Grazie per il feedback.

Può aggiungere certificati dall'interfaccia web locale del dispositivo. In alternativa, può aggiungere certificati eseguendo i comandi API. Per vedere quali comandi Le consentono di aggiungere certificati, consulti roomos.cisco.com.

Certificati di servizio e CA affidabili

La convalida del certificato può essere richiesta quando si utilizza TLS (Transport Layer Security). Un server o un client può richiedere che il dispositivo presenti loro un certificato valido prima di impostare la comunicazione.

I certificati sono file di testo che verificano l'autenticità del dispositivo. Questi certificati devono essere firmati da un'autorità di certificazione (CA) affidabile. Per verificare la firma dei certificati, sul dispositivo deve risiedere un elenco di CA affidabili. L'elenco deve includere tutte le CA necessarie per verificare i certificati sia per la registrazione di controllo che per altre connessioni.

I certificati vengono utilizzati per i seguenti servizi: server HTTPS, SIP, IEEE 802.1X e registrazione di controllo. Può memorizzare diversi certificati sul dispositivo, ma è abilitato un solo certificato per ogni servizio alla volta.

Su RoomOS ottobre 2023 e versioni successive, quando aggiunge un certificato CA a un dispositivo, questo viene applicato anche a Room Navigator se è connesso. Per sincronizzare i certificati CA aggiunti in precedenza con una persona connessaRoom Navigator, deve riavviare il dispositivo. Se non desidera che le periferiche ottengano gli stessi certificati del dispositivo a cui è connessa, imposti la configurazione Peripherals Security Certificates SyncToPeripherals su False.

Per la connessione Wi-Fi

Le consigliamo di aggiungere un certificato CA affidabile per ogni dispositivo Board, Desk o Room Series, se la sua rete utilizza l'autenticazione WPA-EAP. Deve farlo individualmente per ogni dispositivo e prima di connettersi al Wi-Fi.

Certificati e formati chiave supportati

• Questo sistema accetta file di certificato in formato PEM o binario.

• I file PEM possono contenere sia il certificato che la chiave privata all'interno dello stesso file.

• La chiave privata deve essere nello stesso formato del certificato; ovvero, entrambi devono essere PEM o binari.

• I formati di certificato binario supportati includono file X.509 con estensione .der, .cer o .crt e file PKCS7 con estensione .p7b.

• I formati binari di chiavi private supportati includono chiavi crittografate RSA o DSA, in genere con estensioni .key, .der o .p8.

Il certificato e la chiave privata sono archiviati nello stesso file sul dispositivo. Se l'autenticazione fallisce, la connessione non verrà stabilita.

Gli amministratori devono generare una richiesta di firma del certificato (CSR) dal Control Hub per un dispositivo Board, Desk o Room Series registrato nel cloud.

Segua questi passaggi per generare una CSR e caricare un certificato firmato sul suo dispositivo:

1. Dalla visualizzazione clienti in Control Hub, vada alla pagina Dispositivi e selezioni il suo dispositivo dall'elenco.
2. Passa ad Azioni > Esegui XCommand > Sicurezza > Certificati > CSR > Crea.
3. Inserisca i dettagli del certificato richiesti e selezioni Esegui.
4. Copia tutto il testo tra ----BEGIN CERTIFICATE REQUEST---- e ----END CERTIFICATE REQUEST----.
5. Usi una Certificate Authority (CA) a sua scelta per firmare la CSR.
6. Esporta il certificato firmato in formato PEM (codificato Base64).
7. Aprire il file del certificato firmato in un editor di testo (ad esempio Notepad) e copiare tutto il testo tra ----BEGIN CERTIFICATE---- e ----END CERTIFICATE----.
8. In Control Hub, acceda a Dispositivi > selezioni il suo dispositivo > Azioni > Esegui XCommand > Sicurezza > Certificati > CSR > Link.
9. Incolla il contenuto del certificato copiato nella sezione Body e seleziona Esegui.
10. Aggiorna la pagina per verificare che il certificato compaia in Certificato esistente.

Il Simple Certificate Enrollment Protocol (SCEP) fornisce un meccanismo automatico per la registrazione e l'aggiornamento dei certificati utilizzati ad esempio l'autenticazione 802.1X sui dispositivi. SCEP Le consente di mantenere l'accesso del dispositivo a reti sicure senza interventi manuali.

• Quando il dispositivo è nuovo o è stato ripristinato alle impostazioni di fabbrica, ha bisogno dell'accesso alla rete per raggiungere l'URL SCEP. Il dispositivo deve essere connesso alla rete senza 802.1X per ottenere un indirizzo IP.

• Se si utilizza un SSID di registrazione wireless, consulti le schermate di onboarding per configurare la connessione con la rete.

• Una volta connesso alla rete di provisioning, non è necessario che il dispositivo si trovi su una particolare schermata di onboarding.

• Per adattarsi a tutte le distribuzioni, le XAPI di registrazione SCEP non memorizzeranno il certificato CA utilizzato per firmare il certificato del dispositivo. Per l'autenticazione del server, il certificato CA utilizzato per convalidare il certificato del server deve essere aggiunto con XCommand Security Certificates CA Add.

Prerequisiti

Le servono le seguenti informazioni:

• URL del server SCEP.

• Impronta digitale del certificato CA (Certificate Authority) che firma.

• Informazioni sul certificato per l'iscrizione. Questo costituisce il nome del soggetto del certificato.

  • Nome comune

  • Nome del Paese

  • Nome dello Stato o della Provincia

  • Nome della località

  • Nome dell'organizzazione

  • Unità organizzativa

• Il nome del soggetto verrà ordinato come /C = /ST = /L = /O = /OU = /CN =

• Password di verifica del server SCEP se ha configurato il server SCEP per applicare un OTP o un segreto condiviso.

Può impostare la dimensione della chiave richiesta per la coppia di chiavi per la richiesta di certificato utilizzando il seguente comando. L'impostazione predefinita è 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Inviamo una richiesta di certificato valida per un anno per la scadenza del certificato. La politica lato server può modificare la data di scadenza durante la firma del certificato.

Connessione Ethernet

Quando un dispositivo è connesso a una rete, si assicuri che possa accedere al server SCEP. Il dispositivo deve essere connesso a una rete senza 802.1x per ottenere un indirizzo IP. Potrebbe essere necessario fornire l'indirizzo MAC del dispositivo alla rete di provisioning per ottenere un indirizzo IP. L'indirizzo MAC si trova sull'interfaccia utente o sull'etichetta sul retro del dispositivo.

Dopo aver connesso il dispositivo alla rete, può accedere tramite SSH al dispositivo come amministratore per accedere a TSH, quindi eseguire il seguente comando per inviare la richiesta SCEP di iscrizione:

xCommand Security Certificates Services Enrollment SCEP Request 

Una volta che il server SCEP ha restituito il certificato del dispositivo firmato, attivi l'802.1X.

Attiva il certificato firmato:

xCommand Security Certificates Services Activate 

Riavvii il dispositivo dopo aver attivato il certificato.

Connessione wireless

Quando un dispositivo è connesso a una rete wireless, si assicuri che possa accedere al server SCEP.

Dopo aver connesso il dispositivo alla rete, può accedere tramite SSH al dispositivo come amministratore per accedere a TSH, quindi eseguire il seguente comando per inviare la richiesta SCEP di iscrizione:

xCommand Security Certificates Services Enrollment SCEP Request 

Il dispositivo riceve il certificato firmato dal server SCEP.

Attiva il certificato firmato:

xCommand Security Certificates Services Activate

Dopo l'attivazione, deve configurare la rete Wi-Fi con l'autenticazione EAP-TLS.

xCommand Network Wifi Configure 

Per impostazione predefinita, la configurazione Wi-Fi salta i controlli di convalida del server. Se è richiesta solo l'autenticazione unidirezionale, mantiene il valore predefinito di AllowMissingCA su True.

Per forzare la convalida del server, si assicuri che il parametro opzionale AllowMissingCA sia impostato su False. Se non è possibile stabilire una connessione a causa di errori di convalida del servizio, controlli che sia stata aggiunta la CA corretta per verificare il certificato del server che potrebbe essere diverso dal certificato del dispositivo.

descrizioni delle API

Ruolo: Amministratore, Integratore

xCommand Security Certificates Services Enrollment SCEP Request

Invia una CSR a un determinato server SCEP per la firma. I parametri CSR SubjectName saranno costruiti nel seguente ordine: C, ST, L, O, OuS, CN.

Parametri:

• URL (r): <S: 0, 256>

  L'indirizzo URL del server SCEP.

• Impronta digitale (r): <S: 0, 128>

  Certificato CA Fingerprint che firmerà la richiesta SCEP CSR.

• Nome comune (r): <S: 0, 64>

  Aggiunge «/CN=» al nome dell'oggetto della CSR.

• Password di sfida: <S: 0, 256>

  OTP o Shared Secret dal server SCEP per l'accesso alla firma.

• Nome del Paese: <S: 0, 2>

  Aggiunge «/C=» al nome del soggetto CSR.

• Nome dello Stato o della Provincia: <S: 0, 64>

  Aggiunge «/ST=» al nome del soggetto CSR.

• Nome località: <S: 0, 64>

  Aggiunge «/L=» al nome del soggetto CSR.

• Nome dell'organizzazione: <S: 0, 64>

  Aggiunge «/O=» al nome del soggetto CSR.

• Unità organizzativa [5]: <S: 0, 64>

  Aggiunge fino a 5 parametri «/OU=» al nome del soggetto CSR.

• e DNS [5]: <S: 0, 64>

  Aggiunge fino a 5 parametri DNS al nome alternativo del soggetto CSR.

• E-mail SAN [5]: <S: 0, 64>

  Aggiunge fino a 5 parametri e-mail al nome alternativo dell'oggetto della CSR.

• SanIP [5]: <S: 0, 64>

  Aggiunge fino a 5 parametri Ip al nome alternativo del soggetto CSR.

• Anuri [5]: <S: 0, 64>

  Aggiunge fino a 5 parametri Uri al nome alternativo del soggetto CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Elimina un profilo di iscrizione per non rinnovare più i certificati.

Parametri:

• Impronta digitale (r): <S: 0, 128>

  L'impronta digitale del certificato CA che identifica il profilo che desidera rimuovere . Può vedere i profili disponibili da rimuovere eseguendo:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Elenca i profili di iscrizione per il rinnovo del certificato.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Aggiungere un profilo di registrazione per i certificati emessi dall'impronta digitale della CA per utilizzare l'URL SCEP specificato per il rinnovo.

Rinnovo

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Per rinnovare automaticamente il certificato, il dispositivo deve essere in grado di accedere all'URL SCEP che può firmare il certificato.

Una volta al giorno, il dispositivo verificherà la presenza di certificati che scadranno tra 45 giorni. Il dispositivo tenterà quindi di rinnovare questi certificati se l'emittente corrisponde a un profilo.

NOTA: Tutti i certificati dei dispositivi verranno controllati per il rinnovo, anche se il certificato non è stato originariamente registrato tramite SCEP.

Navigatore

1. Direct Paired: I certificati registrati possono essere attivati come certificato «Pairing».

2. Accoppiato in remoto: dica al navigatore di registrare un nuovo certificato SCEP utilizzando l'ID della periferica:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   I profili di iscrizione vengono sincronizzati automaticamente con il navigatore associato.

3. Navigatore autonomo: uguale alla registrazione del codec

Può configurare l'autenticazione 802.1x direttamente dal Room Navigator menu Impostazioni.

Lo standard di autenticazione 802.1x è particolarmente importante per le reti Ethernet e garantisce che solo i dispositivi autorizzati abbiano accesso alle risorse di rete.

Sono disponibili diverse opzioni di accesso in base al metodo EAP configurato nella sua rete. Ad esempio:

• TLS: nome utente e password non vengono utilizzati.
• PEAP: I certificati non vengono utilizzati.
• TTLS: sono obbligatori sia il nome utente/password che i certificati; nessuno dei due è facoltativo.

Esistono diversi modi per ottenere il certificato client su un dispositivo:

1. Carica il PEM: usi la funzione di aggiunta dei servizi di certificazione di sicurezza.
2. Crei la CSR: generi una richiesta di firma del certificato (CSR), la firmi e la colleghi utilizzando Security Certificates CSR Create/Link.
3. SCEP: Utilizza la richiesta SCEP per l'iscrizione ai servizi di sicurezza.
4. Opzione DHCP 43: configura la consegna dei certificati tramite questa opzione.

La configurazione e l'aggiornamento dei certificati per 802.1x devono essere effettuati prima di associarli Room Navigator a un sistema o dopo il ripristino delle impostazioni di fabbrica. Room Navigator

Le credenziali predefinite sono admin e password vuota. Per ulteriori informazioni su come aggiungere certificati accedendo all'API, consulti l'ultima versione della guida API.

1. Aprire il pannello di controllo sul Navigatore toccando il pulsante nell'angolo in alto a destra o scorrendo dal lato destro. Quindi tocchi Impostazioni dispositivo.
2. Vada su Connessione di rete e selezioni Ethernet.
3. Attiva Usa IEEE 802.1X.
   • Se l'autenticazione è configurata con credenziali, inserire l'identità utente e la passphrase. Può anche inserire un'identità anonima: si tratta di un campo opzionale che consente di separare l'identità effettiva dell'utente dalla richiesta di autenticazione iniziale.
   • Può attivare o disattivare TLS Verify. Quando la verifica TLS è attivata, il client verifica attivamente l'autenticità del certificato del server durante l'handshake TLS. Quando la verifica TLS è disattivata, il client non esegue la verifica attiva del certificato del server.
   • Se ha caricato un certificato client accedendo all'API, attivi Usa certificato client.
   • Attiva i metodi EAP (Extensible Authentication Protocol) che desidera utilizzare. La scelta del metodo EAP dipende dai requisiti di sicurezza specifici, dall'infrastruttura e dalle capacità del cliente. I metodi EAP sono fondamentali per consentire un accesso alla rete sicuro e autenticato.

Cisco ora supporta l'utilizzo dei certificati Secure Unique Device Identifier (SUDI) integrati per l'autenticazione wireless 802.1x. In precedenza, i certificati SUDI erano supportati solo per l'autenticazione cablata/LAN 802.1x.

Questa funzione è disponibile a partire da RoomOS 26.7.1.7. Tutti i dispositivi con RoomOS 26 supportano questa funzione, mentre non è supportata su RoomOS 11.

Per abilitare questa funzione, il Cisco Identity Services Engine (ISE) per la rete Wi-Fi deve aggiungere i seguenti certificati CA all'ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Può attivare il certificato SUDI utilizzando l'interfaccia web del dispositivo selezionando l' opzione per utilizzare il certificato SUDI per l'autenticazione 802.1x.

In alternativa, usi il seguente comando:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Per trovare l'impronta digitale SUDI, esegua:

xCommand Security Certificates Services Show

Se l'impronta digitale viene attivata correttamente, vedrà voci simili alle seguenti nel registro degli eventi/registro di controllo:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Dopo aver attivato il certificato SUDI, configura la rete Wi-Fi per utilizzare l'autenticazione EAP-TLS. Questa operazione può essere effettuata dal touch panel o dallo schermo del dispositivo selezionando il metodo di autenticazione come EAP-TLS.