktualizací systému Google Play.

Žádná akce zákazníka není nutná, pokud úložiště důvěryhodnosti systému Android nebylo výslovně změněno zásadami zařízení, ovládacími prvky správy podniku nebo omezeními důvěryhodnosti specifickými pro konkrétní aplikace.

Kořenová CA pro veřejný sektor IdenTrust Public Sector 1 není součástí kořenového obchodu Google Chrome.

Aby bylo zajištěno, že Google Chrome důvěřuje certifikátům vydaným v rámci této kořenové certifikační autority, musí zákazníci zajistit , aby byl kořenový certifikát výslovně důvěryhodný na úrovni operačního systému v místech, která Chrome používá pro místní rozhodnutí o důvěryhodnosti.

Windows — požadovaná konfigurace důvěryhodnosti

Aby bylo zajištěno, že kořenová certifikační autorita bude v prohlížeči Google Chrome v systému Windows důvěryhodná, musí být kořenová certifikační autorita IdenTrust Public Sector 1 importována do jednoho z následujících umístění:

• Místní počítač → Důvěryhodné kořenové certifikační autority

  (Doporučeno pro podnikové systémy)

nebo

• Aktuální uživatel → Důvěryhodné kořenové certifikační autority

  (Pro důvěryhodnost na úrovni uživatele)

Certifikáty importované pomocí Průvodce importem certifikátů systému Windows do těchto umístění (včetně zásad skupiny) jsou důvěryhodné v prohlížeči Google Chrome.

Kořenovým certifikátům, které existují pouze v systému Windows třetí strany, Chrome automaticky nedů věřuje, pokud nejsou explicitně importovány, jak je popsáno výše.

Mac OS — požadovaná konfigurace důvěryhodnosti

Aby bylo zajištěno, že kořenová certifikační autorita je důvěryhodná v prohlížeči Google Chrome v systému macOS, musí být kořenová CA pro veřejný sektor IdenTrust 1 přidána do klíčenky macOS a musí být výslovně důvěryhodná:

1. Import certifikátu do systémové klíčenky (doporučeno) nebo přihlašovací klíčenky

2. Otevřete certifikát a nastavte:

   • Při použití tohoto certifikátu: Vždy důvěřujte

     (nebo minimálně SSL: Vždy důvěřovat)

Jakmile bude Google Chrome důvěryhodný na úrovni systému nebo uživatele, bude certifikát uznávat jako důvěryhodný.

Správci mohou ověřit, kterým certifikátům platformy Chrome důvěřuje, na adrese: chrome: //certificate-manag er/localcerts/platformcerts

Další informace najdete v části Nej častější dotazy Google.

Integrace třetích stran vyžaduje primární ověření zákazníka.

U všech aplikací nebo služeb třetích stran, které navazují spojení TLS/MTL s aplikacemi UC dedikovaných instancí, musí zákazníci postupovat podle kroků uvedených v části Změny certifikátu veřejné certifikační autority ovlivňující vyhrazenou instanci.

Pokud jsou vyžadovány aktualizace úložiště důvěryhodnosti, budete muset spolupracovat přímo s dodavatelem třetí strany nebo správcem IT. Úpravy úložišť důvěryhodnosti třetích stran nebo chování při ověřování certifikátů nespadají do odpovědnosti společnosti Cisco a společnost Cisco nemůže pomoci s konfigurací důvěryhodnosti certifik átů třetích stran nebo odstraňováním problémů.

Zákazníci mohou ově řit novou veřejnou kořenovou certifikační autoritu pomocí testovacího certifikátu I denTrust.

Pokud se stránka úspěšně otevře, bude kořenová CA pro veřejný sektor IdenTrust Public Sector 1 ve vašem prostředí důvěryhodná.

Máte-li dotazy týkající se této změny, zásad prohlížeče Google Chrome nebo aktualizací certifikátů ve vyhrazené instanci, otevřete požadavek na službu v Control Hub v části Živo tní styl aplikace UC.

Zákazníci UCM Cloud (UCMC), kteří vlastní svou doménu a spravují vlastní obnovení certifikátů aplikací UC a kteří nedelegovali oprávnění domény společnosti Cisco pro podepisování aplikačních certifikátů UC, budou odpovědní za přímou spolupráci s vybranými veřejnými certifikačními autoritami při řešení této změny. 

Tito zákazníci by se také měli shodovat s doporučeními příslušného aplikačního produktu UC (produkty Cisco on-prem call products a Cisco Expressway) týkající se používání certifikátů a nápravy souvisejících s nadcházejícími změnami zásad veřejné certifikační autority a prohlížeče. Další informace naleznete v tématu R ole a odpovědnosti. 

Společnost Cisco bude i nadále poskytovat aktualizace, jakmile bude k dispozici podpora aplikací UC pro samostatné serverové a klientské certifikáty. Nejnovější aktualizace najdete v tomto dokumentu.

Změny certifikátu EKU: Akce, které musí zákazníci Cisco On-premises Collaboration PROVÉST NYNÍ