Merci pour votre commentaire.

Vous pouvez ajouter des certificats depuis l'interface Web locale de l'appareil. Vous pouvez également ajouter des certificats en exécutant des commandes API. Pour voir quelles commandes vous permettent d'ajouter des certificats, rendez-vous sur roomos.cisco.com.

Certificats de service et autorités de certification fiables

La validation du certificat peut être requise pour utiliser le protocole TLS (Transport Layer Security). Un serveur ou un client peut avoir besoin que l'appareil présente un certificat valide pour que la communication soit établie.

Les certificats sont des fichiers texte qui vérifient l'authenticité de l'appareil. Ces certificats doivent être signés par une autorité de certification (CA) fiable. Pour vérifier la signature des certificats, une liste des autorités de certification fiables doit figurer sur l'appareil. La liste doit inclure toutes les autorités de certification nécessaires pour vérifier les certificats, à la fois pour la journalisation des audits et pour les autres connexions.

Les certificats sont utilisés pour les services suivants : serveur HTTPS, SIP, IEEE 802.1X et journalisation des audits. Vous pouvez stocker plusieurs certificats sur l'appareil, mais un seul certificat est activé pour chaque service à la fois.

Sur RoomOS à partir d'octobre 2023, lorsque vous ajoutez un certificat CA à un appareil, il est également appliqué à un Room Navigator s'il est connecté. Pour synchroniser les certificats CA ajoutés précédemment avec un appareil connectéRoom Navigator, vous devez redémarrer l'appareil. Si vous ne voulez pas que les périphériques obtiennent les mêmes certificats que l'appareil auquel ils sont connectés, définissez la configuration Peripherals Security Certificates SynctoPeripherals sur False.

Pour la connexion Wi-Fi

Nous vous recommandons d'ajouter un certificat CA fiable pour chaque appareil Board, Desk ou Room Series, si votre réseau utilise l'authentification WPA-EAP. Vous devez le faire individuellement pour chaque appareil, et avant de vous connecter au Wi-Fi.

Formats de certificats et de clés pris en charge

• Ce système accepte les fichiers de certificats au format PEM ou binaire.

• Les fichiers PEM peuvent contenir à la fois le certificat et la clé privée dans le même fichier.

• La clé privée doit être au même format que le certificat, c'est-à-dire que les deux doivent être au format PEM ou binaire.

• Les formats de certificats binaires pris en charge incluent les fichiers X.509 avec les extensions .der, .cer ou .crt, et les fichiers PKCS7 avec l'extension .p7b.

• Les formats de clés privées binaires pris en charge incluent les clés cryptées RSA ou DSA, généralement avec les extensions .key, .der ou .p8.

Le certificat et la clé privée sont stockés dans le même fichier sur l'appareil. Si l'authentification échoue, la connexion ne sera pas établie.

Les administrateurs doivent générer une demande de signature de certificat (CSR) depuis le Control Hub pour un appareil Board, Desk ou Room Series enregistré dans le cloud.

Suivez ces étapes pour générer un CSR et télécharger un certificat signé sur votre appareil :

1. Depuis l'écran client de Control Hub, rendez-vous sur la page Appareils et sélectionnez votre appareil dans la liste.
2. Accédez à Actions > Exécuter la commande > Sécurité > Certificats > CSR > Créer.
3. Entrez les informations de certificat requises et sélectionnez Exécuter.
4. Copiez tout le texte entre ----COMMENCER LA DEMANDE DE CERTIFICAT---- et ----FIN DE LA DEMANDE DE CERTIFICAT----.
5. Utilisez la Certificate Authority (CA) de votre choix pour signer le CSR.
6. Exportez le certificat signé au format PEM (encodé en Base64).
7. Ouvrez le fichier du certificat signé dans un éditeur de texte (par exemple, le bloc-notes) et copiez tout le texte entre ----BEGIN CERTIFICATE---- et ----END CERTIFICATE----.
8. Dans Control Hub, accédez à Appareils > sélectionnez votre appareil > Actions > Exécuter XCommand > Sécurité > Certificats > CSR > Lien.
9. Collez le contenu du certificat copié dans la section Corps et sélectionnez Exécuter.
10. Actualisez la page pour vérifier que le certificat apparaît sous Certificat existant.

Le protocole SCEP (Simple Certificate Enrollment Protocol) fournit un mécanisme automatisé d'inscription et d'actualisation des certificats utilisés, par exemple, pour l' authentification 802.1X sur les appareils. Le SCEP vous permet de maintenir l'accès de l'appareil à des réseaux sécurisés sans intervention manuelle.

• Lorsque l'appareil est neuf ou qu'il a été réinitialisé aux paramètres d'usine, il a besoin d'un accès réseau pour accéder à l'URL SCEP. L'appareil doit être connecté au réseau sans 802.1X pour obtenir une adresse IP.

• Si vous utilisez un SSID d'inscription sans fil, consultez les écrans d'intégration pour configurer la connexion au réseau.

• Une fois connectée au réseau d'approvisionnement, l'appareil n'a pas besoin de figurer sur un écran d'intégration en particulier.

• Pour s'adapter à tous les déploiements, les xAPI SCEP Enrollment ne stockeront pas le certificat CA utilisé pour signer le certificat de l'appareil. Pour l'authentification du serveur, le certificat CA utilisé pour valider le certificat du serveur doit être ajouté à XCommand Security Certificates CA Add.

Prérequis

vous avez besoin des informations suivantes :

• URL du serveur SCEP.

• Empreinte digitale du certificat CA (Certificate Authority) signataire.

• Informations sur le certificat d'inscription. C'est le titre du sujet du certificat.

  • Nom usuel

  • Nom du pays

  • Nom de l'État ou de la province

  • Nom de la localité

  • Nom de l'organisation

  • Unité organisationnelle

• Le nom du sujet sera classé comme suit : /C = /ST = /L = /O = /OU = /CN =

• Le mot de passe de défi du serveur SCEP si vous avez configuré le serveur SCEP pour appliquer un OTP ou un secret partagé.

Vous pouvez définir la taille de touche requise pour la paire de clés de demande de certificat à l'aide de la commande suivante. La valeur par défaut est 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Nous envoyons une demande de certificat valable un an pour l'expiration du certificat. La politique côté serveur peut modifier la date d'expiration lors de la signature du certificat.

Connexion Ethernet

Lorsqu'un appareil est connecté à un réseau, assurez-vous qu'il peut accéder au serveur SCEP. L'appareil doit être connecté à un réseau sans 802.1x pour obtenir une adresse IP. L'adresse MAC de l'appareil devra peut-être être fournie au réseau d'approvisionnement afin d'obtenir une adresse IP. L'adresse MAC se trouve sur l'interface utilisateur ou sur l'étiquette au dos de l'appareil.

Une fois l'appareil connecté au réseau, vous pouvez vous connecter à l'appareil par SSH en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

xCommand Security Certificates Services Enrollment SCEP Request 

Une fois que le serveur SCEP aura renvoyé le certificat signé de l'appareil, activez le 802.1X.

Activez le certificat signé :

xCommand Security Certificates Services Activate 

Redémarrez l'appareil après avoir activé le certificat.

Connexion sans fil

Lorsqu'un appareil est connecté à un réseau sans fil, assurez-vous qu'il peut accéder au serveur SCEP.

Une fois l'appareil connecté au réseau, vous pouvez vous connecter à l'appareil par SSH en tant qu'administrateur pour accéder à TSH, puis exécuter la commande suivante pour envoyer la demande SCEP d'inscription :

xCommand Security Certificates Services Enrollment SCEP Request 

L'appareil reçoit le certificat signé depuis le serveur SCEP.

Activez le certificat signé :

xCommand Security Certificates Services Activate

Après l'activation, vous devez configurer le réseau Wi-Fi avec l'authentification EAP-TLS.

xCommand Network Wifi Configure 

Par défaut, la configuration Wi-Fi ignore les contrôles de validation du serveur. Si une seule authentification unidirectionnelle est requise, donnez à AllowMissingCA la valeur True par défaut.

Pour forcer la validation du serveur, assurez-vous que le paramètre optionnel AllowMissingCA est défini sur False. Si la connexion ne peut pas être établie à cause d'erreurs de validation du service, vérifiez que la bonne autorité de certification a été ajoutée pour vérifier le certificat du serveur, qui peut être différent de celui de l'appareil.

Descriptions des API

Rôle : Administrateur, Intégrateur

xCommand Security Certificates Services Enrollment SCEP Request

Envoie un CSR à un serveur SCEP donné pour signature. Les paramètres CSR SubjectName seront construits dans l'ordre suivant : C, ST, L, O, OU, CN.

Paramètres :

• URL (r) : <S : 0, 256>

  L'adresse URL du serveur SCEP.

• Empreinte digitale (r) : <S : 0, 128>

  Empreinte digitale du certificat CA qui signera le CSR de la demande SCEP.

• Nom commun (r) : <S : 0, 64>

  Ajoute « /CN= » au nom du sujet du CSR.

• Mot de passe du défi : <S : 0, 256>

  OTP ou secret partagé depuis le serveur SCEP pour accéder à la signature.

• Nom du pays : <S : 0, 2>

  Ajoute « /C= » au nom du sujet du CSR.

• Nom de l'État ou de la province : <S : 0, 64>

  Ajoute « /ST= » au nom du sujet du CSR.

• Nom de la localité : <S : 0, 64>

  Ajoute « /L= » au nom du sujet du CSR.

• Nom de l'organisation : <S : 0, 64>

  Ajoute « /O= » au nom du sujet du CSR.

• Unité organisationnelle [5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres « /OU= » au nom du sujet de la CSR.

• Et NS [5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres DNS au nom alternatif du sujet CSR.

• Un e-mail [5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres d'e-mail au nom alternatif du sujet de la CSR.

• Une adresse IP [5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres IP au nom alternatif du sujet de la CSR.

• San Uri [5] : <S : 0, 64>

  Ajoute jusqu'à 5 paramètres d'URI au nom alternatif du sujet de la CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Supprime un profil d'inscription pour ne plus renouveler les certificats.

Paramètres :

• Empreinte digitale (r) : <S : 0, 128>

  L'empreinte digitale du certificat CA qui identifie le profil que vous souhaitez supprimer. Vous pouvez voir les profils disponibles à supprimer en exécutant :

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Répertorie les profils d'inscription pour le renouvellement des certificats.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Ajoutez un profil d'inscription pour les certificats émis par l'empreinte digitale du CA afin d'utiliser l' URL SCEP indiquée pour le renouvellement.

Renouvellement

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Pour renouveler automatiquement le certificat, l'appareil doit pouvoir accéder à l'URL SCEP qui permet de résilier le certificat.

Une fois par jour, l'appareil vérifie s'il y a des certificats qui expireront dans 45 jours. L' appareil tentera ensuite de renouveler ces certificats si leur émetteur correspond à un profil.

REMARQUE : Tous les certificats des appareils seront vérifiés en vue de leur renouvellement, même s'ils n'ont pas été initialement enregistrés via le SCEP.

Navigateur

1. Jumelage direct : les certificats inscrits peuvent être activés en tant que certificats « jumelés ».

2. Couplé à distance : demandez au navigateur d'enregistrer un nouveau certificat SCEP en utilisant l' identifiant du périphérique :

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Les profils d'inscription sont automatiquement synchronisés avec le navigateur associé.

3. Navigateur autonome : comme pour l'inscription aux codecs

Vous pouvez configurer l'authentification 802.1x directement depuis Room Navigator le menu Paramètres.

La norme d'authentification 802.1x est particulièrement importante pour les réseaux Ethernet, car elle garantit que seuls les appareils autorisés ont accès aux ressources du réseau.

Différentes options de connexion sont disponibles en fonction de la méthode EAP configurée sur votre réseau. Par exemple :

• TLS : le nom d'utilisateur et le mot de passe ne sont pas utilisés.
• PEAP : Les certificats ne sont pas utilisés.
• TTLS : nom d'utilisateur/mot de passe et certificats sont obligatoires ; aucun des deux n'est facultatif.

Il existe plusieurs manières d'obtenir le certificat client sur un appareil :

1. Téléchargez le PEM : utilisez la fonction d'ajout de services de certificats de sécurité.
2. Créez le CSR : générez une demande de signature de certificat (CSR), signez-la et associez-la à l'aide de Security Certificates CSR Create/Link.
3. SCEP : Demande SCEP d'inscription aux services de certificats de sécurité.
4. Option DHCP 43 : configurez la délivrance du certificat via cette option.

La configuration et la mise à jour des certificats pour la norme 802.1x doivent être effectuées avant de les associer Room Navigator à un système, ou après avoir réinitialisé les paramètres d'usine. Room Navigator

Les informations d'identification par défaut sont administrateur et mot de passe vide. Pour plus d'informations sur la manière d'ajouter des certificats en accédant à l'API, consultez la dernière version du guide des API.

1. Ouvrez le panneau de commande du navigateur en appuyant sur le bouton en haut à droite ou en le balayant depuis la droite. Appuyez ensuite sur Paramètres de l'appareil.
2. Accédez à Connexion réseau et sélectionnez Ethernet.
3. Activez Utiliser la norme IEEE 802.1X.
   • Si l'authentification est configurée à l'aide d'informations d'identification, entrez l'identité utilisateur et la phrase secrète. Vous pouvez également saisir une identité anonyme : il s'agit d'un champ facultatif qui permet de séparer l'identité réelle de l'utilisateur de la demande d'authentification initiale.
   • Vous pouvez activer ou désactiver TLS Verify. Lorsque la vérification TLS est activée, le client vérifie activement l'authenticité du certificat du serveur lors de la prise de contact TLS. Lorsque la vérification TLS est désactivée, le client n'effectue pas de vérification active du certificat du serveur.
   • Si vous avez chargé un certificat client en accédant à l'API, activez Utiliser le certificat client.
   • Choisissez la méthode EAP (Extensible Authentication Protocol) que vous souhaitez utiliser. Le choix de la méthode EAP dépend des exigences de sécurité spécifiques, de l'infrastructure et des capacités du client. Les méthodes EAP sont cruciales pour permettre un accès réseau sécurisé et authentifié.

Cisco prend désormais en charge l'utilisation des certificats Secure Unique Device Identifier (SUDI) intégrés pour l'authentification sans fil 802.1x. Auparavant, les certificats SUDI n'étaient pris en charge que pour l'authentification 802.1x filaire/LAN.

Cette fonctionnalité est disponible à partir de RoomOS 26.7.1.7. Tous les appareils exécutant RoomOS 26 prennent en charge cette fonctionnalité, alors qu'elle ne l'est pas sur RoomOS 11.

Pour activer cette fonctionnalité, le moteur Cisco Identity Services Engine (ISE) pour le réseau Wi-Fi doit ajouter les certificats CA suivants à l'ISE TrustStore :

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Vous pouvez activer le certificat SUDI via l'interface Web de l'appareil en sélectionnant l' option permettant d'utiliser le certificat SUDI pour l'authentification 802.1x.

Sinon, utilisez la commande suivante :

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Pour trouver l'empreinte SUDI, tapez :

xCommand Security Certificates Services Show

Si l'empreinte digitale est activée avec succès, vous verrez des entrées similaires aux suivantes dans le journal des événements et des audits :

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Après avoir activé le certificat SUDI, configurez le réseau Wi-Fi pour utiliser l'authentification EAP-TLS. Cela peut se faire depuis l'écran tactile ou l'écran de l'appareil en sélectionnant la méthode d'authentification EAP-TLS.