Danke für Ihr Feedback.

Sie können Zertifikate über die lokale Weboberfläche des Geräts hinzufügen. Alternativ können Sie Zertifikate hinzufügen, indem Sie API-Befehle ausführen. Um zu sehen, mit welchen Befehlen Sie Zertifikate hinzufügen können, besuchen Sie roomos.cisco.com.

Servicezertifikate und vertrauenswürdige Zertifizierungsstellen

Bei der Verwendung von TLS (Transport Layer Security) kann eine Zertifikatsvalidierung erforderlich sein. Ein Server oder Client kann verlangen, dass das Gerät ihnen ein gültiges Zertifikat vorlegt, bevor die Kommunikation eingerichtet wird.

Die Zertifikate sind Textdateien, die die Echtheit des Geräts überprüfen. Diese Zertifikate müssen von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert werden. Um die Signatur der Zertifikate zu überprüfen, muss sich eine Liste vertrauenswürdiger Zertifizierungsstellen auf dem Gerät befinden. Die Liste muss alle Zertifizierungsstellen enthalten, die benötigt werden, um Zertifikate sowohl für die Auditprotokollierung als auch für andere Verbindungen zu verifizieren.

Zertifikate werden für die folgenden Dienste verwendet: HTTPS-Server, SIP, IEEE 802.1X und Audit-Logging. Sie können mehrere Zertifikate auf dem Gerät speichern, aber für jeden Dienst ist jeweils nur ein Zertifikat aktiviert.

Wenn Sie auf RoomOS Oktober 2023 und später ein CA-Zertifikat zu einem Gerät hinzufügen, wird es auch auf ein Gerät angewendet, Room Navigator falls eines angeschlossen ist. Um die zuvor hinzugefügten CA-Zertifikate mit einem verbundenen zu synchronisierenRoom Navigator, müssen Sie das Gerät neu starten. Wenn Sie nicht möchten, dass die Peripheriegeräte dieselben Zertifikate erhalten wie das Gerät, mit dem es verbunden ist, setzen Sie die Konfiguration Peripherals Security Certificates SyncToPeripherals auf False.

Für Wi-Fi-Verbindung

Wir empfehlen, dass Sie für jedes Board-, Desk- oder Room Series-Gerät ein vertrauenswürdiges CA-Zertifikat hinzufügen, falls Ihr Netzwerk die WPA-EAP-Authentifizierung verwendet. Sie müssen dies für jedes Gerät einzeln tun und bevor Sie eine Wi-Fi-Verbindung herstellen.

Unterstützte Zertifikat- und Schlüsselformate

• Dieses System akzeptiert Zertifikatsdateien entweder im PEM- oder im Binärformat.

• PEM-Dateien können sowohl das Zertifikat als auch den privaten Schlüssel in derselben Datei enthalten.

• Der private Schlüssel muss dasselbe Format wie das Zertifikat haben; das heißt, beide müssen entweder PEM oder binär sein.

• Zu den unterstützten binären Zertifikatsformaten gehören X.509-Dateien mit den Erweiterungen .der, .cer oder.crt und PKCS7-Dateien mit der Erweiterung.p7b.

• Zu den unterstützten binären privaten Schlüsselformaten gehören RSA- oder DSA-verschlüsselte Schlüssel, typischerweise mit den Erweiterungen .key, .der oder.p8.

Das Zertifikat und der private Schlüssel sind in derselben Datei auf dem Gerät gespeichert. Wenn die Authentifizierung fehlschlägt, wird die Verbindung nicht hergestellt.

Administratoren müssen eine Certificate Signing Request (CSR) vom Control Hub für ein in der Cloud registriertes Board-, Desk- oder Room Series-Gerät generieren.

Folgen Sie diesen Schritten, um eine CSR zu generieren und ein signiertes Zertifikat auf Ihr Gerät hochzuladen:

1. Gehen Sie in der Kundenansicht in Control Hub zur Seite Geräte und wählen Sie Ihr Gerät aus der Liste aus.
2. Navigieren Sie zu Aktionen > Befehl ausführen > Sicherheit > Zertifikate > CSR > Erstellen.
3. Geben Sie die erforderlichen Zertifikatsdetails ein und wählen Sie Ausführen aus.
4. Kopieren Sie den gesamten Text zwischen ----BEGIN CERTIFICATE REQUEST---- und ----END CERTIFICATE REQUEST----.
5. Verwenden Sie ein Certificate Authority (CA) Ihrer Wahl, um die CSR zu unterschreiben.
6. Exportieren Sie das signierte Zertifikat im PEM-Format (Base64-kodiert).
7. Öffnen Sie die signierte Zertifikatsdatei in einem Texteditor (z. B. Notepad) und kopieren Sie den gesamten Text zwischen ----BEGIN CERTIFICATE---- und ----END CERTIFICATE----.
8. Navigieren Sie im Control Hub zu Geräte > wählen Sie Ihr Gerät aus > Aktionen > XCommand ausführen > Sicherheit > Zertifikate > CSR > Link.
9. Fügen Sie den kopierten Zertifikatsinhalt in den Textbereich ein und wählen Sie Ausführen aus.
10. Aktualisieren Sie die Seite, um zu überprüfen, ob das Zertifikat unter Existierendes Zertifikat erscheint.

Das Simple Certificate Enrollment Protocol (SCEP) bietet einen automatisierten Mechanismus für die Registrierung und Aktualisierung von Zertifikaten, die beispielsweise für die 802.1X-Authentifizierung auf Geräten verwendet werden. SCEP ermöglicht es Ihnen, den Zugriff des Geräts auf sichere Netzwerke ohne manuelles Eingreifen aufrechtzuerhalten.

• Wenn das Gerät neu ist oder auf die Werkseinstellungen zurückgesetzt wurde, benötigt es Netzwerkzugriff, um die SCEP-URL zu erreichen. Das Gerät sollte ohne 802.1X mit dem Netzwerk verbunden sein, um eine IP-Adresse zu erhalten.

• Wenn Sie eine SSID für die WLAN-Registrierung verwenden, gehen Sie die Onboarding-Bildschirme durch, um die Verbindung mit dem Netzwerk zu konfigurieren.

• Sobald Sie mit dem Bereitstellungsnetzwerk verbunden sind, muss sich das Gerät nicht auf einem bestimmten Onboarding-Bildschirm befinden.

• Um allen Bereitstellungen gerecht zu werden, speichern die XAPIs für die SCEP-Registrierung nicht das CA-Zertifikat, das zum Signieren des Gerätezertifikats verwendet wurde. Für die Serverauthentifizierung muss das CA-Zertifikat, das zur Validierung des Serverzertifikats verwendet wird, mit xCommand Security Certificates CA Add hinzugefügt werden.

Voraussetzungen

Sie benötigen die folgenden Informationen:

• Die URL des SCEP-Servers.

• Fingerabdruck des signierenden CA (Certificate Authority) -Zertifikats.

• Informationen zum Zertifikat für die Einschreibung. Das macht den Betreffnamen des Zertifikats aus.

  • Gebräuchlicher Name

  • Ländername

  • Name des Bundesstaats oder der Provinz

  • Name der Lokalität

  • Name der Organisation

  • Organisatorische Einheit

• Der Betreffname wird als /C = /ST = /L = /O = /OU = /CN = sortiert

• Challenge-Passwort des SCEP-Servers, wenn Sie den SCEP-Server so konfiguriert haben, dass er ein OTP oder Shared Secret durchsetzt.

Sie können die erforderliche Schlüsselgröße für das Schlüsselpaar für die Zertifikatsanforderung mit dem folgenden Befehl festlegen. Die Standardeinstellung ist 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Wir senden eine Zertifikatsanfrage, die ein Jahr lang gültig ist, da das Zertifikat abläuft. Die serverseitige Richtlinie kann das Ablaufdatum beim Signieren des Zertifikats ändern.

Ethernet-Verbindung

Wenn ein Gerät mit einem Netzwerk verbunden ist, stellen Sie sicher, dass es auf den SCEP-Server zugreifen kann. Das Gerät sollte mit einem Netzwerk ohne 802.1x verbunden sein, um eine IP-Adresse zu erhalten. Die MAC-Adresse des Geräts muss möglicherweise dem Bereitstellungsnetzwerk zur Verfügung gestellt werden, um eine IP-Adresse zu erhalten. Die MAC-Adresse finden Sie auf der Benutzeroberfläche oder auf dem Etikett auf der Rückseite des Geräts.

Nachdem das Gerät mit dem Netzwerk verbunden ist, können Sie als Administrator eine SSH-Verbindung mit dem Gerät herstellen, um auf TSH zuzugreifen, und dann den folgenden Befehl ausführen, um die SCEP-Registrierungsanfrage zu senden:

xCommand Security Certificates Services Enrollment SCEP Request 

Sobald der SCEP-Server das signierte Gerätezertifikat zurückgibt, aktivieren Sie 802.1X.

Aktivieren Sie das signierte Zertifikat:

xCommand Security Certificates Services Activate 

Starten Sie das Gerät neu, nachdem Sie das Zertifikat aktiviert haben.

Drahtlose Verbindung

Wenn ein Gerät mit einem drahtlosen Netzwerk verbunden ist, stellen Sie sicher, dass es auf den SCEP-Server zugreifen kann.

Nachdem das Gerät mit dem Netzwerk verbunden ist, können Sie als Administrator eine SSH-Verbindung mit dem Gerät herstellen, um auf TSH zuzugreifen, und dann den folgenden Befehl ausführen, um die SCEP-Registrierungsanfrage zu senden:

xCommand Security Certificates Services Enrollment SCEP Request 

Das Gerät erhält das signierte Zertifikat vom SCEP-Server.

Aktivieren Sie das signierte Zertifikat:

xCommand Security Certificates Services Activate

Nach der Aktivierung müssen Sie das Wi-Fi-Netzwerk mit EAP-TLS-Authentifizierung konfigurieren.

xCommand Network Wifi Configure 

Standardmäßig überspringt die Wi-Fi-Konfiguration die Servervalidierungsprüfungen. Wenn nur eine unidirektionale Authentifizierung erforderlich ist, lassen Sie AllowMissingCa standardmäßig auf True setzen.

Um die Servervalidierung zu erzwingen, stellen Sie sicher, dass der optionale Parameter AllowMissingCa auf False gesetzt ist. Wenn eine Verbindung aufgrund von Fehlern bei der Dienstvalidierung nicht hergestellt werden kann, überprüfen Sie, ob die richtige CA hinzugefügt wurde, um das Serverzertifikat zu überprüfen, das sich vom Gerätezertifikat unterscheiden kann.

API-Beschreibungen

Rolle: Admin, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Sendet eine CSR zur Unterzeichnung an einen bestimmten SCEP-Server. Die CSR-Parameter für SubjectName werden in der folgenden Reihenfolge erstellt: C, ST, L, O, OUs, CN.

Parameter:

• URL (n): <S: 0, 256>

  Die URL-Adresse des SCEP-Servers.

• Fingerabdruck (r): <S: 0, 128>

  Fingerabdruck des CA-Zertifikats, der die CSR der SCEP-Anfrage signiert.

• Allgemeiner Name (r): <S: 0, 64>

  Fügt „/CN=“ zum CSR-Betreffnamen hinzu.

• Passwort herausfordern: <S: 0, 256>

  OTP oder Shared Secret vom SCEP-Server für den Zugriff zum Signieren.

• Name des Landes: <S: 0, 2>

  Fügt dem CSR-Betreffnamen „/C=“ hinzu.

• Name des Bundesstaats oder der Provinz: <S: 0, 64>

  Fügt „/ST=“ zum CSR-Betreffnamen hinzu.

• Name der Lokalität: <S: 0, 64>

  Fügt dem CSR-Betreffnamen „/L=“ hinzu.

• Name der Organisation: <S: 0, 64>

  Fügt dem CSR-Betreffnamen „/O=“ hinzu.

• Organisationseinheit [5]: <S: 0, 64>

  Fügt dem CSR-Betreffnamen bis zu 5 „/OU=“ -Parameter hinzu.

• Und NS [5]: <S: 0, 64>

  Fügt dem alternativen Namen des CSR-Betreffs bis zu 5 DNS-Parameter hinzu.

• SAN E-Mail [5]: <S: 0, 64>

  Fügt dem alternativen Namen des CSR-Betreffs bis zu 5 E-Mail-Parameter hinzu.

• Eine IP [5]: <S: 0, 64>

  Fügt dem alternativen Namen des CSR-Betreffs bis zu 5 IP-Parameter hinzu.

• San Uri [5]: <S: 0, 64>

  Fügt dem alternativen Namen des CSR-Betreffs bis zu 5 URI-Parameter hinzu.

xCommand Security Certificates Services Enrollment Profiles Delete

Löscht ein Anmeldeprofil, um Zertifikate nicht mehr zu verlängern.

Parameter:

• Fingerabdruck (r): <S: 0, 128>

  Der Fingerabdruck des CA-Zertifikats, der das Profil identifiziert, das Sie entfernen möchten. Sie können die verfügbaren Profile zum Entfernen sehen, indem Sie Folgendes ausführen:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Listet Anmeldeprofile für die Zertifikatsverlängerung auf.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Fügen Sie ein Anmeldeprofil für Zertifikate hinzu, die vom CA-Fingerabdruck ausgestellt wurden, um die angegebene SCEP-URL für die Verlängerung zu verwenden.

Verlängerung

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Um das Zertifikat automatisch zu verlängern, muss das Gerät auf die SCEP-URL zugreifen können, die das Zertifikat zurücksenden kann.

Einmal täglich sucht das Gerät nach Zertifikaten, die nach 45 Tagen ablaufen. Das Gerät wird dann versuchen, diese Zertifikate zu erneuern, wenn ihr Aussteller einem Profil entspricht.

HINWEIS: Alle Gerätezertifikate werden auf Verlängerung geprüft, auch wenn das Zertifikat ursprünglich nicht mit SCEP registriert wurde.

Navigator

1. Direkt gekoppelt: Eingeschriebene Zertifikate können als „Pairing“ -Zertifikat aktiviert werden.

2. Ferngepaart: Sagen Sie dem Navigator, dass er ein neues SCEP-Zertifikat mit der ID des Peripheriegeräts registrieren soll:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Anmeldeprofile werden automatisch mit dem gekoppelten Navigator synchronisiert.

3. Eigenständiger Navigator: Entspricht der Codec-Registrierung

Sie können die 802.1x-Authentifizierung direkt im Room Navigator Einstellungsmenü einrichten.

Der 802.1x-Authentifizierungsstandard ist besonders wichtig für Ethernet-Netzwerke und er stellt sicher, dass nur autorisierte Geräte Zugriff auf die Netzwerkressourcen erhalten.

Je nach der in Ihrem Netzwerk konfigurierten EAP-Methode sind verschiedene Anmeldeoptionen verfügbar. Zum Beispiel:

• TLS: Benutzername und Passwort werden nicht verwendet.
• PEAP: Zertifikate werden nicht verwendet.
• TTLS: Sowohl Benutzername/Passwort als auch Zertifikate sind erforderlich; keines ist optional.

Es gibt mehrere Möglichkeiten, das Client-Zertifikat auf ein Gerät zu bekommen:

1. Laden Sie das PEM hoch: Verwenden Sie die Funktion Sicherheitszertifikatsdienste hinzufügen.
2. CSR erstellen: Generieren Sie eine Certificate Signing Request (CSR), signieren Sie sie und verknüpfen Sie sie mit Security Certificates CSR Create/Link.
3. SCEP: Nutzen Sie die SCEP-Anfrage zur Registrierung von Security Certificates Services.
4. DHCP-Option 43: Konfigurieren Sie die Zertifikatszustellung über diese Option.

Die Einrichtung und Aktualisierung der Zertifikate für 802.1x sollte erfolgen, bevor sie mit einem System gekoppelt werden, oder nachdem das Room Navigator auf die Werkseinstellungen zurückgesetzt wurde. Room Navigator

Die Standardanmeldeinformationen sind admin und leeres Passwort. Weitere Informationen darüber, wie Sie Zertifikate hinzufügen, indem Sie auf die API zugreifen, finden Sie in der neuesten Version des API-Leitfadens.

1. Öffnen Sie das Bedienfeld im Navigator, indem Sie auf die Schaltfläche in der oberen rechten Ecke tippen oder von rechts wischen. Tippen Sie dann auf Geräteeinstellungen.
2. Gehen Sie zu Netzwerkverbindung und wählen Sie Ethernet aus.
3. Schalten Sie IEEE 802.1X verwenden ein.
   • Wenn die Authentifizierung mit Anmeldeinformationen eingerichtet ist, geben Sie die Benutzeridentität und die Passphrase ein. Sie können auch eine anonyme Identität eingeben: Dies ist ein optionales Feld, das eine Möglichkeit bietet, die tatsächliche Benutzeridentität von der ursprünglichen Authentifizierungsanfrage zu trennen.
   • Sie können TLS Verify aus- oder einschalten. Wenn TLS Verify aktiviert ist, überprüft der Client aktiv die Echtheit des Serverzertifikats während des TLS-Handshakes. Wenn die TLS-Überprüfung ausgeschaltet ist, führt der Client keine aktive Überprüfung des Serverzertifikats durch.
   • Wenn Sie ein Client-Zertifikat hochgeladen haben, indem Sie auf die API zugegriffen haben, schalten Sie Kundenzertifikat verwenden ein.
   • Schalten Sie die EAP-Methoden (Extensible Authentication Protocol) um, die Sie verwenden möchten. Die Wahl der EAP-Methode hängt von den spezifischen Sicherheitsanforderungen, der Infrastruktur und den Kundenfunktionen ab. EAP-Methoden sind entscheidend, um einen sicheren und authentifizierten Netzwerkzugriff zu ermöglichen.

Cisco unterstützt jetzt die Verwendung der integrierten Secure Unique Device Identifier (SUDI) -Zertifikate für die drahtlose 802.1x-Authentifizierung. Bisher wurden SUDI-Zertifikate nur für die kabelgebundene/LAN 802.1x-Authentifizierung unterstützt.

Diese Funktion ist ab RoomOS 26.7.1.7 verfügbar. Alle Geräte, auf denen RoomOS 26 läuft, unterstützen diese Funktion, während sie auf RoomOS 11 nicht unterstützt wird.

Um diese Funktion zu aktivieren, muss die Cisco Identity Services Engine (ISE) für das Wi-Fi-Netzwerk die folgenden CA-Zertifikate zum ISE TrustStore hinzufügen:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Sie können das SUDI-Zertifikat über die Weboberfläche des Geräts aktivieren, indem Sie die Option auswählen, das SUDI-Zertifikat für die 802.1x-Authentifizierung zu verwenden.

Verwenden Sie alternativ den folgenden Befehl:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Um den SUDI-Fingerabdruck zu finden, führen Sie Folgendes aus:

xCommand Security Certificates Services Show

Wenn der Fingerabdruck erfolgreich aktiviert wurde, werden Sie im Eventlog/Auditlog Einträge sehen, die den folgenden ähneln:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Nachdem Sie das SUDI-Zertifikat aktiviert haben, konfigurieren Sie das Wi-Fi-Netzwerk für die Verwendung der EAP-TLS-Authentifizierung. Dies kann über das Touchpanel oder den Bildschirm des Geräts erfolgen, indem Sie die Authentifizierungsmethode als EAP-TLS auswählen.