תודה על המשוב.

ניתן להוסיף אישורים מממשק האינטרנט המקומי של המכשיר. לחלופין, באפשרותך להוסיף אישורים על-ידי הפעלת פקודות API. כדי לראות אילו פקודות מאפשרות לך להוסיף אישורים, ראה roomos .cisco.com.

אישורי שירות ו- CA מהימנים

ייתכן שיהיה צורך באימות אישור בעת שימוש ב- TLS (אבטחת שכבת תחבורה). שרת או לקוח עשויים לדרוש שההתקן יציג להם אישור חוקי לפני הגדרת התקשורת.

האישורים הם קבצי טקסט המאמתים את האותנטיות של המכשיר. אישורים אלה חייבים להיות חתומים על ידי רשות אישורים מהימנה (CA). כדי לאמת את החתימה של האישורים, רשימה של תעודות הסמכות המהימנות חייבת להיות בהתקן. הרשימה חייבת לכלול את כל ה-CA הדרושים כדי לאמת אישורים הן עבור רישום ביקורת והן עבור חיבורים אחרים.

אישורים משמשים עבור השירותים הבאים: שרת HTTPS, SIP, IEEE 802.1X ורישום ביקורת. ניתן לאחסן מספר אישורים בהתקן, אך רק אישור אחד מופעל עבור כל שירות בכל פעם.

ב- RoomOS באוקטובר 2023 ואילך, כאשר אתה מוסיף אישור CA למכשיר, הוא מוחל גם על Room Navigator אם אחד מחובר. כדי לסנכרן את אישורי ה- CA שנוספו בעבר למ Room Navigator חובר, עליך לאתחל את ההתקן. אם אינך מעוניין שציוד היקפי יקבל את אותם אישורים כמו המכשיר שאליו הוא מחובר, הגדר את התצורה SyncToPeripherals אישורי אבטחה של ציוד היקפי לתצורה False.

לחיבור Wi-Fi

אנו ממליצים להוסיף אישור CA מהימן לכל התקן Board, Desk או Room Series, אם הרשת שלך משתמשת באימות WPA-EAP. עליך לעשות זאת בנפרד עבור כל מכשיר, ולפני שתתחבר ל- Wi-Fi.

תעודות ותבניות מפתח נתמכות

• מערכת זו מקבלת קבצי אישור בפורמטים PEM או בינאריים.

• קבצי PEM עשויים להכיל הן את האישור והן את המפתח הפרטי בתוך אותו קובץ.

• המפתח הפרטי חייב להיות באותו פורמט כמו האישור; כלומר, שניהם חייבים להיות PEM או בינאריים.

• תבניות תעודות בינאריות נתמכות כוללות קבצי X.509 עם סיו מות .der, .cer או .crt, וקבצי PKCS7 עם סיומת.p7b.

• תבניות מפתח בינאריות פרטיות נתמכות כוללות מפתחות מוצפנים RSA או DSA, בדרך כלל עם סיומות .key, .der או .p8.

האישור והמפתח הפרטי מאוחסנים באותו קובץ בהתקן. אם האימות נכשל, החיבור לא יוקם.

על מנהלי מערכת ליצור בקשת חתימת אישורים (CSR) ממרכז הבקרה עבור התקן Board, Desk או Room Series הר שומים בענן.

בצע את השלבים הבאים כדי ליצור CSR ולהעלות אישור חתום למכשיר שלך:

1. מתצוגת הלקוח ב- Control Hub, עבור לדף התקנים ובחר את המכשיר שלך מהרשימה.
2. נווט אל פעולות > הפעל את XCommand > אבטחה > אישורים > CSR > צור.
3. הזן את פרטי האישור הנדרשים ובחר בצע.
4. העתק את כל הטקסט בין ----התחל בקשת אישור ----- ו---- סיום בקשת אישור -----.
5. השתמש ב- Certificate Authority (CA) לבחירתך כדי לחתום על CSR.
6. ייצוא האישור החתום בתבנית PEM (מקודד Base64).
7. פתח את קובץ האישור החתום בעורך טקסט (לדוגמה, פנקס רשימות) והעתק את כל הטקסט בין ----BEGIN CERTIFICATE---- ל- ----END CERTIFICATE----.
8. ברכזת הבקרה, נווט אל התקנים> בחר במכשיר שלך > פעולות > הפעל XCommand > אבטחה > אישורים > CSR > קישור.
9. הדבק את תוכן האישור שהועתק בקטע גוף ובחר בצע.
10. רענן את הדף כדי לוודא שהאישור מופיע תחת אישור קיים.

פרוטוקול רישום אישורים פשוט (SCEP) מספק מנגנון אוטומטי להר שמה ולרענון אישורים המשמשים לדוגמה אימות 802.1X בהתקנים. SCEP מאפשר לך לשמור על הגישה של המכשיר לר שתות מאובטחות ללא התערבות ידנית.

• כאשר המכשיר חדש או אופס להגדרות היצרן, הוא זקוק לגישה לרשת כדי להגיע לכתובת ה- SCEP. ההתקן צריך להיות מחובר לרשת ללא 802.1X כדי לקבל כתובת IP.

• אם אתה משתמש ב- SSID הרשמה אלחוטית, עבור על מסכי ההרשמה כדי להגדיר את החיבור לרשת.

• לאחר שתתחבר לרשת ההקצאה, ההתקן לא צריך להיות במסך כניסה מסוים.

• כדי להתאים לכל הפריסות, ה- XAPIs לרישום SCEP לא יאחסנו את אישור ה- CA המשמש לחתימה על אישור ההתקן. לצורך אימות שרת, יש להוסיף את אישור CA המשמש לאימות אישור השרת באמצעות תעו דות אבטחה של XCommand CA Add.

תנאים מוקדמים

אתה צריך את המידע הבא:

• כתובת האתר של שרת SCEP.

• טביעת אצבע של אישור CA (Certificate Authority) החתום.

• מידע על התעודה לרישום. זה מהווה את שם הנושא של האישור.

  • שם נפוץ

  • שם המדינה

  • שם המדינה או המחוז

  • שם היישוב

  • שם הארגון

  • יחידה ארגונית

• שם הנושא יוזמן כ- /C =/ST =/L =/O =/OU =/CN =

• סיסמת האתגר של שרת SCEP אם הגדרת את שרת SCEP לאכיפת OTP או סוד משותף.

באפשרותך להגדיר את גודל המפתח הנדרש עבור זוג המפתחות של בקשת האישור באמצעות הפקודה הבאה. ברירת המחדל היא 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

אנו שולחים בקשת אישור שתוקף לשנה אחת לפקיעת התעודה. המדיניות בצד השרת יכולה לשנות את תאריך התפוגה במהלך חתימת האישורים.

חיבור אתרנט

כאשר התקן מחובר לרשת, ודא שהוא יכול לגשת לשרת SCEP. ההתקן צריך להיות מחובר לרשת ללא 802.1x כדי לקבל כתובת IP. ייתכן שיהיה צורך לספק את כתובת ה- MAC של המכשיר לרשת ההקצאה כדי לקבל כתובת IP. ניתן למצוא את כתובת ה- MAC בממשק המשתמש או על התווית בחלק האחורי של המכשיר.

לאחר שההתקן מחובר לרשת, באפשרותך לבצע SSH למכשיר כ מנהל כדי לגשת ל- TSH, ולאחר מכן להפעיל את הפקודה הבאה כדי לשלוח את בקשת SCEP ההרשמה:

xCommand Security Certificates Services Enrollment SCEP Request 

לאחר ששרת SCEP יחזיר את אישור ההתקן החתום, הפעל את ה- 802.1X.

הפעל את האישור החתום:

xCommand Security Certificates Services Activate 

הפעל מחדש את ההתקן לאחר הפעלת האישור.

חיבור אלחוטי

כאשר התקן מחובר לרשת אלחוטית, ודא שהוא יכול לגשת לשרת SCEP.

לאחר שההתקן מחובר לרשת, באפשרותך לבצע SSH למכשיר כ מנהל כדי לגשת ל- TSH, ולאחר מכן להפעיל את הפקודה הבאה כדי לשלוח את בקשת SCEP ההרשמה:

xCommand Security Certificates Services Enrollment SCEP Request 

ההתקן מקבל את האישור החתום משרת SCEP.

הפעל את האישור החתום:

xCommand Security Certificates Services Activate

לאחר ההפעלה, עליך להגדיר את רשת ה- Wi-Fi באמצעות אימות EAP-TLS.

xCommand Network Wifi Configure 

כברירת מחדל, תצורת ה- Wi-Fi מדלגת על בדיקות אימות השרת. אם נדרש אימות חד כיווני בלבד, שמור על AllowMissingCA כברירת המחדל True.

כדי לכפות אימות שרת, ודא שהפרמטר האופציונלי allowMissingCA מו גדר כ- False. אם לא ניתן ליצור חיבור עקב שגיאות אימות שירות, בדוק שהתווסף ה- CA הנכון כדי לאמת את אישור השרת שעשוי להיות שונה מאישור ההתקן.

תיאורי ממשק API

תפקיד: מנהל, אינטגרטור

xCommand Security Certificates Services Enrollment SCEP Request

שולח CSR לשרת SCEP נתון לחתימה. הפרמטרים של CSR SubjectName ייבנו בסדר הבא: C, ST, L, O, OU, CN.

פרמטרים:

• כתובת אתר (ים): <S: 0, 256>

  כתובת ה- URL של שרת SCEP.

• טביעת אצבע (r): <S: 0, 128>

  טביעת אצבע תעודת CA שתחתום על בקשת SCEP CSR.

• שם משותף (ים): <S: 0, 64>

  מוסיף "/CN =" לשם נושא CSR.

• סיסמת אתגר: <S: 0, 256>

  OTP או סוד משותף משרת SCEP לגישה לחתימה.

• שם מדינה: <S: 0, 2>

  מוסיף "/C =" לשם נושא CSR.

• שם מדינה או מחוז: <S: 0, 64>

  מוסיף "/ST =" לשם נושא CSR.

• שם מקומית: <S: 0, 64>

  מוסיף "/L =" לשם נושא CSR.

• שם הארגון: <S: 0, 64>

  מוסיף "/O =" לשם נושא CSR.

• יחידה ארגונית [5]: <S: 0, 64>

  מוסיף עד 5 פרמטרים "/OU =" לשם נושא CSR.

• סנדנס [5]: <S: 0, 64>

  מוסיף עד 5 פרמטרים של Dns לשם חלופי נושא CSR.

• סאנמייל [5]: <S: 0, 64>

  מוסיף עד 5 פרמטרים של דוא"ל לשם חלופי נושא CSR.

• סניפ [5]: <S: 0, 64>

  מוסיף עד 5 פרמטרי Ip לשם חלופי נושא CSR.

• סאנורי [5]: <S: 0, 64>

  מוסיף עד 5 פרמטרים של Uri לשם חלופי נושא CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

מוחק פרופיל הרשמה כדי לא לחדש עוד אישורים.

פרמטרים:

• טביעת אצבע (r): <S: 0, 128>

  טביעת האצבע של אישור CA המזהה את הפרופיל שברצונך להסיר. אתה יכול לראות את הפרופילים הזמינים להסרה על ידי הפעלת:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

מפרט פרופילי הרשמה לחידוש האישורים.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

הוסף פרופיל הרשמה לאישורים שהונפקו על ידי טביעת האצבע של CA כדי להשתמש בכתובת ה-URL הנתונה של SCEP לחידוש.

חידוש

xCommand Security Certificates Services Enrollment SCEP Profiles Set

על מנת לחדש את האישור באופן אוטומטי, המכשיר צריך להיות מסוגל לגשת לכתובת ה - SCEP שיכולה להתפטר מהתעודה.

פעם ביום, המכשיר יבדוק אם יש אישורים שפג תוקפם תוך 45 יום. לאחר מכן המכשיר ינסה לחדש את האישור אם המנפיק שלהם תואם לפרו פיל.

הערה: כל אישורי ההתקן ייבדקו לחידוש, גם אם האישור לא נרשם במקור באמצעות SCEP.

נווט

1. התאמה ישירה: ניתן להפעיל אישורים רשומים כאישור "זיווג" .

2. מותאם מרחוק: אמור לנווט לרשום אישור SCEP חדש באמצעות מז הה ההיקפי:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   פרופילי ההרשמה מסונכרנים אוטומטית לנוו ט מותאם.

3. נווט עצמאי: זהה להרשמה לקודק

ניתן להגדיר אימות 802.1x ישירות מתפריט Room Navigator ההגדרות.

תקן האימות 802.1x חשוב במיוחד עבור רשתות Ethernet, והוא מבטיח שרק התקנים מורשים יקבלו גישה למשאבי הרשת.

אפשרויות כניסה שונות זמינות בהתבסס על שיטת EAP המוגדרת ברשת שלך. לדוגמה:

• TLS: שם המשתמש והסיסמה אינם בשימוש.
• PEAP: אישורים אינם בשימוש.
• TTLS: נדרשים גם שם משתמש/סיסמה וגם אישורים; אף אחד מהם אינו אופציונלי.

ישנן מספר דרכים להשיג את אישור הלקוח במכשיר:

1. העלה את ה- PEM: השתמש בתכונה הוספת שירותי אישורי אבטחה.
2. יצירת CSR: צור בקשת חתימת אישורים (CSR), חתום עליה וקשר אותה באמצעות אישורי אבטחה CSR Create/Link.
3. SCEP: השתמש בבקשת SCEP לרישום שירותי אישורי אבטחה.
4. אפשרות DHCP 43: הגדר את מסירת האישורים באמצעות אפשרות זו.

הגדרה ועדכון האישורים עבור 802.1x צריכים להיעשות לפני ההת Room Navigator אמה למערכת, או לאחר איפוס היצרן של ה-. Room Navigator

אישורי ברירת המחדל הם מנהל וסיסמה ריקה. לקבלת מידע נוסף על אופן הוספת אישורים על ידי גישה לממשק ה- API, עיין בגי רסה העדכנית ביותר של מדריך ה- API.

1. פתח את לוח הבקרה בנווט על ידי הקשה על הכפתור בפינה השמאלית העליונה או החלקה מצד ימין. לאחר מכן הקש על הגדרות התקן.
2. עבור אל חיבור רשת ובחר אתרנט.
3. הפעל את השימוש ב- IEEE 802.1X.
   • אם אימות מוגדר עם אישורים, הזן את זהות המשתמש ואת ביטוי הסיסמה. ניתן גם להכניס זהות אנונימית: זהו שדה אופציונלי המספק דרך להפריד בין זהות המשתמש בפועל לבקשת האימות הראשונית.
   • באפשרותך לבטל או להפעיל את אימות ה- TLS. כאשר אימות TLS מופעל, הלקוח מאמת באופן פעיל את האותנטיות של אישור השרת במהלך לחיצת היד של TLS. כאשר אימות ה- TLS כבוי, הלקוח אינו מבצע אימות פעיל של אישור השרת.
   • אם העלית אישור לקוח על-ידי גישה לממשק ה- API, הפעל את האפשרות 'השתמש באישור לקו ח'.
   • החלף את שיטות פרוטוקול האימות הניתן להרחבה (EAP) שברצונך להשתמש בהן. הבחירה בשיטת EAP תלויה בדרישות האבטחה הספציפיות, בתשתית וביכולות הלקוח. שיטות EAP חיוניות להפעלת גישה מאובטחת ומאומתת לרשת.

סיסקו תומכת כעת בשימוש באישורי מזהה התקן ייחודי מאובטח (SUDI) המובנים לאימות 802.1x אלחוטי. בעבר, אישורי SUDI נתמכו רק לאימות 802.1x קוויט/LAN.

תכונה זו זמינה החל מ- RoomOS 26.7.1.7. כל המכשירים שמריצים את RoomOS 26 תומכים בתכונה זו, בעוד שהיא אינה נתמכת ב- RoomOS 11.

כדי להפעיל תכונה זו, מנוע שירותי הזהות של Cisco (ISE) עבור רשת ה- Wi-Fi חייב להוסיף את אישורי ה- CA הבאים ל- ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

באפשרותך להפעיל את אישור SUDI באמצעות ממשק האינטרנט של ההתקן על-ידי בחירה באפשרות להשתמש באישור SUDI לאימות 802.1x.

לחלופין, השתמש בפקודה הבאה:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

כדי למצוא את טביעת האצבע של SUDI, הפעל:

xCommand Security Certificates Services Show

אם טביעת האצבע מופעלת בהצלחה, תראה ערכים דומים לאלה הבאים ב- eventlog /auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

לאחר הפעלת אישור SUDI, הגדר את רשת ה- Wi-Fi לשימוש באימות EAP-TLS. ניתן לעשות זאת מלוח המגע או מהמסך של המכשיר על ידי בחירת שיטת האימות כ- EAP-TLS.