Kiitos palautteestasi.

Voit lisätä varmenteita laitteen paikallisesta web-käyttöliittymästä. Vaihtoehtoisesti voit lisätä varmenteita suorittamalla API-komentoja. Jos haluat nähdä, mitkä komennot mahdollistavat varmenteiden lisäämisen, on osoitteessa roomos .cisco.com.

Huoltovarmenteet ja luotetut varmenteet

Varmenteen vahvistus voi olla tarpeen, kun käytetään TLS (Transport Layer Security). Palvelin tai asiakas voi vaatia, että laite esittää heille voimassa olevan varmenteen ennen tiedonsiirron määrittämistä.

Varmenteet ovat tekstitiedostoja, jotka varmistavat laitteen aitouden. Luotetun varmenteen myöntäjän (CA) on allekirjoitettava nämä varmenteet. Varmenteiden allekirjoituksen vahvistamiseksi laitteessa on oltava luettelo luotetuista varmenteiden myöntäjistä. Luettelossa on oltava kaikki varmentajat, joita tarvitaan tarkastuslokien ja muiden yhteyksien varmenteiden tarkistamiseen.

Varmenteita käytetään seuraaviin palveluihin: HTTPS-palvelin, SIP, IEEE 802.1X ja tarkastusloki. Voit tallentaa useita varmenteita laitteeseen, mutta vain yksi varmenne on käytössä kullekin palvelulle kerrallaan.

Kun lisäät CA-varmenteen laitteeseen RoomOS:ssa lokakuussa 2023 ja uudemmissa laitteissa, sitä sovelletaan myös, Room Navigator jos se on kytketty. Jos haluat synkronoida aiemmin lisätyt CA-varmenteet yhdistettyyn laitteeseenRoom Navigator, sinun on käynnistettävä laite uudelleen. Jos et halua, että oheislaitteet saavat samoja varmenteita kuin laite, johon se on kytketty, määritä Oheislaitteiden suojausvarmenteiden synkronointi -määritykseksi Väärä.

Wi-Fi-yhteyttä varten

Suosittelemme, että lisäät luotettavan CA-varmenteen jokaiselle Board-, Desk- tai Room Series -laitteelle, jos verkko käyttää WPA-EAP-todennusta. Sinun on tehtävä tämä erikseen jokaiselle laitteelle ja ennen yhteyden muodostamista Wi-Fi-verkkoon.

Tuetut sertifikaatti- ja avainmuodot

• Tämä järjestelmä hyväksyy sertifikaattitiedostot joko PEM- tai binaarimuodossa.

• PEM-tiedostot voivat sisältää sekä varmenteen että yksityisen avaimen samassa tiedostossa.

• Yksityisen avaimen on oltava samassa muodossa kuin varmenne; toisin sanoen molempien on oltava joko PEM tai binaarisia.

• Tuettuja binäärivarmentemuotoja ovat X.509-tiedostot, joiden tunnisteet ovat .der, .cer tai .crt, ja PKCS7-tiedostot, joiden laajennus on.p7b.

• Tuetut binaariset yksityisen avaimen muodot sisältävät RSA- tai DSA-salattuja avaimia, tyypillisesti laajennuksilla .key, .der tai .p8.

Varmenne ja yksityinen avain tallennetaan samaan tiedostoon laitteessa. Jos todennus epäonnistuu, yhteyttä ei luoda.

Järjestelmänvalvojien on luotava varmenteen allekirjoituspyyntö (CSR) Control Hubista pilvirekisteröimälle Board-, Desk- tai Room Series -laitteelle.

Luo CSR ja lataa allekirjoitettu varmenne laitteellesi seuraavasti:

1. Siirry Control Hubin asiakasnäkymästä Laitteet-sivulle ja valitse laitteesi luettel osta.
2. Siirry kohtaan Toiminnot > Suorita XCommand > Suojaus > Varmenteet > CSR > Luo.
3. Anna vaaditut varmenteen tiedot ja valitse Suorita.
4. Kopioi kaikki teksti ----BEGIN CERTIFICATE REQUEST---- ja ----END CERTIFICATE REQUEST---- välillä.
5. Alle Certificate Authority kirjoita CSR valitsemallasi numerolla (CA).
6. Vie allekirjoitettu varmenne PEM-muodossa (Base64-koodattu).
7. Avaa allekirjoitettu varmentetiedosto tekstieditorissa (esim. Notepad) ja kopioi kaikki teksti ----BEGIN CERTIFICATE---- ja ----END CERTIFICATE---- välillä.
8. Siirry Ohjauskeskuksessa kohtaan Laitteet > valitse laite > Toiminnot > Suorita XCommand > Suojaus > Varmenteet > CSR > Linkki.
9. Liitä kopioitu varmenteen sisältö Runko-osaan ja valitse Suorita.
10. Päivitä sivu varmistaaksesi, että varmenne näkyy Olemassa oleva varmenne -kohdassa.

SCEP (Simple Certificate Enrollment Protocol) tarjoaa automaattisen mekanismin varment eiden rekisteröintiin ja päivittämiseen, joita käytetään esimerkiksi 802.1X- todennuksessa laitteissa. SCEP: n avulla voit ylläpitää laitteen pääsyä suojattuihin verkkoihin ilman manuaalista väliintuloa.

• Kun laite on uusi tai tehdasasetukset on palautettu, se tarvitsee verkkoyhteyden päästäkseen SCEP-URL-osoitteeseen. Laite on kytkettävä verkkoon ilman 802.1X IP-osoitteen saamiseksi.

• Jos käytät langattoman rekisteröinnin SSID: tä, siirry perehdytysnäyttöihin määrittääksesi yhteyden verkkoon.

• Kun olet muodostanut yhteyden käyttöönottoverkkoon, laitteen ei tarvitse olla tietyssä käyttöönottonäytössä.

• SCEP-rekisteröinnin XAPI:t eivät tallenna laitevarmenteen allekirjoittamiseen käytettyä CA-varmennetta, jotta ne sopivat kaikkiin käyttöönottoihin. Palvelimen todennusta varten palvelimen varmenteen vahvistamiseen käytetty CA-varmenne on lisättävä XCommand Security Certificates CA Ad d -sovelluksella.

Edellytykset

Tarvitset seuraavat tiedot:

• SCEP-palvelimen URL-osoite.

• Allekirjoittavan CA (Certificate Authority) -varmenteen sormenjälki.

• Ilmoittautumistodistuksen tiedot. Tämä muodostaa varment een aihe en nimen.

  • Yleinen nimi

  • Maan nimi

  • Osavaltion tai maakunnan nimi

  • Paikkakunnan nimi

  • Organisaation nimi

  • Organisaatioyksikkö

• Aiheen nimi järjestetään seuraavasti: /C = /ST = /L = /O = /OU = /CN =

• SCEP-palvelimen haastesalasana, jos olet määrittänyt SCEP-palvelimen pakottamaan OTP- tai jaetun salaisuuden.

Voit määrittää vaaditun avaimen koon varmennepyynnön avainparille seuraavalla komennolla. Oletusarvo on 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Lähetämme varmennepyynnön, joka on voimassa vuoden ajan varmenteen voimassaolon päättymistä varten. Palvelinpuolen käytäntö voi muuttaa vanhenemispäivää varmenteen allekirjoittamisen aikana.

Ethernet-liitäntä

Kun laite on kytketty verkkoon, varmista, että se voi käyttää SCEP-palvelinta. Laite on kytkettävä verkkoon ilman 802.1x: tä IP-osoitteen saamiseksi. Laitteen MAC-osoite on ehkä annettava käyttöönottoverkolle IP-osoitteen saamiseksi. MAC-osoite löytyy käyttöliittymästä tai laitteen takana olevasta tarrasta.

Kun laite on kytketty verkkoon, voit käyttää TSH: tä SSH: n käyttämiseksi laitteeseen järjestelmän valvojana ja suorita sitten seuraava komento lähettääksesi ilmoittautumisen SCEP-pyynnön:

xCommand Security Certificates Services Enrollment SCEP Request 

Kun SCEP-palvelin palauttaa allekirjoitetun laitevarmenteen, aktivoi 802.1X.

Aktivoi allekirjoitettu varmenne:

xCommand Security Certificates Services Activate 

Käynnistä laite uudelleen varmenteen aktivoinnin jälkeen.

Langaton yhteys

Kun laite on kytketty langattomaan verkkoon, varmista, että se voi käyttää SCEP-palvelinta.

Kun laite on kytketty verkkoon, voit käyttää TSH: tä SSH: n käyttämiseksi laitteeseen järjestelmän valvojana ja suorita sitten seuraava komento lähettääksesi ilmoittautumisen SCEP-pyynnön:

xCommand Security Certificates Services Enrollment SCEP Request 

Laite vastaanottaa allekirjoitetun varmenteen SCEP-palvelimelta.

Aktivoi allekirjoitettu varmenne:

xCommand Security Certificates Services Activate

Aktivoinnin jälkeen sinun on määritettävä Wi-Fi-verkko EAP-TLS-todennuksella.

xCommand Network Wifi Configure 

Oletusarvoisesti Wi-Fi-määritys ohittaa palvelimen vahvistuksen tarkistukset. Jos vaaditaan vain yksisuuntainen todennus, pidä allowMissingCA oletusarvoisena True.

Jos haluat pakottaa palvelimen tarkistuksen, varmista, että valinnaisen allowMissingCA- parametrin arvoksi on asetettu False. Jos yhteyttä ei voida muodostaa palvelun vahvistusvirheiden vuoksi, tarkista, että oikea varmentaja on lisätty varmistaaksesi palvelinvarmenteen, joka voi olla erilainen kuin laitevarmenne.

API-kuvaukset

Rooli: järjestelmänvalvoja, integraattori

xCommand Security Certificates Services Enrollment SCEP Request

Lähettää CSR:n tietylle SCEP-palvelimelle allekirjoittamista varten. CSR SubjectName -parametrit rakennet aan seuraavassa järjestyksessä: C, ST, L, O, OU, CN.

Parametrit:

• URL-osoite (t): <S: 0, 256>

  SCEP-palvelimen URL-osoite.

• Sormenjälki (r): <S: 0, 128>

  CA-sertifikaatin sormenjälki, joka allekirjoittaa SCEP-pyynnön CSR.

• Yhteinen nimi (t): <S: 0, 64>

  Lisää ”/CN =” CSR-aiheen nimeen.

• HaasteSalasana: <S: 0, 256>

  OTP tai jaettu salaisuus SCEP-palvelimelta allekirjoitusoikeutta varten.

• Maan nimi: <S: 0, 2>

  Lisää ”/C =” CSR-aiheen nimeen.

• Osavaltio tai maakunnan nimi: <S: 0, 64>

  Lisää ”/ST =” CSR-aiheen nimeen.

• Paikallinimi: <S: 0, 64>

  Lisää ”/L =” CSR-aiheen nimeen.

• Organisaation nimi: <S: 0, 64>

  Lisää ”/O =” CSR-aiheen nimeen.

• Organisaatioyksikkö [5]: <S: 0, 64>

  Lisää enintään 5 ”/OU =” -parametria CSR-aiheen nimeen.

• SANDNs [5]: <S: 0, 64>

  Lisää enintään 5 DNS-parametria CSR-aiheen vaihtoehtoiseen nimeen.

• SanEmail [5]: <S: 0, 64>

  Lisää enintään 5 sähköpostiparametria CSR-aiheen vaihtoehtoiseen nimeen.

• SaniP [5]: <S: 0, 64>

  Lisää enintään 5 Ip-parametria CSR-aiheen vaihtoehtoiseen nimeen.

• Sanuri [5]: <S: 0, 64>

  Lisää enintään 5 Uri-parametria CSR-aiheen vaihtoehtoiseen nimeen.

xCommand Security Certificates Services Enrollment Profiles Delete

Poistaa rekisteröintiprofiilin, jotta varmenteita ei enää uusita.

Parametrit:

• Sormenjälki (r): <S: 0, 128>

  CA-varmenteen sormenjälki, joka tunnistaa profiilin, jonka haluat poistaa. Voit nähdä käytettävissä olevat poistettavat profiilit suorittamalla:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Luettelee rekisteröintiprofiilit varmenteen uusimiseen.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Lisää rekisteröintiprofiili CA-sormenjäljen myöntämille varmenteille, jotta voit käyttää annettua SCEP-URL-osoitetta uusimiseen.

Uudistaminen

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Jotta varmenne voidaan uusia automaattisesti, laitteen on voitava käyttää SCEP-URL-oso itetta, joka voi irtisanoa varmenteen.

Kerran päivässä laite tarkistaa varmenteet, jotka vanhenevat 45 päivän kuluttua. Laite yrittää sitten uusia nämä varmenteet, jos niiden myöntäjä vastaa profiilia.

HUOMAUTUS: Kaikkien laitevarmenteiden uusiminen tarkistetaan, vaikka varmennetta ei olisi alun perin rekisteröity SCEP-sovelluksella.

Navigaattori

1. Suora pariliitos: Rekisteröidyt varmenteet voidaan aktivoida ”Pariliitos” -varment eena.

2. Etäpariliitos: Pyydä navigaattoria rekisteröimään uusi SCEP-varmenne oheislaitteen tunnuksella:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Ilmoittautumisprofiilit synkronoidaan automaattisesti pariksi muodostettuun navigaattoriin.

3. Erillinen navigaattori: Sama kuin koodekin rekisteröinti

Voit määrittää 802.1x-todennuksen suoraan Asetukset- Room Navigator valikosta.

802.1x-todennusstandardi on erityisen tärkeä Ethernet-verkoissa, ja se varmistaa, että vain valtuutetuille laitteille myönnetään pääsy verkkoresursseihin.

Verkossa määritetyn EAP-menetelmän perusteella on käytettävissä erilaisia kirjautumisvaihtoehtoja. Esimerkiksi:

• TLS: Käyttäjänimeä ja salasanaa ei käytetä.
• PEAP: Varmenteita ei käytetä.
• TTLS: Sekä käyttäjänimi/salasana että varmenteet vaaditaan; kumpikaan ei ole valinnainen.

Asiakasvarmenteen saamiseksi laitteeseen on useita tapoja:

1. Lataa PEM: Käytä Security Certificates Services Add -ominaisuutta.
2. Luo CSR: Luo varmenteen allekirjoituspyyntö (CSR), allekirjoita se ja linkitä se käyttämällä suojausvarmenteita CSR Create/Link.
3. SCEP: Käytä suojausvarmenteiden palveluiden rekisteröintiä SCEP-pyyntöä.
4. DHCP-vaihtoehto 43: Määritä varmenteen toimitus tämän vaihtoehdon kautta.

802.1x-varmenteiden määrittäminen ja päivittäminen on tehtävä ennen pariliitoksen muodostam Room Navigator ista järjestelmään tai tehdasasetusten palauttamisen jälkeen. Room Navigator

Oletustiedot ovat järjestelmänvalvoja ja tyhjä salasana. Lisätietoja varmenteiden lisäämisestä sovellusliittymän avulla on API- oppaan uusimmassa versiossa.

1. Avaa Navigatorin ohjauspaneeli napauttamalla oikeassa yläkulmassa olevaa painiketta tai pyyhkäisemällä oikealta puolelta. Napauta sitten Laiteasetukset.
2. Siirry kohtaan Verkkoyhteys ja valitse Ethernet.
3. Valitse Käytä IEEE 802.1X -asetusta päälle.
   • Jos todennus on määritetty tunnistetiedoilla, kirjoita käyttäjän henkilöllisyys ja salasana. Voit myös kirjoittaa nimettömän henkilöllisyyden: tämä on valinnainen kenttä, joka tarjoaa tavan erottaa todellisen käyttäjän henkilöllisyys alkuperäisestä todennuspyynnöstä.
   • Voit poistaa TLS-vahvistuksen käytöstä tai ottaa sen käyttöön. Kun TLS-vahvistus on käytössä, asiakas tarkistaa aktiivisesti palvelimen varmenteen aitouden TLS-kättelyn aikana. Kun TLS-vahvistus on pois päältä, asiakas ei suorita palvelimen varmenteen aktiivista tarkistusta.
   • Jos olet ladannut asiakasvarmenteen käyttämällä sovellusliittymää, valitse Käytä asiakasvarmennetta päälle.
   • Vaihda EAP (Extensible Authentication Protocol) - menetelmät, joita haluat käyttää. EAP-menetelmän valinta riippuu erityisistä turvallisuusvaatimuksista, infrastruktuurista ja asiakkaan ominaisuuksista. EAP-menetelmät ovat ratkaisevan tärkeitä turvallisen ja todennetun verkkoyhteyden mahdollistamiseksi.

Cisco tukee nyt sisäänrakennettujen Secure Unique Device Identifier (SUDI) -varmenteiden käyttöä langattoman 802.1x-todennuksen yhteydessä. Aiemmin SUDI-varmenteita tuettiin vain langallisella/LAN 802.1x -todennuksessa.

Tämä ominaisuus on käytettävissä RoomOS 26. 7.1.7: stä alkaen. Kaikki laitteet, joissa on RoomOS 26, tukevat tätä ominaisuutta, vaikka sitä ei tueta RoomOS 11:ssä.

Jotta tämä ominaisuus voidaan ottaa käyttöön, Wi-Fi-verkon Cisco Identity Services Engine (ISE) on lisättävä seuraavat CA-varmenteet ISE TrustStoreen:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Voit aktivoida SUDI-varmenteen laitteen web-käyttöliittymän avulla valitsemalla vaihtoehdon käyttää SUDI-varmennetta 802.1x-todennukseen.

Vaihtoehtoisesti voit käyttää seuraavaa komentoa:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Lö ydät SUDI-sormenjäljen suorittamalla:

xCommand Security Certificates Services Show

Jos sor menjälki on aktivoitu onnistuneesti, näet seuraavien kaltaisia merkintöjä tapahtumalogissa/ auditlogissa:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Kun olet aktivoinut SUDI-varmenteen, määritä Wi-Fi-verkko käyttämään EAP-TLS-todennusta. Tämä voidaan tehdä laitteen kosketuspaneelista tai näytöstä valitsemalla todennus menetelmä EAP-TLS: ksi.