Tak for din feedback.

Du kan tilføje certifikater fra enhedens lokale webgrænseflade. Alternativt kan du tilføje certifikater ved at køre API-kommandoer. Se roomos .cisco.com for at se, hvilke kommandoer der giver dig mulighed for at tilføje certifikater.

Servicecertifikater og betroede CA'er

Certifikatvalidering kan være påkrævet, når du bruger TLS (Transport Layer Security). En server eller klient kan kræve, at enheden præsenterer et gyldigt certifikat for dem, før kommunikationen konfigureres.

Certifikaterne er tekstfiler, der bekræfter enhedens ægthed. Disse certifikater skal underskrives af en betroet certifikatmyndighed (CA). For at bekræfte certifikaternes signatur skal der være en liste over godkendte CA'er på enheden. Listen skal indeholde alle CA'er, der er nødvendige for at verificere certifikater for både overvågningslogføring og andre forbindelser.

Certifikater bruges til følgende tjenester: HTTPS-server, SIP, IEEE 802.1X og overvågningslogføring. Du kan gemme flere certifikater på enheden, men kun ét certifikat er aktiveret for hver tjeneste ad gangen.

Når du føjer et CA-certifikat til en enhed på RoomOS oktober 2023 og senere, anvendes det også på et, Room Navigator hvis der er tilsluttet et certifikat. Hvis du vil synkronisere de tidligere tilføjede CA-certifikater til en tilsluttetRoom Navigator, skal du genstarte enheden. Hvis du ikke ønsker, at de eksterne enheder skal have de samme certifikater som den enhed, den er tilsluttet til, skal du indstille konfigurationen Sikkerhedscertifikater for eksterne enheder SyncToPeripher als til False.

Til Wi-Fi-forbindelse

Vi anbefaler, at du tilføjer et godkendt CA-certifikat for hver enhed i Board, Desk eller Room Series-enheden, hvis netværket bruger WPA-EAP-godkendelse. Du skal gøre dette individuelt for hver enhed, og før du opretter forbindelse til Wi-Fi.

Understøttede certifikat- og nøgleformater

• Dette system accepterer certifikatfiler i enten PEM eller binære formater.

• PEM-filer kan indeholde både certifikatet og den private nøgle inden for den samme fil.

• Den private nøgle skal være i samme format som certifikatet; det vil sige, begge skal være enten PEM eller binære.

• Understøttede binære certifikatformater omfatter X.509-filer med filtypenavnet .der, .cer eller.crt og PKCS7-filer med filtypenavnet.p7b.

• Understøttede binære private nøgleformater omfatter RSA- eller DSA-krypterede nøgler, typisk med udvidelser.key, .der eller .p8.

Certifikatet og den private nøgle gemmes i den samme fil på enheden. Hvis godkendelsen mislykkes, oprettes forbindelsen ikke.

Administratorer skal generere en anmodning om certifikatsignering (CSR) fra Control Hub for en cloud-registreret enhed i Board, Desk eller Room Series-enheden.

Følg disse trin for at generere en CSR og uploade et underskrevet certifikat til din enhed:

1. Gå til siden Enheder fra kundevisningen i Control Hub, og vælg din enhed på listen.
2. Gå til Handlinger > Kør XCommand > Sikkerhed > Certifikater > CSR > Opret.
3. Indtast de krævede certifikatoplysninger, og vælg Udfør.
4. Kopier al teksten mellem ----BEGIN CERTIFICATE REQUEST ----- og ----END CERTIFICATE REQUEST -----.
5. Brug en Certificate Authority (CA) efter eget valg til at underskrive CSR.
6. Eksporter det underskrevne certifikat i PEM-format (Base64-kodet).
7. Åbn den underskrevne certifikatfil i en teksteditor (f.eks. Notepad) og kopier al teksten mellem ----BEGIN CERTIFICATE---- og ----END CERTIFICATE----.
8. Gå til Enheder > vælg din enhed > Handlinger > Kør XCommand > Sikkerhed > Certifikater > CSR > Link i Control Hub.
9. Indsæt det kopierede certifikatindhold i afsnittet Brødtekst, og vælg Udfør.
10. Opdater siden for at kontrollere, at certifikatet vises under Eksisterende certifikat.

SCEP (Simple Certificate Enrollment Protocol) indeholder en automatiseret mekanisme til tilmelding og opdatering af certifikater, der bruges for eksempel 802.1X- godkendelse på enheder. SCEP giver dig mulighed for at opretholde enhedens adgang til sikre netværk uden manuel indgriben.

• Når enheden er ny eller er blevet fabriksindstillet, har den brug for netværksadgang for at nå SCEP-URL'en. Enheden skal være tilsluttet netværket uden 802.1X for at få en IP-adresse.

• Hvis du bruger et trådløst tilmeldingsSSID, skal du gå gennem onboarding-skærmene for at konfigurere forbindelsen til netværket.

• Når du har oprettet forbindelse til klargøringsnetværket, behøver enheden ikke at være på en bestemt onboarding-skærm.

• For at passe til alle implementeringer gemmer SCEP-registrerings-XAPI'erne ikke det CA-certifikat, der blev brugt til at underskrive enhedscertifikatet. Til servergodkendelse skal det CA-certifikat, der bruges til at validere serverens certifikat, tilføjes med XCommand Security Certificates CA Add.

Forudsætninger

Du har brug for følgende oplysninger:

• SCEP-serverens URL.

• Fingeraftryk af det underskrivende CA (Certificate Authority) certifikat.

• Oplysninger om certifikatet til tilmelding. Dette udgør certifik atets emnenavn.

  • Almindeligt navn

  • Landets navn

  • Navn på stat eller provins

  • Lokalitetsnavn

  • Organisationsnavn

  • Organisationsenhed

• Emnenavnet sorteres som /C = /ST = /L = /O = /OU = /CN =

• SCEP-serverens udfordringsadgangskode, hvis du har konfigureret SCEP-serveren til at håndhæve en OTP eller delt hemmelighed.

Du kan indstille den nødvendige nøglestørrelse for certifikatanmodningsnøgleparret ved hjælp af følgende kommando. Standard er 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Vi sender en certifikatanmodning, der er gyldig i et år for certifikatets udløb. Politikken på serversiden kan ændre udløbsdatoen under certifikatunderskrivelsen.

Ethernet-forbindelse

Når en enhed er tilsluttet et netværk, skal du sørge for, at den kan få adgang til SCEP-serveren. Enheden skal være forbundet til et netværk uden 802.1x for at få en IP-adresse. Enhedens MAC-adresse skal muligvis leveres til provisioneringsnetværket for at få en IP-adresse. MAC-adressen kan findes på brugergrænsefladen eller på etiketten bag på enheden.

Når enheden er tilsluttet netværket, kan du SSH til enheden som administrator for at få adgang til TSH og derefter køre følgende kommando for at sende SCEP-anmodningen om tilmelding:

xCommand Security Certificates Services Enrollment SCEP Request 

Når SCEP-serveren returnerer det underskrevne enhedscertifikat, skal du aktivere 802.1X.

Aktiver det underskrevne certifikat:

xCommand Security Certificates Services Activate 

Genstart enheden efter aktivering af certifikatet.

Trådløs forbindelse

Når en enhed er tilsluttet et trådløst netværk, skal du sørge for, at den kan få adgang til SCEP-serveren.

Når enheden er tilsluttet netværket, kan du SSH til enheden som administrator for at få adgang til TSH og derefter køre følgende kommando for at sende SCEP-anmodningen om tilmelding:

xCommand Security Certificates Services Enrollment SCEP Request 

Enheden modtager det underskrevne certifikat fra SCEP-serveren.

Aktiver det underskrevne certifikat:

xCommand Security Certificates Services Activate

Efter aktivering skal du konfigurere Wi-Fi-netværket med EAP-TLS-godkendelse.

xCommand Network Wifi Configure 

Som standard springer Wi-Fi-konfigurationen over servervalideringskontrol. Hvis kun envejsgodkendelse er påkrævet, skal du holde allowMissingCA som standard True.

Hvis du vil tvinge servervalidering, skal du sikre dig, at parameteren allowMissingCA valgfri er indstillet til False. Hvis en forbindelse ikke kan oprettes på grund af servicevalideringsfejl, skal du kontrollere, at den korrekte CA er blevet tilføjet for at bekræfte servercertifikatet, som kan være anderledes end enhedscertifikatet.

API-beskrivelser

Rolle: Administrator, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Sender en CSR til en given SCEP-server til signering. CSR SubjectName parametrene vil blive konstrueret i følgende rækkefølge: C, ST, L, O, OU'er, CN.

Parametre:

• URL (r): <S: 0, 256>

  URL-adressen på SCEP-serveren.

• Fingeraftryk (r): <S: 0, 128>

  CA-certifikatfingeraftryk, der vil underskrive SCEP-anmodningen CSR.

• Fælles navn (r): <S: 0, 64>

  Tilføjer „/CN =“ til CSR-emnenavnet.

• UdfordringsPassword: <S: 0, 256>

  OTP eller Shared Secret fra SCEP-serveren for adgang til at underskrive.

• Landnavn: <S: 0, 2>

  Tilføjer „/C =“ til CSR-emnenavnet.

• Statens eller provinsens navn: <S: 0, 64>

  Tilføjer „/ST =“ til CSR-emnenavnet.

• Lokalitetsnavn: <S: 0, 64>

  Tilføjer „/L =“ til CSR-emnenavnet.

• Organisationsnavn: <S: 0, 64>

  Tilføjer „/O =“ til CSR-emnenavnet.

• Organisationsenhed [5]: <S: 0, 64>

  Tilføjer op til 5 „/OU =“ parametre til CSR-emnenavnet.

• SANDNs [5]: <S: 0, 64>

  Tilføjer op til 5 DNS-parametre til CSR-emnealternativnavnet.

• SanEmail [5]: <S: 0, 64>

  Tilføjer op til 5 e-mail-parametre til CSR-emnealternativnavnet.

• SaniP [5]: <S: 0, 64>

  Tilføjer op til 5 Ip-parametre til CSR-emnealternativnavnet.

• Sanuri [5]: <S: 0, 64>

  Tilføjer op til 5 Uri-parametre til CSR-emnealternativnavnet.

xCommand Security Certificates Services Enrollment Profiles Delete

Sletter en tilmeldingsprofil for ikke længere at forny certifikater.

Parametre:

• Fingeraftryk (r): <S: 0, 128>

  CA-certifikatfingeraftrykket, der identificerer den profil, du ønsker at fjerne. Du kan se de tilgængelige profiler, der skal fjernes ved at køre:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Viser tilmeldingsprofiler til fornyelse af certifikat.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Tilføj en tilmeldingsprofil for certifikater udstedt af CA-fingeraftrykket for at bruge den givne SCEP-URL til fornyelse.

Fornyelse

xCommand Security Certificates Services Enrollment SCEP Profiles Set

For automatisk at forny certifikatet skal enheden være i stand til at få adgang til SCEP-webadressen, der kan fratræde certifikatet.

En gang dagligt kontrollerer enheden for certifikater, der udløber med 45 dage. Enh eden vil derefter forsøge at forny disse certifikater, hvis deres udsteder matcher en profil.

BEMÆRK: Alle enhedscertifikater kontrolleres for fornyelse, selvom certifikatet ikke oprindeligt blev tilmeldt ved hjælp af SCEP.

Navigator

1. Direkte parring: Registrerede certifikater kan aktiveres som „Parring“ -certifikat.

2. Fjernparret: Bed navigatøren om at tilmelde et nyt SCEP-certifikat ved hjælp af det perifere enheds id:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Tilmeldingsprofiler synkroniseres automatisk til parret navigator.

3. Stand-alone Navigator: Samme som codec-tilmelding

Du kan konfigurere 802.1x-godkendelse direkte fra menuen Room Navigator Indstillinger.

802.1x-godkendelsesstandarden er særlig vigtig for Ethernet-netværk, og den sikrer, at kun autoriserede enheder får adgang til netværksressourcerne.

Forskellige loginindstillinger er tilgængelige baseret på den EAP-metode, der er konfigureret i dit netværk. For eksempel:

• TLS: Brugernavn og adgangskode bruges ikke.
• PEAP: Certifikater bruges ikke.
• TTLS: Både brugernavn/adgangskode og certifikater er påkrævet; ingen af dem er valgfri.

Der er flere måder at få klientcertifikatet på en enhed:

1. Upload PEM: Brug funktionen Tilføj sikkerhedscertifikattjenester.
2. Opret CSR: Generer en anmodning om certifikatsignering (CSR), underskriv den, og sammenkæd den ved hjælp af sikkerhedscertifikater CSR Opret/sammenkæd.
3. SCEP: Brug SCEP-anmodning om tilmelding til sikkerhedscertifikattjenester.
4. DHCP-indstilling 43: Konfigurer certifikatleveringen via denne indstilling.

Opsætning og opdatering af certifikaterne for 802.1x skal udføres før parring Room Navigator til et system, eller efter fabriksindstilling af. Room Navigator

Standardoplysningerne er admin og tom adgangskode. Du kan finde flere oplysninger om, hvordan du tilføjer certifikater ved at få adgang til API 'en, i den nyeste version af API-guiden.

1. Åbn kontrolpanelet på Navigator ved at trykke på knappen i øverste højre hjørne eller stryge fra højre side. Tryk derefter på Enhedsindstillinger.
2. Gå til Netværksforbindelse, og vælg Ethernet.
3. Slå Brug IEEE 802.1X til.
   • Hvis godkendelse er konfigureret med legitimationsoplysninger, skal du indtaste brugeridentiteten og adgangssætningen. Du kan også angive en anonym identitet: Dette er et valgfrit felt, der giver mulighed for at adskille den faktiske brugers identitet fra den oprindelige godkendelsesanmodning.
   • Du kan slå TLS-bekræftelse fra eller til. Når TLS-bekræftelse er slået TIL, verificerer klienten aktivt ægtheden af serverens certifikat under TLS-håndtrykket. Når TLS-bekræftelse er slået FRA, udfører klienten ikke aktiv verifikation af serverens certifikat.
   • Hvis du har uploadet et klientcertifikat ved at få adgang til API'en, skal du slå Brug klientcertifikat til.
   • Skift mellem de EAP-metoder (Extensible Authentication Protocol), du vil bruge. Valget af EAP-metode afhænger af de specifikke sikkerhedskrav, infrastruktur og klientfunktioner. EAP-metoder er afgørende for at muliggøre sikker og godkendt netværksadgang.

Cisco understøtter nu brug af de indbyggede Sudi- certifikater (Secure Unique Device Identifier) til trådløs 802.1x-godkendelse. Tidligere blev SUDI-certifikater kun understøttet til kablet/LAN 802.1x-godkendelse.

Denne funktion er tilgængelig fra og med RoomOS 26.7.1.7. Alle enheder, der kører RoomOS 26, understøtter denne funktion, mens den ikke understøttes på RoomOS 11.

For at aktivere denne funktion skal Cisco Identity Services Engine (ISE) til Wi-Fi-netværket føje følgende CA-certifikater til ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Du kan aktivere SUDI-certifikatet ved hjælp af enhedens webgrænseflade ved at vælge muligheden for at bruge SUDI-certifikatet til 802.1x-godkendelse.

Alternativt kan du bruge følgende kommando:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

For at finde SUDI-fingeraftrykket skal du køre:

xCommand Security Certificates Services Show

Hvis finger aftrykket er aktiveret med succes, vil du se poster svarende til følgende i eventlog /auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Når du har aktiveret SUDI-certifikatet, skal du konfigurere Wi-Fi-netværket til at bruge EAP-TLS-godkendelse. Dette kan gøres fra enhedens berøringspanel eller skærm ved at vælge godkendelses metoden som EAP-TLS.