Vous pouvez ajouter des certificats à partir de l'interface Web locale de l'appareil. Vous pouvez également ajouter des certificats en exécutant les commandes API. Pour voir quelles commandes vous permettent d'ajouter des certificats, reportez-vous à # roomos.cisco.com .

Certificats de service et autorités de certification approuvées

Une validation de certificat peut être requise lors de l'utilisation de TLS (Transport Layer Security). Un serveur ou un client peut exiger que le périphérique leur présente un certificat valide avant de configurer la communication.

Les certificats sont des fichiers texte qui vérifient l'authenticité de l'appareil. Ces certificats doivent être signés par une autorité de confiance Certificate Authority (CA). Pour vérifier la signature des certificats, une liste d'autorités de certification approuvées doit résider sur le périphérique. La liste doit inclure toutes les autorités de certification nécessaires à la vérification des certificats pour la journalisation d'audit et d'autres connexions.

Les certificats sont utilisés pour les services suivants : serveur HTTPS, SIP, IEEE 802.1X et journalisation d'audit. Vous pouvez stocker plusieurs certificats sur l'appareil, mais un seul certificat est activé pour chaque service à la fois.

Sur RoomOS octobre 2023 et versions ultérieures, lorsque vous ajoutez un certificat d'autorité de certification à un appareil, il est également appliqué à un Room Navigator s'il est connecté. Pour synchroniser les certificats d'autorité de certification précédemment ajoutés avec un Room Navigator connecté, vous devez redémarrer le périphérique. Si vous ne souhaitez pas que les périphériques reçoivent les mêmes certificats que l'appareil auquel ils sont connectés, définissez la configuration Certificats de sécurité des périphériques SyncToPeripherals sur False.

Pour la connexion Wi-Fi

Nous vous recommandons d'ajouter un certificat d'autorité de certification approuvé pour chaque périphérique Board, Desk ou Room Series, si votre réseau utilise l'authentification WPA-EAP. Vous devez le faire individuellement pour chaque appareil et avant de vous connecter à Wi-Fi.

Pour ajouter des certificats pour votre connexion Wi-Fi, vous avez besoin des fichiers suivants :

• Liste des certificats d'autorité de certification (format de fichier : . PEM)

• Certificat (format de fichier : . PEM)

• Clé privée, soit en tant que fichier séparé, soit incluse dans le même fichier que le certificat (format de fichier : . PEM)

• Phrase secrète (requise uniquement si la clé privée est chiffrée)

Le certificat et la clé privée sont stockés dans le même fichier sur l'appareil. Si l'authentification échoue, la connexion ne sera pas établie.

Les administrateurs doivent générer une demande de signature de certificat (CSR) à partir de Control Hub pour un périphérique Board, Desk ou Room Series enregistré dans le cloud.

Suivez ces étapes pour générer un CSR et télécharger un certificat signé sur votre appareil :

1. Dans la vue client de Control Hub, accédez à la page Appareils et sélectionnez votre appareil dans la liste.
2. Accédez à Actions > exécuter xCommand > sécurité > certificats > CSR > créer.
3. Entrez les détails du certificat requis et sélectionnez Exécuter.
4. Copiez tout le texte entre ----DÉBUT DE LA DEMANDE DE CERTIFICAT---- et ----FIN DE LA DEMANDE DE CERTIFICAT----.
5. Utilisez un Certificate Authority (CA) de votre choix pour signer le CSR.
6. Exportez le certificat signé au format PEM (codé en Base64).
7. Ouvrez le fichier de certificat signé dans un éditeur de texte (par exemple, le Bloc-notes) et copiez tout le texte entre ----DÉBUT DU CERTIFICAT---- et ----FIN DU CERTIFICAT----.
8. Dans Control Hub, accédez à Périphériques > sélectionnez les actions > de votre appareil > exécuter le lien xCommand > security > > CSR >.
9. Collez le contenu du certificat copié dans la section Corps et sélectionnez Exécuter.
10. Actualisez la page pour vérifier que le certificat apparaît sous Certificat existant.

Le protocole simple d'enregistrement de certificats (SCEP) fournit un mécanisme automatisé pour l'inscription et l'actualisation des certificats qui sont utilisés, par exemple, l'authentification 802.1X sur les appareils. SCEP vous permet de maintenir l'accès de l'appareil à des réseaux sécurisés sans intervention manuelle.

• Lorsque le périphérique est neuf ou a été réinitialisé aux paramètres d'usine, il a besoin d'un accès réseau pour atteindre l'URL SCEP. Le périphérique doit être connecté au réseau sans 802.1X pour obtenir une adresse IP.

• Si vous utilisez une inscription sans fil SSID, passez par les écrans d'intégration pour configurer la connexion avec le réseau.

• Une fois connecté au réseau d'approvisionnement, l'appareil n'a pas besoin d'être sur un écran d'intégration particulier.

• Pour s'adapter à tous les déploiements, les xAPI d'inscription SCEP ne stockent pas le certificat d'autorité de certification utilisé pour signer le certificat de l'appareil. Pour l'authentification du serveur, le certificat d'autorité de certification utilisé pour valider le certificat du serveur doit être ajouté avec xCommand Security Certificates CA Add.

Prérequis

Vous avez besoin des informations ci-dessous :

• URL du serveur SCEP.

• Empreinte digitale du certificat d'autorité de certification (Certificate Authority) signataire.

• Informations du certificat à inscrire. Ce nom constitue le nom de l'objet du certificat.

  • Nom commun

  • Nom du pays

  • Nom de l'État ou de la province

  • Nom de la localité

  • Nom de l'organisation

  • Unité organisationnelle

• Le nom du sujet sera trié comme /C= /ST= /L= /O= /OU= /CN=

• Le mot de passe de défi du serveur SCEP si vous avez configuré le serveur SCEP pour appliquer un mot de passe à usage unique ou un secret partagé.

Vous pouvez définir la taille de clé requise pour la paire de clés de demande de certificat à l'aide de la commande suivante. La valeur par défaut est 2048.

 Taille de la clé d'inscription de sécurité xConfiguration : <2048, 3072, 4096>

Nous envoyons une demande de certificat valable un an pour l'expiration du certificat. La stratégie côté serveur peut modifier la date d'expiration pendant la signature du certificat.

Connexion Ethernet

Lorsqu'un périphérique est connecté à un réseau, vérifiez qu'il peut accéder au serveur SCEP. L'appareil doit être connecté à un réseau sans 802.1x pour obtenir une adresse IP. Il peut être nécessaire de fournir l'adresse MAC de l'appareil au réseau d'approvisionnement afin d'obtenir une adresse IP. L'adresse MAC se trouve dans l'interface utilisateur ou sur l'étiquette à l'arrière de l'appareil.

Une fois l'appareil connecté au réseau, vous pouvez SSH à l'appareil en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

Demande SCEP d'inscription aux services de certificats de sécurité xCommand 

Une fois que le serveur SCEP a renvoyé le certificat de périphérique signé, activez le 802.1X.

Activez le certificat signé :

Les services de certificats de sécurité xCommand s'activent 

Redémarrez l'appareil après avoir activé le certificat.

Connexion sans fil

Lorsqu'un périphérique est connecté à un réseau sans fil, vérifiez qu'il peut accéder au serveur SCEP.

Une fois l'appareil connecté au réseau, vous pouvez SSH à l'appareil en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

Demande SCEP d'inscription aux services de certificats de sécurité xCommand 

Le périphérique reçoit le certificat signé à partir du serveur SCEP.

Activez le certificat signé :

Les services de certificats de sécurité xCommand s'activent

Après l'activation, vous devez configurer le réseau Wi-Fi avec l'authentification EAP-TLS.

xCommand Network Wifi Configurer 

Par défaut, la configuration Wi-Fi ignore les vérifications de validation du serveur. Si une seule authentification unidirectionnelle est requise, conservez AllowMissingCA par défaut sur True.

Pour forcer la validation du serveur, assurez-vous que le paramètre facultatif AllowMissingCA a la valeur False. Si une connexion ne peut pas être établie en raison d'erreurs de validation de service, vérifiez que l'autorité de certification correcte a été ajoutée pour vérifier le certificat du serveur, qui peut être différent du certificat du périphérique.

API descriptions

Rôle : Admin, Intégrateur

Demande SCEP d'inscription aux services de certificats de sécurité xCommand

Envoie un CSR à un serveur SCEP donné pour signature. Les paramètres CSR SubjectName seront construits dans l'ordre suivant : C, ST, L, O, UOs, CN.

Paramètres :

• URL(r) : <S : 0, 256>

  L'adresse URL du serveur SCEP.

• Empreinte digitale : <S : 0, 128>

  Empreinte digitale du certificat d'autorité de certification qui signera la requête SCEP CSR.

• Nom commun(r) : <S : 0, 64>

  Ajoute « /CN= » au nom du sujet CSR.

• ChallengePassword : <S : 0, 256>

  Mot de passe à usage unique ou secret partagé du serveur SCEP pour l'accès à la signature.

• Nom du pays : <S : 0, 2>

  Ajoute « /c= » au nom du sujet CSR.

• StateOrProvinceName : <S : 0, 64>

  Ajoute « /ST= » au nom du sujet CSR.

• Nom de la localité : <S : 0, 64>

  Ajoute « /l= » au nom du sujet CSR.

• Nom de l'organisation : <S : 0, 64>

  Ajoute « /o= » au nom du sujet CSR.

• Unité organisationnelle[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres « /OU= » au nom du sujet CSR.

• SanDns[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres DNS au nom alternatif du sujet CSR.

• SanEmail[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres d'e-mail au nom alternatif de l'objet CSR.

• SanIp[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres IP au nom alternatif du sujet CSR.

• SanUri[5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres URI au nom alternatif du sujet CSR.

Profils d'inscription des services de certificats de sécurité xCommand Supprimer

Supprime un profil d'inscription pour ne plus renouveler les certificats.

Paramètres :

• Empreinte digitale : <S : 0, 128>

  L'empreinte digitale du certificat d'autorité de certification qui identifie le profil que vous souhaitez supprimer. Vous pouvez voir les profils disponibles à supprimer en cours d'exécution :

  Liste des profils d'inscription des services de certificats de sécurité xCommand

Liste des profils d'inscription des services de certificats de sécurité xCommand

Répertorie les profils d'inscription pour le renouvellement de certificat.

 Inscription des services de certificats de sécurité xCommand Définition des profils SCEP Empreinte digitale : <S : 0, 128> URL(r) : <S : 0, 256>

Ajoutez un profil d'inscription pour les certificats émis par l'empreinte d'autorité de certification afin d'utiliser l'URL SCEP donnée pour le renouvellement.

Renouvellement

 Enregistrement des services de certificats de sécurité xCommand Ensemble des profils SCEP

Pour renouveler automatiquement le certificat, l'appareil doit pouvoir accéder à l'URL SCEP qui peut signer le certificat.

Une fois par jour, l'appareil vérifie les certificats qui expireront dans 45 jours. L'appareil tentera ensuite de renouveler ces certificats si leur émetteur correspond à un profil.

REMARQUE : le renouvellement de tous les certificats d'appareil sera vérifié, même si le certificat n'a pas été initialement inscrit à l'aide de SCEP.

Navigateur

1. Jumelage direct : les certificats inscrits peuvent être activés en tant que certificat "Couplage".

2. Jumelé à distance : demandez au navigateur d'inscrire un nouveau certificat SCEP à l'aide de l'ID du périphérique :

   xCommand Périphériques Certificats de sécurité Services d'inscription Demande SCEP 

   Les profils d'inscription sont automatiquement synchronisés avec le navigateur jumelé.

3. Navigateur autonome : identique à l'inscription des codecs

Vous pouvez configurer l'authentification 802.1x directement à partir du menu Paramètres de Room Navigator.

La norme d'authentification 802.1x est particulièrement importante pour les réseaux Ethernet ; elle garantit que seuls les périphériques autorisés sont autorisés à accéder aux ressources réseau.

Différentes options de connexion sont disponibles en fonction de la méthode EAP configurée dans votre réseau. Par exemple :

• TLS : Le nom d'utilisateur et le mot de passe ne sont pas utilisés.
• PEAP : Les certificats ne sont pas utilisés.
• TTLS : le nom d'utilisateur/mot de passe et les certificats sont requis ; ni l'un ni l'autre n'est facultatif.

Il existe plusieurs façons d'obtenir le certificat client sur un appareil :

1. Chargez le PEM : utilisez la fonctionnalité Ajouter des services de certificats de sécurité.
2. Créez le CSR : Générer une demande de signature de certificat (CSR), signez-la et liez-la à l'aide des certificats de sécurité CSR Créer/Lier.
3. SCEP : utiliser la demande SCEP d'inscription aux services de certificats de sécurité.
4. DHCP Option 43 : Configurez la livraison du certificat via cette option.

La configuration et la mise à jour des certificats pour 802.1x doivent être effectuées avant de coupler le Room Navigator à un système, ou après la réinitialisation d'usine du Room Navigator.

Les informations d'authentification par défaut sont admin et mot de passe vide. Pour plus d'informations sur la façon d'ajouter des certificats en accédant au API, consultez la dernière version du guide API.

1. Ouvrez le panneau de commande du navigateur en appuyant sur le bouton dans le coin supérieur droit ou en balayant à partir du côté droit. Puis, appuyez sur sur Paramètres du périphérique.
2. Accédez à Connexion réseau et sélectionnez Ethernet .
3. Basculez l'option Utiliser IEEE 802.1X sur Activer.
   • Si l'authentification est configurée avec des informations d'identification, saisissez l'identité de l'utilisateur et la phrase secrète. Vous pouvez également saisir une identité anonyme : il s'agit d'un champ facultatif qui permet de séparer l'identité de l'utilisateur réel de la demande d'authentification initiale.
   • Vous pouvez activer# TLS Vérifier . Lorsque TLS verify est activé, le client vérifie activement l'authenticité du certificat du serveur lors de la négociation TLS. Lorsque TLS verify est désactivé, le client n'effectue pas de vérification active du certificat du serveur.
   • Si vous avez téléchargé un certificat client en accédant au API, activez l'option Utiliser le certificat client.
   • Active ou désactivez les méthodes EAP (Extensible Authentication Protocol) que vous souhaitez utiliser. Le choix de la méthode EAP dépend des exigences de sécurité spécifiques, de l'infrastructure et des capacités du client. Les méthodes EAP sont cruciales pour permettre un accès réseau sécurisé et authentifié.