Kiitos palautteestasi.

Tämän tarkoituksena on ilmoittaa sinulle tulevasta Google Chromen selainkäytäntömuutok sesta, joka vaikuttaa julkisten TLS- varmenteiden myöntämiseen, ja hahmottaa toimet, joita Cisco toteuttaa varmistaakseen jatkuvan tuen keskinäisille TLS-yhteyksille Dedicated Instance- ja UCM Cisco Webex Calling Cloud -ympäristöissä.

Helmikuun 1. päivästä 202 ⁷ alkaen Google Chrome Trust -ohjelmaan kuuluvat julkiset varmenneviranomaiset lopettavat varmenteiden allekirjoittamisen, jotka sisältävät ClientAuth (ClientAuth) Extended Key Usage (EKU) -toiminnon.

Google ottaa 15. maaliskuuta 202 ⁷ käyttöön käytännön, jonka mukaan Chrome Root Storen julkiset päävaltuutetut myöntä jät myöntävät varmenteita, jotka sisältävät vain Server Authentication (ServerAuth) EKU: n. Tämän seurauksena Chrome Root Storen julkiset päävaltuutetut eivät voi enää myöntää varmenteita, jotka yhdistävät sekä palvelimen todennuksen että asiakkaan todennuksen EKU:t yhdeksi varmenteeksi.

Dedicated Instance UC -sovellukset käyttävät tällä hetkellä varmenteita, jotka sisältävät sekä palvel imen todennuksen että asiakkaan todennuksen EKU:t yhdessä varmenteessa MTL-yhteyksien luottam uksen luomiseksi. Erillisten palvelin- ja asiakasvarmenteiden tuki on nyt saatavana UC- sovellusjulkaisussa V15su5.

Tällä hetkellä Dedicated Instance käyttää IdenTrust Commercial Root CA 1 -tunnusta, joka on osa Google Chrome Root Storea, näiden varmenteiden allekirjoittamiseen. Tulevan Chrome-käytäntö muutoksen vuoksi tämä CA ei kuitenkaan voi enää myöntää varmenteita, jotka sisältävät molemmat EKU:t yhdessä varmenteessa 1. helmikuuta 202 ⁷ alkaen.

Todistukset, joihin vaikutus vaikuttaa

Seuraavat UC-sovellusvarmenteet allekirjoitetaan Public Root -varmenteen avulla, ja niitä käytetään yleisesti MTL-yhteyksissä:

UC-sovellus	Todistuksen tyyppi	Yleiset MTLS-yhteydet
Cisco Unified CM/Pk-yritys	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth MRA: n kautta, Remote Syslog
	Puhelunhallinta/puhelunhallinta-ECDSA	SIP-rungot, solmujen väliset ja klustereiden väliset yhteydet
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	SIP-välityspalvelin, SIP-rungot
Ciscon pikaviestintä ja läsnäolo	Tomcat/Tomcat-ECDSA	—
	kuppi/kuppi-ECDSA	Suojattu SIP CUCM: llä, kolmannen osapuolen asiakkaat, SIP-välityspalvelin
	kuppi-xmpp/kuppi-XMPP-ECDSA	XMPP-liitto
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Palvelinvarmenne	Mobiili ja Remote Access (MRA)

Varmenteisiin ei vaikuteta

Kaikki jäljellä olevat varmenteet Dedicated Instancessa allekirjoitetaan itse. Lisätietoja on kohdassa Dedikoitu il mentymän varmenteiden hallinta.

Chromen käytäntömuutoksen korjaamiseksi ja keskeytymättömien MTLS-toimintojen ylläpitämiseksi Cisco ryhtyy seuraaviin toimiin:

• ^{Cisco vaihtaa 1. kesäkuuta 2026 alkaen Dedicated Instance UC -sovellusvarmenteiden allekirjoit tamiseen käytetyn julkisen päävarmenteen varmenteen IdenTrust Commercial Root CA 1:stä IdenTrust Public Sector Root CA 1: een kaikissa varmenteiden uusimisissa.}

  Varment een uusimisprosessi pysyy samana, ja Control Hub Alerts Center ilmoittaa asiakkaille ”Yllä pito ja keskeytys” -hälytyksen kautta, kun uusiminen on ajoitettu. Lisätietoja on kohdassa Huoltohälytykset.

• Varmenteet sisältävät edelleen sekä palvelimen että asiakkaan todennuksen EKU:t.

Asiakasympäristössä olevien kolmansien osapuolten sovellusten tai palveluiden, jotka yhdistävät UC- sovelluksia Dedicated Instancessa käyttäen TLS- tai MTLS-yhteyksiä, on käytettävä samaa varmenteketjua kuin Dedicated Instancessa olevien UC-sovellusten. Jos asiakasjärjestelmien tai sovellusten luottamusvarastossa ei vielä ole vaadittuja IdenTrust-varmenne viranomaisia, uusi päävarmenne on tuotava TLS/MTLS-yhteysvirheiden estämiseksi.

1. Tarkasta nykyiset MTL-yhteydet
   1. Tunnista sovellukset, kolmannen osapuolen palvelut tai integraatiot, jotka muodostavat yhteyden UC- sovelluksiin erillisessä esiintymässä käyttäen TLS- tai MTL:ää.
   2. Tarkista, luottavatko nämä sovellukset uuteen Public Root CA: IdenTrust Public S ector Root CA 1:een.
2. Lisää uusi julkinen päävarmentaja (tarvittaessa)
   1. Jos IdenTrust Public Sector Root CA 1 ei ole vielä luotettu asiakassovelluksessa tai järjestelmän luottamusvarastossa, se on lisättävä.
   2. Sama voidaan ladata seuraavista linkeistä:

      Root CA: IdenTrust Julkisen sektorin Root CA 1

      Vaihtoehtoinen lataussivu: IdenTrust Support Downloads

      Myöntäjä/ali-CA: IdenTrust julkisen sektorin palvel in CA 1.

   Useimmissa sovelluksissa Root CA:hen luottaminen riittää, jos palvelin esittää koko ketjun. Myöntäjä/ali-sertifiointi on hyödyllistä sisällyttää sovelluksiin, jotka edell yttävät välivarmenteen tuomista erikseen.

IdenTrust Public Sector Root CA 1 on oletusarvoisesti luotettu seuraavien käyttöjärjestelmien ja alustojen vakioluottamusvarastoissa:

• Microsoft Windows
• MacOS
• iOS /iPadOS
• Android

Tämän seurauksena asiakkaan on vain vahvistettava näiden alustojen luottamusvarastot vahvistaakseen, että uuden julkisen CA: n päävarmenne on jo luettelossa. Tämä koskee päätepisteit ä/asiakkaita tai kolmannen osapuolen järjestelmiä, jotka käyttävät oletusarvoisia luottamusvarastoja näillä alustoilla. Ohjeet luottamuskaupan päivittämiseen kullakin alustalla on alla olevissa osioissa. Vastuu näiden päivitysten suorittamisesta on Asiakkaalla tai Kumppanilla; alla olevat linkit ja vaiheet viittaavat kunkin alustan toimittajien online-artikkeleihin, ja Cisco tarjoaa apua parhaalla mahdollisella tavalla. Lisäselvityksiä varten sinun on työskenneltävä suoraan vastaavien alustan toimittajien kanssa.

Android-luottamuskaupan muistiinpano

IdenTrust Public Sector Root CA 1 sisältyy Android-järjestelmän CA-kauppaan, ja se on oletusarvoisesti luotettu tällä hetkellä tuetuissa Android-versioissa. Android ei tarjoa julkista, versiokohtaista kartoitusta yksittäisille juurivarmenteiden käyttöönottopäiville. Luott amusta hallitaan Android-järjestelmän CA-kaupan kautta ja jaetaan käyttöjärjestelmäpäivitysten ja Google Play -järjestelmäpäivitysten kautta.

Asiakkaan toimia ei tarvita, ellei Android-järjestelmän luottamusvarastoa ole nimenomaisesti muokattu laitekäytännöllä, yrityksen hallinnan ohjauksella tai sovelluskohtaisilla luottamusrajoituksilla.

IdenTrust Public Sector Root CA 1 ei sisälly Google Chrome Root Storeen.

Varmistaakseen, että Google Chrome luottaa tämän päävaltuutuksen nojalla myönnettyihin varmenteisiin, asiakkaiden on varmist ettava, että päävarmenne on nimenomaisesti luotettu käyttöjärjestelmätasolla paikoissa, joita Chrome käyttää paikallisten luottamuspäätösten tekemiseen.

Windows — vaadittu luottamusmääritys

Varmistaaksesi, että Google Chrome luottaa päävaltuutukseen Windowsissa, IdenTrust Public Sector Root CA 1 on tuotava johonkin seuraavista sijainneista:

• Paikallinen tietokone → Luotetut juurivarmennusviranomaiset

  (Suositellaan yrityksen hallinnoiduille järjestelmille)

tai

• Nykyinen käyttäjä → Luotetut pääsertifiointiviranomaiset

  (Käyttäjätason luottamusta varten)

Google Chrome luottaa varmenteisiin, jotka on tuotu ohjatun Windowsin varmenteiden tuontitoiminnolla näihin sijainteihin (myös ryhmäkäytännön kautta).

Chrome ei automaattisesti luota vain kolmannen osapuolen Windows-järjestelmässä olemassa oleviin juurivaport teihin, ellei sitä ole nimenomaisesti tuotu edellä kuvatulla tavalla.

Mac OS — vaadittu luottamusmääritys

Jotta voit varmistaa, että Google Chrome luottaa päävaltuutukseen macOS:ssä, IdenTrust Public Sector Root CA 1 on lisättävä macOS-avaimenperään, ja se on nimenomaisesti luotettava:

1. Tuo sertifikaatti järjestelmän avaimenperään (suositus) tai kirjautumisavaimenperään

2. Avaa sertifikaatti ja aseta:

   • Kun käytät tätä varmennetta: Luota aina

     (tai vähintään SSL: Luota aina)

Kun Google Chrome on luotettu järjestelmä- tai käyttäjätasolla, se kunnioittaa sertifikaattia luotettavana.

Järjestelmänvalvojat voivat tarkistaa, mihin alustan varmenteisiin Chrome luottaa siirtymällä osoitteeseen chrome: //certificate-manag er/localcerts/platformcerts

Lisätietoja on Googlen usein kysytyissä kysymyksissä.

Kolmannen osapuolen integraatiot vaativat ensisijaisen asiakkaan validoinnin.

Kaikissa kolmannen osapuolen sovelluksissa tai palveluissa, jotka luovat TLS-/mTLS-yhteyksiä Ded icated Instance UC -sovelluksiin, asiakkaiden on noudatettava julkisen CA -varmenteen muutokset -kohdassa mainittuja toimia, jotka vaikuttavat Dedicated Instance -esiintymään.

Sinun on tehtävä yhteistyötä suoraan kolmannen osapuolen toimittajan tai IT-järjestelmänvalvojan kanssa, jos luotettavan kaupan päivityksiä tarvitaan. Kolmannen osapuolen luottamusvarastoihin tai varmenteiden vahvist uskäyttäytymiseen tehtävät muutokset eivät kuulu Ciscon vastuulle, eikä Cisco voi auttaa kolmannen osapuolen varmenteiden luottamusmäärityksissä tai vianmäärityksessä.

Asiakkaat voivat vahvistaa uuden julkisen päävaltuutuksen IdenTrust-testivarmenteen avulla.

Jos sivu avautuu onnistuneesti, IdenTrust Public Sector Root CA 1 on luotettu ympäristössäsi.

Jos sinulla on kysyttävää tästä muutoksesta, Google Chromen selainkäytännöstä tai varmenteiden päivityksistä Dedicated Instancessa, avaa palvelupyyntö Control Hubissa UC-sovelluksen elinka aren elinkaaren kohdassa.

UCM Cloud (UCMC) -asiakkaat, jotka omistavat verkkotunnuksensa ja hallinnoivat omia UC-sovell usvarmenteiden uusimisia ja jotka eivät ole delegoineet Ciscolle verkkotunnuksen valtuuksia UCM- sovellusvarmenteiden allekirjoittamiseen, ovat vastuussa siitä, että he työskentelevät suoraan valitsemiensa julkisten varmenteiden viranomaisten kanssa tämän muutoksen ratkaisemiseksi. 

Näiden asiakkaiden tulisi myös noudattaa sovellettavia UC-sovellustuotteita (Ciscon paikalliset puhelutuotteet ja Cisco Expressway) suosituksia, jotka koskevat varmenteiden käyttöä ja korjausta, jotka liittyvät tuleviin julkisen CA- ja selainkäytäntömuutoksiin. Lisätietoja on kohdassa Ro olit ja vastuut. 

Cisco jatkaa päivitysten toimittamista, kun UC-sovellustuki erillisille palvelin- ja asiakasvarmenteille tulee saataville. Katso uusimmat päivitykset tästä asiakirjasta.

Sertifikaatin EKU-muutokset: Toiminnot Ciscon paikallisen yhteistyön asiakkaiden ON SUORITETTAVA NYT