Grazie per il feedback.

Questo per informarla di un'imminente modifica delle norme del browser Google Chrome che influirà sull'emissione di certificati TLS pubblici e per delineare le azioni che Cisco intraprenderà per garantire il supporto continuo per le connessioni TLS (MTL) reciproche in ambienti di istanza Cisco Webex Calling dedicata e cloud UCM.

A partire dal ^1° febbraio 2027, le autorità di certificazione pubbliche (CA) incluse nel programma Google Chrome Trust smetteranno di firmare certificati che includono il Client Authentication (ClientAuth) Extended Key Usage (EKU).

A partire dal 15 ^marzo 2027, Google applicherà una politica che richiede che le Public Root CA nel Chrome Root Store emettano certificati contenenti solo l'EKU di autenticazione del server (ServerAuth). Di conseguenza, le Public Root CA nel Chrome Root Store non saranno più autorizzate a emettere certificati che combinano gli EKU di autenticazione server e autenticazione client in un unico certificato.

Le applicazioni UC a istanza dedicata attualmente utilizzano certificati che includono sia gli EKU di autenticazione server che di autenticazione client all'interno di un unico certificato per stabilire l'attendibilità delle connessioni MTL. Il supporto per certificati server e client separati è ora disponibile con la versione dell'applicazione UC v15SU5.

Attualmente, l'istanza dedicata utilizza IdenTrust Commercial Root CA 1, parte del Google Chrome Root Store, per firmare questi certificati. Tuttavia, a causa dell'imminente modifica della politica di Chrome, questa CA non sarà più autorizzata a emettere certificati contenenti entrambi gli EKU in un unico certificato a partire dal ^1° febbraio 2027.

Certificati interessati

I seguenti certificati applicativi UC sono firmati utilizzando una Public Root CA e sono comunemente usati per le connessioni MTL:

Applicazione UC	Tipo di certificato	Connessioni MTL comuni
Cisco Unified CM/PMI	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth su MRA, Syslog remoto
	CallManager/CallManager-ECDSA	Trunk SIP, connessioni tra nodi e intercluster
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	Proxy SIP, SIP Trunk
Cisco IM e Presence	Tomcat/Tomcat-ECDSA	—
	tazza/tazza-ECDSA	SIP sicuro con CUCM, client di terze parti, proxy SIP
	tazza-xmpp/coppa-XMPP-ecdsa	Federazione XMPP
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Certificato del server	Mobile e Remote Access (MRA)

Certificati non interessati

Tutti i certificati rimanenti nell'istanza dedicata sono autofirmati. Per ulteriori informazioni, vedere Gestione dei certificati delle istanze dedicate.

Per far fronte alla modifica delle policy di Chrome e mantenere la funzionalità MTL ininterrotta, Cisco intraprenderà le seguenti azioni:

• A partire dal ^1° giugno 2026, Cisco cambierà la Public Root CA utilizzata per firmare i certificati delle applicazioni UC di istanza dedicata da IdenTrust Commercial Root CA 1 a IdenTrust Public Sector Root CA 1 per tutti i rinnovi dei certificati.

  La procedura di rinnovo del certificato rimane la stessa e il Control Hub Alerts Center avvisa i clienti tramite l'avviso «Manutenzione e interruzione» quando il rinnovo è programmato. Per ulteriori informazioni, vedere Avvisi di manutenzione.

• I certificati continueranno a includere gli EKU di autenticazione del server e del client.

Qualsiasi applicazione o servizio di terze parti nell'ambiente del cliente che connette le applicazioni UC in un'istanza dedicata utilizzando connessioni TLS o MTLS deve utilizzare la stessa catena di certificati delle applicazioni UC nell'istanza dedicata. Se il trust store dei sistemi o delle applicazioni del cliente non include già le autorità di certificazione IdenTrust richieste, il nuovo certificato radice deve essere importato per evitare errori di connessione TLS/MTLS.

1. Verificare le connessioni MTL correnti
   1. Identifica le applicazioni, i servizi di terze parti o le integrazioni che si connettono alle applicazioni UC in un'istanza dedicata tramite TLS o MTL.
   2. Verifichi se tali applicazioni si fidano della nuova Public Root CA: IdenTrust Public Sector Root CA 1.
2. Aggiungere la nuova Public Root CA (se richiesto)
   1. Se l'IdenTrust Public Sector Root CA 1 non è già attendibile nell'applicazione del cliente o nel trust store di sistema, deve essere aggiunto.
   2. Lo stesso può essere scaricato dai seguenti link:

      Root CA: IdenTrust Public Sector Root CA 1

      Pagina di download alternativa: IdenTrust Support Downloads

      CA di emessione/secondaria: IdenTrust Public Sector Server CA 1.

   Per la maggior parte delle applicazioni, affidarsi alla Root CA è sufficiente se il server presenta la catena completa. L'Issuing/Sub CA è utile da includere per le applicazioni che richiedono l'importazione separata del certificato intermedio.

L'IdenTrust Public Sector Root CA 1 è considerato affidabile per impostazione predefinita negli archivi fiduciari standard per i seguenti sistemi operativi e piattaforme:

• Microsoft Windows
• macOS
• iOS/iPadOS
• Android

Di conseguenza, al cliente è richiesto solo di convalidare i trust store di queste piattaforme per confermare che il nuovo certificato radice della CA pubblica sia già elencato. Questo vale per gli endpoint/client o i sistemi di terze parti che utilizzano i trust store predefiniti su queste piattaforme. Le istruzioni per l'aggiornamento del trust store su ciascuna piattaforma sono fornite nelle sezioni seguenti. La responsabilità dell'esecuzione di questi aggiornamenti è del Cliente o del Partner; i link e i passaggi seguenti fanno riferimento agli articoli online dei rispettivi fornitori di piattaforme e Cisco fornisce assistenza nel migliore dei modi. Per ulteriori chiarimenti, deve collaborare direttamente con i rispettivi fornitori di piattaforme.

Nota sull'Android Trust Store

L'IdenTrust Public Sector Root CA 1 è incluso nel CA store del sistema Android ed è considerato affidabile per impostazione predefinita nelle versioni Android attualmente supportate. Android non fornisce una mappatura pubblica specifica della versione per le date di introduzione dei singoli certificati radice. Trust è gestito tramite il sistema Android CA Store e distribuito tramite aggiornamenti del sistema operativo e aggiornamenti di sistema di Google Play.

Non è richiesta alcuna azione da parte del cliente a meno che il trust store del sistema Android non sia stato modificato esplicitamente dalla politica del dispositivo, dai controlli di gestione aziendali o dalle restrizioni di fiducia specifiche delle applicazioni.

L'IdenTrust Public Sector Root CA 1 non è incluso nel Google Chrome Root Store.

Per garantire che Google Chrome consideri attendibile i certificati emessi con questa CA root, i clienti devono assicurarsi che il certificato root sia esplicitamente attendibile a livello di sistema operativo nei luoghi utilizzati da Chrome per le decisioni di fiducia locali.

Windows — configurazione di fiducia richiesta

Per garantire che la CA root sia considerata affidabile da Google Chrome su Windows, l'IdenTrust Public Sector Root CA 1 deve essere importato in una delle seguenti posizioni:

• Computer locale → Autorità di certificazione root affidabili

  (Consigliato per i sistemi gestiti dall'azienda)

o

• Utente attuale → Autorità di certificazione Root affidabili

  (Per la fiducia a livello di utente)

I certificati importati tramite il Windows Certificate Import Wizard in queste posizioni (anche tramite Criteri di gruppo) sono considerati affidabili da Google Chrome.

I certificati root che esistono solo nella terza parte di Windows non sono automaticamente considerati attendibili da Chrome a meno che non vengano importati esplicitamente come descritto sopra.

Mac OS: configurazione di fiducia richiesta

Per garantire che la CA root sia considerata affidabile da Google Chrome su macOS, l'IdenTrust Public Sector Root CA 1 deve essere aggiunto al portachiavi macOS ed essere considerato esplicitamente attendibile:

1. Importa il certificato nel portachiavi di sistema (consigliato) o nel portachiavi di accesso

2. Aprire il certificato e impostare:

   • Quando si utilizza questo certificato: Always Trust

     (o come minimo, SSL: Always Trust)

Una volta considerato attendibile a livello di sistema o utente, Google Chrome considererà il certificato come attendibile.

Gli amministratori possono verificare quali certificati di piattaforma sono considerati attendibili da Chrome accedendo a: chrome: //certificate-manager/localcerts/platformcerts

Per ulteriori informazioni, consulti le domande frequenti su Google.

Le integrazioni di terze parti richiedono la convalida principale del cliente.

Per qualsiasi applicazione o servizio di terze parti che stabilisce connessioni TLS/MTLS con applicazioni UC a istanza dedicata, i clienti devono seguire le azioni menzionate nelle modifiche ai certificati CA pubblici che influiscono sull'istanza dedicata.

Dovrà collaborare direttamente con il suo fornitore terzo o amministratore IT se sono necessari gli aggiornamenti del trust store. Le modifiche agli archivi fiduciari di terze parti o ai comportamenti di convalida dei certificati non rientrano nelle responsabilità di Cisco e Cisco non può fornire assistenza nelle configurazioni o nella risoluzione dei problemi dei certificati di terze parti.

I clienti possono convalidare la nuova Public Root CA utilizzando il certificato di test IdenTrust.

Se la pagina si apre correttamente, IdenTrust Public Sector Root CA 1 è attendibile nel suo ambiente.

Se ha domande su questa modifica, sulla politica del browser Google Chrome o sugli aggiornamenti dei certificati nell'istanza dedicata, apra una richiesta di assistenza in Control Hub in base al ciclo di vita dell'applicazione UC.

I clienti UCM Cloud (UCMC) che possiedono il proprio dominio e gestiscono i rinnovi dei certificati delle applicazioni UC e che non hanno delegato l'autorità di dominio a Cisco per la firma dei certificati delle applicazioni UC saranno responsabili di collaborare direttamente con le autorità di certificazione pubbliche prescelte per affrontare questo cambiamento. 

Questi clienti dovrebbero inoltre allinearsi ai prodotti applicativi UC applicabili (prodotti Cisco per chiamate on-prem e Cisco Expressway) riguardanti l'utilizzo e la correzione dei certificati relativi alle imminenti modifiche alle CA pubbliche e alle politiche del browser. Per ulteriori informazioni, vedere Ruoli e responsabilità. 

Cisco continuerà a fornire aggiornamenti non appena sarà disponibile il supporto delle applicazioni UC per certificati server e client separati. Si riferisca a questo documento per gli ultimi aggiornamenti.

Modifiche al certificato EKU: azioni che i clienti di Cisco on-premise Collaboration DEVONO INTRAPRENDERE ORA