Vous pouvez ajouter des certificats à partir de l'interface web locale du périphérique. Vous pouvez également ajouter des certificats en exécutant API commandes. Pour voir quelles commandes vous permettent d'ajouter des certificats, reportez-vous à # roomos.cisco.com .

Certificats de service et autorités de certification approuvées

La validation du certificat peut être nécessaire lorsque vous utilisez TLS (Transport Layer Security). Un serveur ou un client peut exiger que l'appareil lui présente un certificat valide avant que la communication ne soit établie.

Les certificats sont des fichiers texte qui vérifient l'authenticité du périphérique. Ces certificats doivent être signés par une autorité de certification approuvée (CA). Pour vérifier la signature des certificats, une liste d'autorités de certification approuvées doit résider sur le périphérique. La liste doit inclure toutes les autorités de certification nécessaires pour vérifier les certificats pour la journalisation d'audit et les autres connexions.

Les certificats sont utilisés pour les services suivants : serveur HTTPS, SIP, IEEE 802.1X et la journalisation d'audit. Vous pouvez stocker plusieurs certificats sur le périphérique, mais seul un certificat est activé pour chaque service à la fois.

Dans RoomOS octobre 2023 et versions ultérieures, lorsque vous ajoutez un certificat d'autorité de certification à un appareil, il est également appliqué à un navigateur de salle s'il est connecté. Pour synchroniser les certificats d'autorité de certification précédemment ajoutés avec un navigateur de salle connecté, vous devez redémarrer le périphérique. Si vous ne souhaitez pas que les périphériques reçoivent les mêmes certificats que l'appareil auquel ils sont connectés, définissez la configuration Certificats de sécurité des périphériques SyncToPeripherals sur False.

Pour Wi-Fi connexion

Nous vous recommandons d'ajouter un certificat d'autorité de certification approuvé pour chaque périphérique Board, Desk ou Room Series, si votre réseau utilise l'authentification WPA-EAP. Vous devez le faire séparément pour chaque périphérique, et avant de vous connecter au réseau Wifi.

Pour ajouter des certificats pour votre connexion Wifi, vous avez besoin des fichiers suivants :

• Liste de certificats d'autorité de certification (format de fichier : .PEM)

• Certificat (format de fichier : .PEM)

• Clé privée, soit sous forme de fichier séparé, soit incluse dans le même fichier que le certificat (format de fichier : .PEM)

• Phrase secrète (nécessaire uniquement si la clé privée est chiffrée)

Le certificat et la clé privée sont stockés dans le même fichier sur le périphérique. Si l'authentification échoue, la connexion ne sera pas établie.

Le protocole simple d'enregistrement de certificats (SCEP) fournit un mécanisme automatisé pour l'inscription et l'actualisation des certificats qui sont utilisés, par exemple, l'authentification 802.1X sur les appareils. SCEP vous permet de maintenir l'accès de l'appareil à des réseaux sécurisés sans intervention manuelle.

• Lorsque le périphérique est neuf ou a été réinitialisé aux paramètres d'usine, il a besoin d'un accès réseau pour atteindre l'URL SCEP. Le périphérique doit être connecté au réseau sans 802.1X pour obtenir une adresse IP.

• Si vous utilisez une SSID d'inscription sans fil, vous devez passer par les écrans d'intégration pour configurer la connexion avec le réseau.

• Une fois connecté au réseau d'approvisionnement, l'appareil n'a pas besoin d'être sur un écran d'intégration particulier à ce stade.

• Pour s'adapter à tous les déploiements, les xAPI d'inscription SCEP ne stockent pas le certificat d'autorité de certification utilisé pour signer le certificat de l'appareil. Pour l'authentification du serveur, le certificat d'autorité de certification utilisé pour valider le certificat du serveur doit être ajouté avec xCommand Security Certificates CA Add.

Prérequis

Vous avez besoin des informations ci-dessous :

• URL du serveur SCEP.

• Empreinte digitale du certificat d'autorité de certification (Certificate Authority) signataire.

• Informations du certificat à inscrire. Ce nom constitue le nom de l'objet du certificat.

  • Nom commun

  • Nom du pays

  • Nom de l'État ou de la province

  • Nom de la localité

  • Nom de l'organisation

  • Unité organisationnelle

• Le nom du sujet sera trié comme /C= /ST= /L= /O= /OU= /CN=

• Le mot de passe de défi du serveur SCEP si vous avez configuré le serveur SCEP pour appliquer un mot de passe à usage unique ou un secret partagé.

Vous pouvez définir la taille de clé requise pour la paire de clés de demande de certificat à l'aide de la commande suivante. La valeur par défaut est 2048.

 Taille de la clé d'inscription de sécurité xConfiguration : <2048, 3072, 4096>

Nous envoyons une demande de certificat valable un an pour l'expiration du certificat. La stratégie côté serveur peut modifier la date d'expiration pendant la signature du certificat.

Connexion Ethernet

Lorsqu'un périphérique est connecté à un réseau, vérifiez qu'il peut accéder au serveur SCEP. L'appareil doit être connecté à un réseau sans 802.1x pour obtenir une adresse IP. Il peut être nécessaire de fournir l'adresse MAC du périphérique au réseau d'approvisionnement pour obtenir une adresse IP. L'adresse MAC se trouve dans l'interface utilisateur ou sur l'étiquette située à l'arrière de l'appareil.

Une fois l'appareil connecté au réseau, vous pouvez SSH à l'appareil en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

Demande SCEP d'inscription aux services de certificats de sécurité xCommand 

Une fois que le serveur SCEP a renvoyé le certificat de périphérique signé, activez le 802.1X.

Activez le certificat signé :

Les services de certificats de sécurité xCommand s'activent 

Redémarrez l'appareil après avoir activé le certificat.

Connexion sans fil

Lorsqu'un périphérique est connecté à un réseau sans fil, vérifiez qu'il peut accéder au serveur SCEP.

Une fois l'appareil connecté au réseau, vous pouvez SSH à l'appareil en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

Demande SCEP d'inscription aux services de certificats de sécurité xCommand 

Le périphérique reçoit le certificat signé à partir du serveur SCEP.

Activez le certificat signé :

Les services de certificats de sécurité xCommand s'activent

Après l'activation, vous devez configurer le réseau Wi-Fi avec l'authentification EAP-TLS.

xCommand Network Wifi Configurer 

Par défaut, la configuration du Wi-Fi ignore les vérifications de validation du serveur. Si une seule authentification unidirectionnelle est requise, conservez AllowMissingCA par défaut sur True.

Pour forcer la validation du serveur, assurez-vous que le paramètre facultatif AllowMissingCA a la valeur False. Si une connexion ne peut pas être établie en raison d'erreurs de validation de service, vérifiez que l'autorité de certification correcte a été ajoutée pour vérifier le certificat du serveur, qui peut être différent du certificat du périphérique.

API descriptions

Rôle : Admin, Intégrateur

Demande SCEP d'inscription aux services de certificats de sécurité xCommand

Envoie un CSR à un serveur SCEP donné pour signature. Les paramètres CSR SubjectName seront construits dans l'ordre suivant : C, ST, L, O, UOs, CN.

Paramètres :

• URL(r) : <S : 0, 256>

  L'adresse URL du serveur SCEP.

• Empreinte digitale : <S : 0, 128>

  Empreinte digitale du certificat d'autorité de certification qui signera la demande SCEP CSR.

• Nom commun(r) : <S : 0, 64>

  Ajoute « /CN= » au nom du sujet CSR.

• ChallengePassword : <S : 0, 256>

  Mot de passe à usage unique ou secret partagé du serveur SCEP pour l'accès à la signature.

• Nom du pays : <S : 0, 2>

  Ajoute « /C= » au nom du sujet CSR.

• StateOrProvinceName : <S : 0, 64>

  Ajoute « /ST= » au nom du sujet CSR.

• Nom de la localité : <S : 0, 64>

  Ajoute « /l= » au nom du sujet CSR.

• Nom de l'organisation : <S : 0, 64>

  Ajoute « /o= » au nom du sujet CSR.

• Unité organisationnelle[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres « /OU= » au nom du sujet CSR.

• SanDns[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres DNS au nom alternatif de l'objet CSR.

• SanEmail[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres d'e-mail au nom alternatif de l'objet CSR.

• SanIp[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres IP au CSR nom alternatif de l'objet.

• SanUri[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres d'URI au nom alternatif de l'objet CSR.

Profils d'inscription des services de certificats de sécurité xCommand Supprimer

Supprime un profil d'inscription pour ne plus renouveler les certificats.

Paramètres :

• Empreinte digitale : <S : 0, 128>

  Identifiant unique du certificat qui est supprimé. Vous pouvez obtenir l'identification d'empreinte digitale en exécutant :

   Les services de certificats de sécurité xCommand s'affichent

Liste des profils d'inscription des services de certificats de sécurité xCommand

Répertorie les profils d'inscription pour le renouvellement de certificat.

 Inscription des services de certificats de sécurité xCommand Définition des profils SCEP Empreinte digitale : <S : 0, 128> URL(r) : <S : 0, 256>

Ajouter un nouveau certificat

Renouvellement

 Enregistrement des services de certificats de sécurité xCommand Ensemble des profils SCEP

Pour renouveler automatiquement le certificat, l'appareil doit pouvoir accéder à l'URL SCEP qui peut signer le certificat.

Une fois par jour, l'appareil vérifie les certificats qui expireront dans 45 jours. L'appareil tentera ensuite de renouveler ces certificats si leur émetteur correspond à un profil.

REMARQUE : le renouvellement de tous les certificats d'appareil sera vérifié, même si le certificat n'a pas été initialement inscrit à l'aide de SCEP.

Navigateur

1. Jumelage direct : les certificats inscrits peuvent être activés en tant que certificat "Couplage".

2. Jumelé à distance : demandez au navigateur d'inscrire un nouveau certificat SCEP à l'aide de l'ID du périphérique :

   xCommand Périphériques Certificats de sécurité Services d'inscription Demande SCEP 

   Les profils d'inscription sont automatiquement synchronisés avec le navigateur jumelé.

3. Navigateur autonome : identique à l'inscription des codecs