- Accueil
- /
- Article
Merci pour votre commentaire.
Dans cet article
Un commentaire ?Vous pouvez installer un certificat d'appareil personnalisé (CDC) de manière manuelle ou automatique. Pour certains environnements, vous pouvez utiliser l'option DHCP 43 pour fournir les paramètres SCEP nécessaires à l'installation du certificat. Cet article d'aide concerne les téléphones de bureau Cisco de la gamme 9800 et le visiophone Cisco 8875 enregistrés auprès de Cisco BroadWorks.
Installation d'un certificat d'appareil personnalisé
Pour installer un certificat d'appareil personnalisé (CDC) sur votre téléphone, utilisez l'une des méthodes suivantes en fonction de votre situation :
Le dernier certificat installé sur le téléphone prend effet.
- Installation manuelle : vous pouvez installer un certificat en le téléchargeant depuis la page Web d'administration du téléphone. Pour plus de détails, voir Installation manuelle d'un certificat d'appareil personnalisé par téléchargement.
- Installation automatique : vous pouvez configurer les paramètres du protocole SCEP (Simple Certificate Enrollment Protocol) pour déclencher l'installation automatique d'un certificat. Le téléphone envoie des demandes SCEP à un serveur SCEP pour installer le certificat.
Les paramètres SCEP peuvent être configurés via la page Web d'administration du téléphone, le fichier de configuration du téléphone (cfg.xml) ou Control Hub. Pour plus de détails, voir Installation automatique d'un certificat d'appareil personnalisé par SCEP et Paramètres des paramètres du téléphone sur Control Hub.
- Option DHCP 43 : dans certains environnements, vous pouvez installer un certificat en utilisant l'option DHCP 43. L'option 43 peut fournir les paramètres SCEP pour l'installation du certificat. Pour plus de détails, voir Configuration des paramètres SCEP via l'option DHCP 43.
-
Lorsque vous utilisez l'option DHCP 43 pour configurer les paramètres SCEP, le téléphone peut également récupérer le nom de domaine transmis par l'option DHCP 15. Sur la base du nom de domaine récupéré, le téléphone peut créer le nom commun SCEP CSR et l'ID utilisateur 802.1X. Pour plus de détails, voir Fourniture d'un nom commun ou d'un identifiant utilisateur via l'option 15 du DHCP.
Pour plus d'informations sur la configuration des options DHCP, voir Configuration des options DHCP.
-
Installation manuelle du certificat d'appareil personnalisé par téléchargement
Vous pouvez installer manuellement un certificat d'appareil personnalisé (CDC) sur le téléphone en le téléchargeant depuis la page Web d'administration du téléphone.
Avant de commencer
Avant de pouvoir installer un certificat d'appareil personnalisé pour un téléphone, vous devez avoir :
- Un fichier de certificat (.p12 ou .pfx) enregistré sur votre PC. Le fichier contient le certificat et la clé privée.
- L'extrait du mot de passe du certificat. Le mot de passe est utilisé pour déchiffrer le fichier du certificat.
| 1 |
Accédez à la page Web d'administration du téléphone. |
| 2 |
Sélectionnez un certificat. |
| 3 |
Dans la section Ajouter un certificat, cliquez sur Parcourir... . |
| 4 |
Accédez au certificat sur votre PC. |
| 5 |
Dans le champ Extraire le mot de passe, saisissez le mot de passe d'extraction du certificat. |
| 6 |
Cliquez sur Télécharger. Si le fichier du certificat et le mot de passe sont corrects, vous recevrez le message «
Certificate added.». Sinon, le téléchargement échoue et un message d'erreur indique que le certificat ne peut pas être chargé. |
| 7 |
Pour vérifier les détails du certificat installé, cliquez sur Afficher dans la section Certificats existants. |
| 8 |
Pour supprimer le certificat installé sur le téléphone, cliquez sur Supprimer dans la section Certificats existants. Une fois que vous avez cliqué sur le bouton, l'opération de suppression démarre immédiatement sans confirmation. Une fois le certificat retiré, le |
Installation automatique du certificat d'appareil personnalisé par le SCEP
Vous pouvez configurer les paramètres liés au protocole SCEP (Simple Certificate Enrollment Protocol) pour interagir avec le serveur SCEP et installer automatiquement le Custom Device Certificate (CDC).
Une fois l'un des paramètres SCEP configuré, le téléphone envoie une demande d'inscription au SCEP au serveur. Le téléphone validera le certificat CA reçu à l'aide de l'empreinte digitale configurée.
Avant de commencer
Avant de pouvoir installer automatiquement un certificat d'appareil personnalisé (CDC) pour un téléphone, vous devez avoir :
- Adresse du serveur SCEP
- Empreinte digitale SHA-1 ou SHA-256 de l'autorité de certification qui délivre le certificat téléphonique
| 1 |
Accédez à la page Web d'administration du téléphone. |
| 2 |
Sélectionnez un certificat. |
| 3 |
Dans la section Configuration SCEP 1, définissez les paramètres comme décrit dans Paramètres de configuration SCEP. |
| 4 |
Cliquez sur Soumettre toutes les modifications. |
Paramètres de configuration SCEP
Le tableau suivant décrit le fonctionnement et l'utilisation des paramètres de configuration SCEP dans la section Configuration SCEP 1 de l'onglet Certificat de la page Web d'administration du téléphone. Il inclut également la syntaxe des chaînes que vous ajoutez au fichier de configuration du téléphone (cfg.xml) pour configurer un paramètre.
La modification du paramètre Reuse Challenge Password for Renewal ne fait que mettre à jour la politique de renouvellement et ne déclenche pas l'inscription immédiate. Cependant, si vous modifiez tout autre paramètre d'inscription au SCEP, le téléphone demandera automatiquement un nouveau certificat.
| Paramètre | Description |
|---|---|
| Serveur |
Adresse du serveur SCEP. Ce paramètre est obligatoire. Effectuez l'une des opérations suivantes :
Valeurs valides : URL ou adresse IP. Le schéma HTTPS n'est pas pris en charge. Par défaut : vide |
| Empreinte digitale du Canada |
Entrez l'empreinte SHA-256 ou SHA-1 du certificat CA qui a délivré le certificat téléphonique. Le certificat CA doit être inclus dans la
Effectuez l'une des opérations suivantes :
Le paramètre XML conserve l'ancien nom
Par défaut : vide |
| Mot de passe du défi |
Le mot de passe de défi pour l'autorisation Certificate Authority (CA) par téléphone lors de l'inscription d'un certificat via SCEP. Ce paramètre est facultatif. Selon l'environnement SCEP actuel, le comportement du mot de passe de défi varie.
Effectuez l'une des opérations suivantes :
Par défaut : vide |
| Nom usuel |
Spécifie le nom commun (CN) utilisé comme identifiant pour le téléphone qui demande le certificat. Le CN est utilisé pour les demandes de signature de certificats (CSR) dans le cadre du processus SCEP. Ce paramètre prend également en charge les variables d'expansion des macros, voir Variables d'expansion des macros pour plus de détails. Effectuez l'une des opérations suivantes :
Valeurs valides : 64 caractères maximum Par défaut : vide |
| Nom du pays |
Spécifie le pays de l'organisation. Effectuez l'une des opérations suivantes :
Valeurs valides : chaîne de 0 à 2 caractères Par défaut : vide |
| Nom de l'État ou de la province |
Spécifie l'État ou la province de l'organisation. Effectuez l'une des opérations suivantes :
Valeurs valides : chaîne de 0 à 64 caractères. Par défaut : vide |
| Nom de la localité |
Spécifie le nom de la localité du sujet du certificat. Effectuez l'une des opérations suivantes :
Valeurs valides : chaîne de 0 à 64 caractères Par défaut : vide |
| Nom de l'organisation |
Spécifie le nom du sujet de la demande de signature de certificat (CSR). Effectuez l'une des opérations suivantes :
Valeurs valides : chaîne de 0 à 64 caractères Par défaut : vide |
| Unité organisationnelle |
Spécifie les noms des unités organisationnelles pour le sujet de la demande de signature de certificat (CSR). Le téléphone ajoutera jusqu'à 5 paramètres « /OU= » au nom du sujet de la CSR. Effectuez l'une des opérations suivantes :
Valeurs valides : Chaque entrée est un tableau de chaînes de 0 à 64 caractères séparés par une virgule, d'une longueur maximale de 512 caractères. Il est possible de spécifier jusqu'à 5 unités. Par défaut : vide |
| SAN DNS |
Spécifie les paramètres du serveur de noms de domaine (DNS) pour le nom alternatif du sujet (SAN) de la demande de signature de certificat (CSR). Le téléphone ajoutera jusqu'à cinq paramètres DNS au CSR SAN. Effectuez l'une des opérations suivantes :
Valeurs valides : Chaque entrée est un tableau de chaînes de 0 à 64 caractères séparés par une virgule, d'une longueur maximale de 512 caractères. Jusqu'à cinq paramètres DNS peuvent être spécifiés. Par défaut : vide |
| SAN IP |
Spécifie les paramètres IP du nom alternatif du sujet (SAN) de la demande de signature de certificat (CSR). Le téléphone ajoutera jusqu'à cinq paramètres IP au CSR SAN. Effectuez l'une des opérations suivantes :
Valeurs valides : Chaque entrée est un tableau de chaînes de 0 à 64 caractères séparés par une virgule, d'une longueur maximale de 512 caractères. Jusqu'à cinq paramètres IP peuvent être spécifiés. Par défaut : vide |
| E-mail SAN |
Spécifie les paramètres de messagerie pour le nom alternatif du sujet (SAN) de la demande de signature de certificat (CSR). Le téléphone ajoutera jusqu'à cinq paramètres de messagerie au CSR SAN. Effectuez l'une des opérations suivantes :
Valeurs valides : Chaque entrée est un tableau de chaînes de 0 à 64 caractères séparés par une virgule, d'une longueur maximale de 512 caractères. Vous pouvez spécifier jusqu'à cinq paramètres d'e-mail. Par défaut : vide |
| SAN URI |
Spécifie les paramètres URI pour le nom alternatif du sujet (SAN) de la demande de signature de certificat (CSR). Le téléphone ajoutera jusqu'à cinq paramètres URI au CSR SAN. Effectuez l'une des opérations suivantes :
Valeurs valides : Chaque entrée est un tableau de chaînes de 0 à 64 caractères séparés par une virgule, d'une longueur maximale de 512 caractères. Jusqu'à cinq paramètres d'URI peuvent être spécifiés. Par défaut : vide |
Renouvellement du certificat par le SCEP
Le certificat de l'appareil peut être actualisé automatiquement selon le processus SCEP.
- Le téléphone vérifie toutes les 4 heures si le certificat expirera dans 15 jours. Si c'est le cas, le téléphone lance automatiquement le processus de renouvellement du certificat.
- Si le mot de passe du challenge est vide, le téléphone utilise le MIC/SUDI pour l'inscription initiale et le renouvellement du certificat. Si le mot de passe du challenge est configuré, il est utilisé pour l'inscription initiale uniquement, le certificat existant/installé est utilisé pour le renouvellement du certificat.
- Le téléphone ne retire pas l'ancien certificat de l'appareil tant qu'il n'a pas récupéré le nouveau.
- Si le renouvellement du certificat échoue parce que le certificat de l'appareil ou le certificat de certification expire, le téléphone déclenche automatiquement l'inscription initiale. En attendant, si l'authentification par mot de passe du défi échoue, un écran de saisie du mot de passe apparaît sur l'écran du téléphone et les utilisateurs sont invités à saisir le mot de passe du défi sur le téléphone.
Configuration du nom commun du CDC
Par défaut, le nom commun du MIC/SUDI est utilisé comme nom commun du CDC.
Vous pouvez configurer le nom commun du CDC lorsque vous installez le certificat. Utilisez l'une des méthodes suivantes pour installer un CDC sur le téléphone :
-
Générez une demande de signature de certificat (CSR) contenant le nom commun de votre choix, puis téléchargez et installez le nouveau certificat sur la page Web d'administration du téléphone.
-
Configurez le nom commun via la page Web d'administration du téléphone, le fichier de configuration du téléphone (cfg.xml) ou Control Hub. Cela déclenchera la demande automatique d'un nouveau certificat par téléphone.
Pour plus d'informations sur les paramètres de la page Web du téléphone et sur Control Hub, voir Installation automatique d'un certificat d'appareil personnalisé par SCEP et Paramètres des paramètres du téléphone sur Control Hub.
- Utilisez les options DHCP 43 et 15 pour fournir un nom commun au CDC et une identité filaire 802.1X.
Pour plus d'informations, voir Fourniture d'un nom commun ou d'un identifiant utilisateur via l'option 15 du DHCP.
Configuration des paramètres SCEP via l'option DHCP 43
Dans certains environnements, vous ne pouvez pas installer le certificat d'appareil personnalisé (CDC) en le téléchargeant ou en configurant directement les paramètres SCEP. Dans ce cas, vous pouvez utiliser l'option DHCP 43 pour fournir les paramètres SCEP d'un serveur DHCP au téléphone. Une fois le téléphone réinitialisé aux paramètres d'usine, il reçoit les paramètres du serveur DHCP et installe le CDC en utilisant le SCEP.
- Cette fonctionnalité (configuration des paramètres SCEP via l'option DHCP 43) n'est disponible que pour les téléphones dont les paramètres d'usine ont été réinitialisés.
- Ne déployez pas de téléphones utilisant les options 43 sur un réseau qui utilise également le provisionnement à distance (par exemple, les options 66, 150, 159 et 160, ou le provisionnement dans le cloud). Sinon, les téléphones risquent de ne pas bénéficier des configurations de l'option 43.
Pour installer un certificat CDC à l'aide des paramètres SCEP fournis par l'option DHCP 43, procédez comme suit :
- Préparez un environnement SCEP.
Pour plus d'informations sur la configuration de l'environnement SCEP, consultez la documentation de votre serveur SCEP.
- Configurez l'option DHCP 43 (définie dans 8.4 Informations spécifiques au fournisseur, RFC 2132).
Les sous-options (10 à 15) sont réservées à la méthode :
Paramètre sur la page Web du téléphone Sous-option Type Longueur (octet) Obligatoire Mode FIPS 10 booléenne 1 Non* Serveur 11 chaîne 208 - longueur (mot de passe du défi) Oui Empreinte digitale Root CA 12 hexadécimal 20, 32, 48 ou 64 Oui Mot de passe du défi 13 chaîne 208 - longueur (serveur) Non* Activez l'authentification 802.1X 14 booléenne 1 Non Certificate Select 15 8 bits non signés 1 Non * signifie que le paramètre est configuré en fonction de la situation réelle.
Lorsque vous utilisez l'option DHCP 43, notez les caractéristiques suivantes de la méthode :
- Les sous-options (10 à 15) sont réservées au certificat d'appareil personnalisé (CDC).
- La longueur maximale de l'option DHCP 43 est de 255 octets.
- La longueur maximale du mot de passe du serveur et du challenge doit être inférieure à 208 octets.
- La valeur du mode FIPS doit correspondre à la configuration d'approvisionnement d'intégration.
Sinon, le téléphone ne récupère pas le certificat précédemment installé après l'
intégration. Plus précisément,
- Si le téléphone est enregistré dans un environnement où le mode FIPS est désactivé, vous n'avez pas besoin de configurer le mode FIPS dans l'option DHCP 43. Par défaut, le mode FIPS est désactivé.
- Si le téléphone est enregistré dans un environnement où le mode FIPS est activé, vous devez activer le mode FIPS dans l'option DHCP 43. Voir Activer le mode FIPS pour plus de détails.
- Le mot de passe du challenge dans l'option 43 est en texte clair.
- Pour que le téléphone utilise MIC/SUDI pour l'inscription initiale et le renouvellement du certificat, laissez le mot de passe du challenge vide.
- Pour utiliser le mot de passe du défi uniquement pour la première inscription, indiquez-le et définissez Réutiliser le mot de passe du défi pour le renouvellement sur Non. Dans ce cas, le certificat installé est utilisé pour le renouvellement du certificat.
- Activez l'authentification 802.1X et la sélection des certificats ne s'appliquent qu'aux téléphones connectés aux réseaux filaires.
- L'option DHCP 60 (Vendor Class Identifier) est utilisée pour identifier le modèle de l'appareil.
Exemple de l'option DHCP 43 (sous-options 10 à 15) :
Sous-option décimale/hexadécimale Longueur de la valeur (octet) décimal/hexadécimal Valeur Valeur hexadécimale 10/0a 1/01 1 (0 : Désactivé ; 1 : Activé) 01 11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931 12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF 13/0j 16/10 D233CCF9B9952A15 44323333434346394239393532413135 14/0e 1/01 1 (0 : Non ; 1 : Oui) 01 15/0f 1/01 1 (0 : Installation de fabrication ; 1 : Installation personnalisée) 01 Résumé des valeurs des paramètres :
-
Mode FIPS =
Enabled -
Server =
http://10.79.57.91 -
Empreinte digitale Root CA =
12040870625C5B755D73F5925285F8F5FF5D55AF -
Mot de passe du défi =
D233CCF9B9952A15 -
Activez l'authentification 802.1X =
Yes -
Certificate Select =
Custom installed
La syntaxe de la valeur hexadécimale finale est la suivante :
{<suboption><length><value>}...Selon les valeurs des paramètres ci-dessus, la valeur hexadécimale finale est la suivante :
0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101 - Configurez l'option DHCP 43 sur un serveur DHCP.
Cette étape fournit un exemple des configurations DHCP option 43 sur Cisco Network Register.
- Ajouter un ensemble de définitions d'options DHCP.
La chaîne d'options du fournisseur est le nom du modèle des téléphones IP. La valeur valide est : DP-9841, DP-9851, DP-9861, DP-9871 ou CP-8875.
- Ajoutez l'option DHCP 43 et ses sous-options au jeu de définitions d'options DHCP.
Exemple :
- Ajoutez les options 43 à la politique DHCP et définissez la valeur comme suit :
Exemple :
(10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1) - Vérifiez les paramètres. Vous pouvez utiliser Wireshark pour suivre le trafic réseau entre le téléphone et le service.
- Ajouter un ensemble de définitions d'options DHCP.
- Réinitialisez le téléphone aux paramètres d'usine.
Une fois le téléphone réinitialisé, les paramètres Server, Root CA Fingerprint et Challenge Password sont remplis automatiquement. Ces paramètres se trouvent dans la section Configuration 1 du SCEP, sous , sur la page Web d'administration du téléphone.
Pour voir les détails du certificat installé, cliquez sur Afficher dans la section Certificats existants.
Pour vérifier l'état d'installation du certificat, sélectionnez Le champ État du téléchargement 1 indique le dernier résultat. Si un problème survient lors de l'inscription au certificat, l'état du téléchargement indique la raison, à des fins de résolution des problèmes.
Si l'authentification par mot de passe échoue, le téléphone invite les utilisateurs à saisir le mot de passe sur l'écran du téléphone.
- (Facultatif) : Pour supprimer le certificat installé sur le téléphone, cliquez sur Supprimer dans la section Certificats existants.
Lorsque vous cliquez sur Supprimer, le téléphone supprime le certificat immédiatement, sans demande de confirmation.
Fourniture du nom commun ou de l'identifiant utilisateur via l'option DHCP 15
Lors de l'inscription au certificat SCEP via l'option DHCP 43, le téléphone peut également obtenir le nom de domaine fourni dans l'option DHCP 15 (si elle est configurée). Une fois que le téléphone a reçu le nom de domaine, il peut créer le nom commun ou l'identifiant utilisateur à partir du nom de domaine, qui est représenté comme suit :
- Nom commun = <Common Name in MIC/SUDI >. <Domain Name in Option 15>
Le nom commun sera utilisé pour la RSE dans le processus SCEP, et plus tard, ce sera le nom commun du CDC.
- ID utilisateur = <Common Name in MIC/SUDI > @ <Domain Name in Option 15>
Le nom d'utilisateur sera utilisé comme identité pour l'authentification filaire 802.1X.
Par exemple, l'adresse MAC du téléphone est 00:1 A:2B:3C:4D:5E, le modèle de téléphone est 9871 :
| Nom de domaine dans le DHCP, option 15 | Nom usuel | Nom d'utilisateur |
|---|---|---|
| example.nl | CP-9871-Sep001a2b3c4d5e.example.nl | CP-9871-SEP001A2B3C4D5E@example.nl |
| Vide | CP-9871-SEP001A2B3C4D5E |
CP-9871-SEP001A2B3C4D5E |
Si le nom de domaine n'est pas configuré dans l'option 15, le nom commun et l'identifiant utilisateur seront les mêmes que ceux du MIC/SUDI.
