Hvala na povratnim informacijama.

Certifikate možete dodati s lokalnog web sučelja uređaja. Alternativno, možete dodati certifikate pokretanjem API naredbi. Da biste vidjeli koje naredbe omogućuju dodavanje certifikata, pogledajte roomos .cisco.com.

Servisni certifikati i pouzdani CA

Validacija certifikata može biti potrebna kada se koristi TLS (Transport Layer Security). Poslužitelj ili klijent mogu zahtijevati da im uređaj predoči valjani certifikat prije postavljanja komunikacije.

Certifikati su tekstualne datoteke koje provjeravaju autentičnost uređaja. Te certifikate moraju biti potpisane od strane pouzdanog certifikacijskog tijela (CA). Da biste provjerili potpis certifikata, popis pouzdanih CA mora se nalaziti na uređaju. Popis mora sadržavati sve agencije koje su potrebne za provjeru certifikata i za evidenciju revizije i za druge veze.

Certifikati se koriste za sljedeće usluge: HTTPS poslužitelj, SIP, IEEE 802.1X i evidentiranje revizije. Na uređaj možete pohraniti nekoliko certifikata, ali za svaku uslugu istodobno je omogućen samo jedan certifikat.

Na RoomOS listopadu 2023. i kasnije, kada dodate CA certifikat uređaju, primjenjuje se i na Room Navigator ako je povezan. Da biste sinkronizirali prethodno dodate CA certifikate s povezanimRoom Navigator, morate ponovno pokrenuti uređaj. Ako ne želite da periferni uređaji dobivaju iste certifikate kao i uređaj na koji je spojen, postavite konfiguraciju Sigur nosni certifikati perifernih uređaja SyncToPeripherals na False.

Za Wi-Fi vezu

Preporučujemo da dodate pouzdani CA certifikat za svaki uređaj Board, Desk ili Room Series ako vaša mreža koristi WPA-EAP provjeru autentičnosti. To morate učiniti pojedinačno za svaki uređaj i prije nego što se povežete s Wi-Fi mrežom.

Podržani certifikati i ključni formati

• Ovaj sustav prihvaća datoteke certifikata u PEM ili binarnim formatima.

• PEM datoteke mogu sadržavati i certifikat i privatni ključ unutar iste datoteke.

• Privatni ključ mora biti u istom formatu kao i certifikat; to jest, oba moraju biti ili PEM ili binarna.

• Podržani formati binarnih certifikata uključuju X.509 datoteke s ekstenzijama .der, .cer ili .crt te datoteke PKCS7 s ekstenzijom.p7b.

• Podržani formati binarnih privatnih ključeva uključuju RSA ili DSA šifrirane ključeve, obično s ekstenzijama .key, .der ili .p8.

Certifikat i privatni ključ pohranjeni su u istoj datoteci na uređaju. Ako provjera autentičnosti ne uspije, veza neće biti uspostavljena.

Administratori moraju generirati zahtjev za potpisivanje certifikata (CSR) iz kontrolnog čvorišta za uređaj registrovan u oblaku Board, Desk ili Room Series.

Slijedite ove korake da biste generirali CSR i prenijeli potpisani certifikat na svoj uređaj:

1. U prikazu korisnika u Control Hubu idite na stranicu Uređaji i odaberite svoj uređaj s popisa.
2. Idite na Radnje > Pokreni XCommand > Sigurnost > Certifikati > CSR > Stvori.
3. Unesite potrebne detalje certifikata i odaberite Izvrši.
4. Kopirajte sav tekst između ----- ZAHTJEV ZA ZAHTJEV ZA CERTIFIKAT---- i ----ZAHTJEV ZA ZAVRŠETKOM CERTIFIKATA----.
5. Upotrije Certificate Authority bite (CA) po vašem izboru za potpisivanje CSR-a.
6. Izvezite potpisani certifikat u PEM (Base64-kodirani) format.
7. Otvorite datoteku potpisanog certifikata u uređivaču teksta (npr. Notepad) i kopirajte sav tekst između ----BEGIN CERTIFIKAT---- i ----END CERTIFICATE----.
8. U upravljačkom čvorištu idite na Uređaji > odaberite uređaj > Radnje > Pokreni XCommand > Sigur nost > Certifikati > CSR > Link.
9. Zalijepite kopirani sadržaj certifikata u odjeljak Tijelo i odaberite Izvrši.
10. Osvježite stranicu da biste provjerili da li se certifikat pojavljuje u odjeljku Postojeći certifikat.

Simple Certificate Enrollment Protocol (SCEP) pruža automatizirani mehanizam za upis i osvježavanje certifikata koji se koriste na primjer 802.1X autentifikacija na uređajima. SCEP vam omogućuje održavanje pristupa uređaja sigurnim mrežama bez ručne intervencije.

• Kada je uređaj nov ili je vraćen na tvorničke postavke, potreban mu je pristup mreži da bi došao do SCEP URL-a. Uređaj bi trebao biti spojen na mrežu bez 802.1X kako bi se dobila IP adresa.

• Ako koristite SSID za bežični upis, prođite kroz zaslone za uključivanje kako biste konfigurirali vezu s mrežom.

• Nakon što ste povezani s mrežom za pružanje usluga, uređaj ne mora biti na određenom zaslonu za uključivanje.

• Da bi odgovarali svim implementacijama, SCEP Enrollment XAPI-ji neće pohraniti CA certifikat koji se koristi za potpisivanje certifikata uređaja. Za provjeru autentičnosti poslužitelja, CA certifikat koji se koristi za provjeru potvrde poslužitelja mora se dodati pomoću XCommand Security Certificates CA Add.

Preduvjeti

Potrebne su vam sljedeće informacije:

• URL SCEP poslužitelja.

• Otisak prsta potpisnog CA (Certificate Authority) certifikata.

• Informacije o potvrdi za upis. To čini naziv predmeta certifikata.

  • Uobičajeno ime

  • Naziv države

  • Naziv države ili pokrajine

  • Naziv lokaliteta

  • Naziv organizacije

  • Organizacijska jedinica

• Naziv predmeta bit će poredan kao /C = /ST = /L = /O = /OU = /CN =

• Lozinka izazova SCEP poslužitelja ako ste konfigurirali SCEP poslužitelj za provođenje OTP-a ili zajedničke tajne.

Potrebnu veličinu ključa za par ključeva zahtjeva za certifikat možete postaviti pomoću sljedeće naredbe. Zadana vrijednost je 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Za istek certifikata šaljemo zahtjev za certifikat koji vrijedi godinu dana. Pravila na strani poslužitelja mogu promijeniti datum isteka tijekom potpisivanja certifikata.

Ethernet veza

Kada je uređaj spojen na mrežu, provjerite može li pristupiti SCEP poslužitelju. Uređaj bi trebao biti spojen na mrežu bez 802.1x kako bi se dobila IP adresa. MAC adresu uređaja možda će trebati dostaviti mreži za pružanje usluga kako bi se dobila IP adresa. MAC adresa može se naći na korisničkom sučelju ili na naljepnici na stražnjoj strani uređaja.

Nakon što je uređaj spojen na mrežu, možete SSH na uređaj kao administrator pristupiti TSH, a zatim pokrenite sljedeću naredbu da biste poslali zahtjev za registraciju SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Nakon što SCEP poslužitelj vrati potpisani certifikat uređaja, aktivirajte 802.1X.

Aktivirajte potpisani certifikat:

xCommand Security Certificates Services Activate 

Ponovo pokrenite uređaj nakon aktiviranja certifikata.

Bežična veza

Kada je uređaj spojen na bežičnu mrežu, provjerite može li pristupiti SCEP poslužitelju.

Nakon što je uređaj spojen na mrežu, možete SSH na uređaj kao administrator pristupiti TSH, a zatim pokrenite sljedeću naredbu da biste poslali zahtjev za registraciju SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Uređaj prima potpisani certifikat sa SCEP poslužitelja.

Aktivirajte potpisani certifikat:

xCommand Security Certificates Services Activate

Nakon aktiviranja morate konfigurirati Wi-Fi mrežu s EAP-TLS autentifikacijom.

xCommand Network Wifi Configure 

Po zadanim postavkama Wi-Fi konfiguracija preskače provjere provjere provjere provjere valjanosti poslužitelja. Ako je potrebna samo jednosmjerna provjera autentičnosti, zadržite AllowMissingCA zadanu vrijednost True.

Da biste prisilili provjeru valjanosti poslužitelja, provjerite je li izborni parametar AllowMissingCA postavljen na False. Ako se veza ne može uspostaviti zbog pogrešaka u provjeri provjere valjanosti usluge, provjerite je li dodan ispravan CA kako biste provjerili certifikat poslužitelja koji se može razlikovati od certifikata uređaja.

API opisi

Uloga: Administrator, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Šalje CSR datom SCEP poslužitelju na potpisivanje. Parametri CSR SubjectName konstruirat će se sljedećim redoslijedom: C, ST, L, O, Ous, CN.

Parametri:

• URL (r): <S: 0, 256>

  URL adresa SCEP poslužitelja.

• Otisak prsta (r): <S: 0, 128>

  CA certifikat Otisak prsta koji će potpisati SCEP zahtjev za CSR.

• Zajedničko ime (r): <S: 0, 64>

  Dodaje "/CN=" nazivu subjekta CSR -a.

• ChallengePashword: <S: 0, 256>

  OTP ili zajednička tajna sa SCEP poslužitelja za pristup potpisivanju.

• Naziv zemlje: <S: 0, 2>

  Dodaje "/C=" nazivu subjekta CSR -a.

• Naziv države ili provincije: <S: 0, 64>

  Dodaje "/ST=" nazivu subjekta CSR -a.

• LokalityNaziv: <S: 0, 64>

  Dodaje "/L =" nazivu subjekta CSR.

• Naziv organizacije: <S: 0, 64>

  Dodaje "/O=" nazivu subjekta CSR -a.

• OrganizationalUnit [5]: <S: 0, 64>

  Dodaje do 5 parametara "/OU=" u naziv subjekta CSR.

• SANDN [5]: <S: 0, 64>

  Dodaje do 5 Dns parametara alternativnom nazivu subjekta CSR.

• SanEmail [5]: <S: 0, 64>

  Dodaje do 5 parametara e-pošte alternativnom nazivu subjekta CSR -a.

• SanIP [5]: <S: 0, 64>

  Dodaje do 5 Ip parametara alternativnom nazivu subjekta CSR.

• SanUri [5]: <S: 0, 64>

  Dodaje do 5 parametara Uri alternativnom nazivu subjekta CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Briše profil za upis kako više ne bi obnavljala certifikate.

Parametri:

• Otisak prsta (r): <S: 0, 128>

  Otisak prsta CA certifikata koji identificira profil koji želite ukloniti. Dostupne profile za uklanjanje možete vidjeti pokretanjem:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Navodi profile upisa za obnovu certifikata.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Dodajte profil upisa za certifikate koje izdaje CA otisak prsta kako biste koristili zadani SCEP URL za obnovu.

Obnova

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Da bi se certifikat automatski obnovio, uređaj mora moći pristupiti SCEP URL-u koji može podnijeti ostavku certifikata.

Jednom dnevno uređaj će provjeriti ima li certifikata koji će istekati za 45 dana. U ređaj će tada pokušati obnoviti ovaj certifikat ako se njihov izdavatelj podudara s profilom.

NAPOMENA: Svi certifikati uređaja bit će provjereni za obnovu, čak i ako certifikat nije izvorno upisan pomoću SCEP-a.

Navigator

1. Izravno upareni: upisani certifikati mogu se aktivirati kao certifikat "Uparivanje".

2. Daljinski upareni: Recite navigatoru da upiše novi SCEP certifikat pomoću ID -a perifernog uređaja:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Profili za upis automatski se sinkroniziraju s uparenim navigatorom.

3. Samostalni navigator: Isto kao i upis kodeka

802.1x autentifikaciju možete postaviti izravno iz izbor Room Navigator nika Postavke.

Standard 802.1x provjere autentičnosti posebno je važan za Ethernet mreže i osigurava pristup mrežnim resursima samo ovlaštenim uređajima.

Dostupne su različite opcije prijave na temelju EAP metode konfigurirane u vašoj mreži. Na primjer:

• TLS: Korisničko ime i lozinka se ne koriste.
• PEAP: Certifikati se ne koriste.
• TTLS: Potrebni su i korisničko ime/lozinka i certifikati; niti jedno nije obavezno.

Postoji nekoliko načina za dobivanje klijentskog certifikata na uređaju:

1. Prenesite PEM: Koristite značajku Dodavanje usluga sigurnosnih certifikata.
2. Stvorite CSR: Generirajte zahtjev za potpisivanje certifikata (CSR), potpišite ga i povežite pomoću sigurnosnih certifikata CSR Create/Link.
3. SCEP: Koristite SCEP zahtjev za upis usluga sigurnosnih certifikata.
4. DHCP opcija 43: Konfigurirajte isporuku certifikata putem ove opcije.

Postavljanje i ažuriranje certifikata za 802.1x treba obaviti prije upar ivanja sa sustav Room Navigator om ili nakon tvorničkog postavljanja. Room Navigator

Zadane vjerodajnice su admin i prazna lozinka. Za više informacija o tome kako dodati certifikate pristupom API-ju, pogledajte najnoviju verziju API vodiča.

1. Otvorite upravljačku ploču na Navigatoru dodirom gumba u gornjem desnom kutu ili prevlačenjem s desne strane. Zatim dodirnite Postavke uređaja.
2. Idite na Mrežna veza i odaberite Ethernet.
3. Prebaci Koristi IEEE 802. 1X uključeno.
   • Ako je provjera autentičnosti postavljena pomoću vjerodajnica, unesite korisnički identitet i lozinku. Također možete unijeti anonimni identitet: ovo je opcionalno polje koje pruža način odvajanja stvarnog identiteta korisnika od početnog zahtjeva za provjeru autentičnosti.
   • Možete isključiti ili uključ iti TLS Veri fy. Kada je TLS provjera uključena, klijent aktivno provjerava autentičnost certifikata poslužitelja tijekom TLS rukovanja. Kada je TLS provjera ISKLJUČENA, klijent ne provodi aktivnu provjeru certifikata poslužitelja.
   • Ako ste učitali klijentski certifikat pristupom API-ju, uključite Upo trijebi certifikat klijenta.
   • Prebacite metode EAP protokola proširenog provjere autentičnosti koje želite koristiti. Izbor EAP metode ovisi o specifičnim sigurnosnim zahtjevima, infrastrukturi i mogućnostima klijenta. EAP metode ključne su za omogućavanje sigurnog i provjerenog pristupa mreži.

Cisco sada podržava korištenje ugrađenih certifikata Secure Unique Device Identifier (SUDI) za Wireless 802.1x provjeru autentičnosti. Prije su SUDI certifikati bili podržani samo za žičano/LAN 802.1x provjeru autentičnosti.

Ova je značajka dostupna počevši od RoOM OS 26.7.1.7. Svi uređaji koji pokreću RooMOS 26 podržavaju ovu značajku, dok nije podržana na RoomOS 11.

Da biste omogućili ovu značajku, Cisco Identity Services Engine (ISE) za Wi-Fi mrežu mora dodati sljedeće certifikate CA u ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

SUDI certifikat možete aktivirati pomoću web sučelja uređaja odabirom opcije za korištenje SUDI certifikata za 802.1x provjeru autentičnosti.

Alternativno, upotrijebite sljedeću naredbu:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Da biste pronašli SUDI otisak prsta, pokrenite:

xCommand Security Certificates Services Show

Ako se otisak prsta uspješno aktivira, vidjet ćete unose slične sljedećem u dnev niku događaja/ auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Nakon aktiviranja SUDI certifikata, konfigurirajte Wi-Fi mrežu da koristi EAP-TLS provjeru autentičnosti. To se može učiniti na dodirnoj ploči uređaja ili zaslonu odabirom metode provjere autentičnosti kao EAP-TLS.