Vous pouvez ajouter des certificats à partir de l'interface web locale du périphérique. Vous pouvez également ajouter des certificats en exécutant les commandes API. Pour voir quelles commandes vous permettent d'ajouter des certificats, reportez-vous à # roomos.cisco.com .

Certificats de service et autorités de certification approuvées

La validation du certificat peut être nécessaire lorsque vous utilisez TLS (Transport Layer Security). Un serveur ou un client peut exiger que l'appareil lui présente un certificat valide avant que la communication ne soit établie.

Les certificats sont des fichiers texte qui vérifient l'authenticité du périphérique. Ces certificats doivent être signés par une autorité de certification approuvée (CA). Pour vérifier la signature des certificats, une liste d'autorités de certification approuvées doit résider sur le périphérique. La liste doit inclure toutes les autorités de certification nécessaires pour vérifier les certificats pour la journalisation d'audit et les autres connexions.

Les certificats sont utilisés pour les services suivants : serveur HTTPS, SIP, IEEE 802.1X et la journalisation d'audit. Vous pouvez stocker plusieurs certificats sur le périphérique, mais seul un certificat est activé pour chaque service à la fois.

Dans RoomOS octobre 2023 et versions ultérieures, lorsque vous ajoutez un certificat d'autorité de certification à un appareil, il est également appliqué à un navigateur de salle s'il est connecté. Pour synchroniser les certificats d'autorité de certification précédemment ajoutés avec un navigateur de salle connecté, vous devez redémarrer le périphérique. Si vous ne souhaitez pas que les périphériques reçoivent les mêmes certificats que l'appareil auquel ils sont connectés, définissez la configuration Certificats de sécurité des périphériques SyncToPeripherals sur False.

Pour la connexion Wi-Fi

Nous vous recommandons d'ajouter un certificat d'autorité de certification approuvé pour chaque périphérique Board, Desk ou Room Series, si votre réseau utilise l'authentification WPA-EAP. Vous devez le faire séparément pour chaque périphérique, et avant de vous connecter au réseau Wifi.

Pour ajouter des certificats pour votre connexion Wifi, vous avez besoin des fichiers suivants :

• Liste de certificats d'autorité de certification (format de fichier : .PEM)

• Certificat (format de fichier : .PEM)

• Clé privée, soit sous forme de fichier séparé, soit incluse dans le même fichier que le certificat (format de fichier : .PEM)

• Phrase secrète (nécessaire uniquement si la clé privée est chiffrée)

Le certificat et la clé privée sont stockés dans le même fichier sur le périphérique. Si l'authentification échoue, la connexion ne sera pas établie.

Le protocole simple d'enregistrement de certificats (SCEP) fournit un mécanisme automatisé pour l'inscription et l'actualisation des certificats qui sont utilisés, par exemple, l'authentification 802.1X sur les appareils. SCEP vous permet de maintenir l'accès de l'appareil à des réseaux sécurisés sans intervention manuelle.

• Lorsque le périphérique est neuf ou a été réinitialisé aux paramètres d'usine, il a besoin d'un accès réseau pour atteindre l'URL SCEP. Le périphérique doit être connecté au réseau sans 802.1X pour obtenir une adresse IP.

• Si vous utilisez une inscription sans fil SSID, vous devez passer par les écrans d'intégration pour configurer la connexion au réseau.

• Une fois connecté au réseau d'approvisionnement, l'appareil n'a pas besoin d'être sur un écran d'intégration particulier à ce stade.

• Pour s'adapter à tous les déploiements, les xAPI d'inscription SCEP ne stockent pas le certificat d'autorité de certification utilisé pour signer le certificat de l'appareil. Pour l'authentification du serveur, le certificat d'autorité de certification utilisé pour valider le certificat du serveur doit être ajouté avec xCommand Security Certificates CA Add.

Prérequis

Vous avez besoin des informations ci-dessous :

• URL du serveur SCEP.

• Empreinte digitale du certificat d'autorité de certification (Certificate Authority) signataire.

• Informations du certificat à inscrire. Ce nom constitue le nom de l'objet du certificat.

  • Nom commun

  • Nom du pays

  • Nom de l'État ou de la province

  • Nom de la localité

  • Nom de l'organisation

  • Unité organisationnelle

• Le nom du sujet sera trié comme /C= /ST= /L= /O= /OU= /CN=

• Le mot de passe de défi du serveur SCEP si vous avez configuré le serveur SCEP pour appliquer un mot de passe à usage unique ou un secret partagé.

Vous pouvez définir la taille de clé requise pour la paire de clés de demande de certificat à l'aide de la commande suivante. La valeur par défaut est 2048.

 Taille de la clé d'inscription de sécurité xConfiguration : <2048, 3072, 4096>

Nous envoyons une demande de certificat valable un an pour l'expiration du certificat. La stratégie côté serveur peut modifier la date d'expiration pendant la signature du certificat.

Connexion Ethernet

Lorsqu'un périphérique est connecté à un réseau, vérifiez qu'il peut accéder au serveur SCEP. L'appareil doit être connecté à un réseau sans 802.1x pour obtenir une adresse IP. L'adresse MAC de l'appareil peut devoir être fournie au réseau d'approvisionnement afin d'obtenir une adresse IP. L'adresse MAC se trouve sur l'interface utilisateur ou sur l'étiquette à l'arrière de l'appareil.

Une fois l'appareil connecté au réseau, vous pouvez SSH à l'appareil en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

Demande SCEP d'inscription aux services de certificats de sécurité xCommand 

Une fois que le serveur SCEP a renvoyé le certificat de périphérique signé, activez le 802.1X.

Activez le certificat signé :

Les services de certificats de sécurité xCommand s'activent 

Redémarrez l'appareil après avoir activé le certificat.

Connexion sans fil

Lorsqu'un périphérique est connecté à un réseau sans fil, vérifiez qu'il peut accéder au serveur SCEP.

Une fois l'appareil connecté au réseau, vous pouvez SSH à l'appareil en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

Demande SCEP d'inscription aux services de certificats de sécurité xCommand 

Le périphérique reçoit le certificat signé à partir du serveur SCEP.

Activez le certificat signé :

Les services de certificats de sécurité xCommand s'activent

Après l'activation, vous devez configurer le réseau Wi-Fi avec l'authentification EAP-TLS.

xCommand Network Wifi Configurer 

Par défaut, la configuration Wi-Fi ignore les vérifications de validation du serveur. Si une seule authentification unidirectionnelle est requise, conservez AllowMissingCA par défaut sur True.

Pour forcer la validation du serveur, assurez-vous que le paramètre facultatif AllowMissingCA a la valeur False. Si une connexion ne peut pas être établie en raison d'erreurs de validation de service, vérifiez que l'autorité de certification correcte a été ajoutée pour vérifier le certificat du serveur, qui peut être différent du certificat du périphérique.

API descriptions

Rôle : Admin, Intégrateur

Demande SCEP d'inscription aux services de certificats de sécurité xCommand

Envoie un CSR à un serveur SCEP donné pour signature. Les paramètres CSR SubjectName seront construits dans l'ordre suivant : C, ST, L, O, UOs, CN.

Paramètres :

• URL(r) : <S : 0, 256>

  L'adresse URL du serveur SCEP.

• Empreinte digitale : <S : 0, 128>

  Empreinte digitale du certificat CA qui signera la requête SCEP CSR.

• Nom commun(r) : <S : 0, 64>

  Ajoute « /CN= » au nom du sujet CSR.

• ChallengePassword : <S : 0, 256>

  Mot de passe à usage unique ou secret partagé du serveur SCEP pour l'accès à la signature.

• Nom du pays : <S : 0, 2>

  Ajoute « /c= » au nom du sujet CSR.

• StateOrProvinceName : <S : 0, 64>

  Ajoute « /ST= » au nom du sujet CSR.

• Nom de la localité : <S : 0, 64>

  Ajoute « /l= » au nom du sujet CSR.

• Nom de l'organisation : <S : 0, 64>

  Ajoute « /o= » au nom du sujet CSR.

• Unité organisationnelle[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres « /OU= » au nom du sujet CSR.

• SanDns[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres DNS au nom alternatif du sujet CSR.

• SanEmail[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres d'e-mail au CSR Nom alternatif de l'objet.

• SanIp[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres IP au nom alternatif du sujet CSR.

• SanUri[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres URI au nom alternatif du sujet CSR.

Profils d'inscription des services de certificats de sécurité xCommand Supprimer

Supprime un profil d'inscription pour ne plus renouveler les certificats.

Paramètres :

• Empreinte digitale : <S : 0, 128>

  L'empreinte digitale du certificat d'autorité de certification qui identifie le profil que vous souhaitez supprimer. Vous pouvez voir les profils disponibles à supprimer en cours d'exécution :

  Liste des profils d'inscription des services de certificats de sécurité xCommand

Liste des profils d'inscription des services de certificats de sécurité xCommand

Répertorie les profils d'inscription pour le renouvellement de certificat.

 Inscription des services de certificats de sécurité xCommand Définition des profils SCEP Empreinte digitale : <S : 0, 128> URL(r) : <S : 0, 256>

Ajoutez un profil d'inscription pour les certificats émis par l'empreinte d'autorité de certification afin d'utiliser l'URL SCEP donnée pour le renouvellement.

Renouvellement

 Enregistrement des services de certificats de sécurité xCommand Ensemble des profils SCEP

Pour renouveler automatiquement le certificat, l'appareil doit pouvoir accéder à l'URL SCEP qui peut signer le certificat.

Une fois par jour, l'appareil vérifie les certificats qui expireront dans 45 jours. L'appareil tentera ensuite de renouveler ces certificats si leur émetteur correspond à un profil.

REMARQUE : le renouvellement de tous les certificats d'appareil sera vérifié, même si le certificat n'a pas été initialement inscrit à l'aide de SCEP.

Navigateur

1. Jumelage direct : les certificats inscrits peuvent être activés en tant que certificat "Couplage".

2. Jumelé à distance : demandez au navigateur d'inscrire un nouveau certificat SCEP à l'aide de l'ID du périphérique :

   xCommand Périphériques Certificats de sécurité Services d'inscription Demande SCEP 

   Les profils d'inscription sont automatiquement synchronisés avec le navigateur jumelé.

3. Navigateur autonome : identique à l'inscription des codecs

Vous pouvez configurer l'authentification 802.1x directement à partir du menu Paramètres du navigateur de salle.

La norme d'authentification 802.1x est particulièrement importante pour les réseaux Ethernet ; elle garantit que seuls les périphériques autorisés sont autorisés à accéder aux ressources réseau. Vous pouvez utiliser un nom d'utilisateur et un mot de passe pour vous authentifier auprès du réseau ou utiliser des certificats clients. Il est également possible d'utiliser les deux en même temps. Les certificats clients doivent être téléchargés via le API et activés pour utiliser le service 802.1x.

La configuration et la mise à jour des certificats pour 802.1x doivent être effectuées avant le couplage du navigateur de salle à un système ou après la réinitialisation d'usine du navigateur de salle.

Les informations d'authentification par défaut sont admin et mot de passe vide. Pour plus d'informations sur la façon d'ajouter des certificats en accédant au API, consultez la dernière version du guide API .

1. Ouvrez le panneau de commande du navigateur en appuyant sur le bouton dans le coin supérieur droit ou en balayant à partir du côté droit. Puis, appuyez sur sur Paramètres du périphérique.
2. Accédez à Connexion réseau et sélectionnez Ethernet .
3. Basculez l'option Utiliser IEEE 802.1X sur Activer.
   • Si l'authentification est configurée avec des informations d'identification, saisissez l'identité de l'utilisateur et la phrase secrète. Vous pouvez également saisir une identité anonyme : il s'agit d'un champ facultatif qui permet de séparer l'identité de l'utilisateur réel de la demande d'authentification initiale.
   • Vous pouvez activer TLS Vérifier . Lorsque TLS verify est activé, le client vérifie activement l'authenticité du certificat du serveur lors de la négociation TLS. Lorsque TLS verify est désactivé, le client n'effectue pas de vérification active du certificat du serveur.
   • Si vous avez téléchargé un certificat client en accédant au API, activez Utiliser le certificat client.
   • Active ou désactivez les méthodes EAP (Extensible Authentication Protocol) que vous souhaitez utiliser. Le choix de la méthode EAP dépend des exigences spécifiques en matière de sécurité, de l'infrastructure et des capacités du client. Les méthodes EAP sont cruciales pour permettre un accès réseau sécurisé et authentifié.