コメントありがとうございます。

デバイスのローカルWebインターフェイスから証明書を追加できます。 または、APIコマンドを実行して証明書を追加することもできます。 どのコマンドで証明書を追加できるかについては、roomos.cisco.comを参照してください。

サービス証明書と信頼できるCA

TLS（トランスポート層セキュリティ）を使用する場合は、証明書の検証が必要になる場合があります。 サーバーまたはクライアントは、通信を設定する前にデバイスが有効な証明書を提示することを要求する場合があります。

証明書は、デバイスの信頼性を検証するテキストファイルです。 これらの証明書には、信頼できる認証局（CA）の署名が必要です。 証明書の署名を確認するには、信頼できるCAのリストがデバイス上にある必要があります。 リストには、監査ログとその他の接続の両方で証明書を検証するために必要なすべてのCAを含める必要があります。

証明書は次のサービスに使用されます：HTTPSサーバー、SIP、IEEE 802.1X、監査ロギング。 デバイスには複数の証明書を保存できますが、各サービスで一度に有効になる証明書は1つだけです。

RoomOSでは、2023年10月以降、CA証明書をデバイスに追加すると、Room Navigatorそれが接続されている場合にも適用されます。 以前に追加したCA証明書を接続されている証明書と同期するにはRoom Navigator、デバイスを再起動する必要があります。 周辺機器が接続先のデバイスと同じ証明書を取得したくない場合は、周辺機器のセキュリティ証明書SyncToperipheralsの設定をFalseに設定してください。

Wi-Fi接続については

ネットワークでWPA-EAP認証が使用されている場合は、ボード、デスク、またはルームシリーズの各デバイスに信頼できるCA証明書を追加することをお勧めします。 これは、デバイスごとに、Wi-Fiに接続する前に個別に行う必要があります。

サポートされている証明書とキーフォーマット

• このシステムは、PEMまたはバイナリ形式の証明書ファイルを受け入れます。

• PEMファイルには、 同じファイル内に証明書と秘密鍵の両方が含まれている場合があります。

• 秘密鍵は証明書と同じ形式である必要があります。つまり、 どちらもPEMかバイナリのどちらかでなければなりません。

• サポートされているバイナリ証明書形式には、 拡張子が.der、.cer、または.crtのX.509ファイルと、拡張子が.p7bのPKCS7ファイルがあります。

• サポートされているバイナリ秘密鍵形式には、RSAまたはDSAの暗号化鍵があり、 通常は.key、.der、.p8という拡張子が付いています。

証明書と秘密鍵は、デバイス上の同じファイルに保存されます。 認証に失敗すると、接続は確立されません。

管理者は、 クラウドに登録されたボード、デスク、またはルームシリーズデバイスの証明書署名リクエスト（CSR）をコントロールハブから生成する必要があります。

次の手順に従ってCSRを生成し、署名済みの証明書をデバイスにアップロードしてください。

1. Control Hubのカスタマービューから、デバイスページに行き、 リストからデバイスを選択します。
2. [アクション] > [XCommandの実行] > [セキュリティ] > [証明書] > [CSR] > [作成] に移動します。
3. 必要な証明書の詳細を入力して、[実行] を選択します。
4. ----証明書申請の開始----と----証明書申請の終了----の間のテキストをすべてコピーしてください 。
5. CSRに署名するには、任意のCertificate Authority（CA）を使用してください。
6. 署名された証明書をPEM（Base64エンコード）形式でエクスポートします。
7. 署名された証明書ファイルをテキストエディター（メモ帳など）で開き、----証明書の開始----と----END CERTIFICATE---- の間のテキストをすべてコピーします。
8. Control Hubで、[デバイス] > [デバイスを選択] > [アクション] > [XCommandの実行] > [ セキュリティ] > [証明書] > [CSR] > [リンク] に移動します。
9. コピーした証明書の内容を本文セクションに貼り付け、[実行] を選択します。
10. ページを更新して、証明書が [既存の証明書] に表示されていることを確認します。

簡易証明書登録プロトコル（SCEP）は、 デバイスでの802.1X認証などに使用される証明書を登録および更新するための自動メカニズムを提供します。 SCEPを使用すると、手動で操作しなくても、 デバイスの安全なネットワークへのアクセスを維持できます。

• デバイスが新品の場合、または工場出荷時の状態にリセットされた場合、SCEP URLにアクセスするにはネットワークアクセスが必要です。 IPアドレスを取得するには、デバイスを802.1Xなしでネットワークに接続する必要があります。

• ワイヤレス登録SSIDを使用している場合は、オンボーディング画面を見てネットワークとの接続を設定してください。

• プロビジョニングネットワークに接続すれば、デバイスは特定のオンボーディング画面に表示されている必要はありません。

• すべての導入環境に合わせて、SCEP登録xAPIはデバイス証明書の署名に使用されたCA証明書を保存しません。 サーバー認証では、サーバーの証明書を検証するために使用されるCA証明書を、XCommand セキュリティ証明書 CA Addで追加する必要があります。

前提条件

次の情報が必要です。

• SCEPサーバーのURL。

• 署名CA (Certificate Authority) 証明書のフィンガープリント。

• 登録する証明書の情報。 これが証明書のサブジェクト名を構成します。

  • 共通名

  • 国名

  • 州または都道府県名

  • 地域名

  • 組織名

  • 組織単位

• 件名は /C = /ST = /L = /O = /OU = /CN = という順序になります

• SCEPサーバーのチャレンジパスワード（OTPまたは共有シークレットを適用するようにSCEPサーバーを設定している場合）。

次のコマンドを使用して、証明書要求キーペアに必要なキーサイズを設定できます。 デフォルトは2048です。

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

証明書の有効期限まで1年間有効な証明書リクエストを送信します。 サーバー側のポリシーでは、証明書の署名中に有効期限を変更することができます。

イーサネット接続

デバイスがネットワークに接続されているときは、SCEPサーバーにアクセスできることを確認してください。 IPアドレスを取得するには、デバイスを802.1xのないネットワークに接続する必要があります。 IPアドレスを取得するには、デバイスのMACアドレスをプロビジョニングネットワークに提供する必要がある場合があります。 MACアドレスは、UIまたはデバイス背面のラベルに記載されています。

デバイスをネットワークに接続したら、管理者としてデバイスにSSH接続してTSHにアクセスし、次のコマンドを実行して登録SCEPリクエストを送信できます。

xCommand Security Certificates Services Enrollment SCEP Request 

SCEPサーバーが署名済みのデバイス証明書を返したら、802.1Xを有効にします。

署名済み証明書を有効にしてください:

xCommand Security Certificates Services Activate 

証明書を有効にしたら、デバイスを再起動してください。

ワイヤレス接続

デバイスがワイヤレスネットワークに接続されているときは、SCEPサーバーにアクセスできることを確認してください。

デバイスをネットワークに接続したら、管理者としてデバイスにSSH接続してTSHにアクセスし、次のコマンドを実行して登録SCEPリクエストを送信できます。

xCommand Security Certificates Services Enrollment SCEP Request 

デバイスはSCEPサーバーから署名付き証明書を受け取ります。

署名済み証明書を有効にしてください:

xCommand Security Certificates Services Activate

アクティベーション後、Wi-FiネットワークをEAP-TLS認証で設定する必要があります。

xCommand Network Wifi Configure 

デフォルトでは、Wi-Fi設定はサーバーの検証チェックをスキップします。 一方向認証のみが必要な場合は、allowMissingCAのデフォルトをTrueのままにしてください。

サーバー検証を強制するには、allowMissingCAオプションパラメータがFalseに設定されていることを確認してください。 サービスの検証エラーが原因で接続を確立できない場合は、デバイス証明書とは異なる可能性のあるサーバー証明書を確認するために、正しいCAが追加されていることを確認してください。

APIの説明

役割:管理者、インテグレーター

xCommand Security Certificates Services Enrollment SCEP Request

CSRを指定のSCEPサーバーに送信して署名してもらいます。 CSRサブジェクト名のパラメータは、C、ST、L、O、OU、CNの順序で作成されます。

パラメーター:

• URL (r): <S: 0, 256>

  SCEPサーバーのURLアドレス。

• フィンガープリント (r): <S: 0, 128>

  SCEPリクエストのCSRに署名するためのCA証明書フィンガープリント。

• 一般名 (r): <S: 0, 64>

  CSRサブジェクト名に「/CN=」を追加します。

• チャレンジパスワード:<S: 0, 256>

  署名にアクセスするためのSCEPサーバーからのOTPまたは共有シークレット。

• 国名:<S: 0, 2>

  CSRサブジェクト名に「/C=」を追加します。

• 州または都道府県名:<S: 0, 64>

  CSRサブジェクト名に「/ST=」を追加します。

• 地域名:<S: 0, 64>

  CSRサブジェクト名に「/L=」を追加します。

• 組織名:<S: 0, 64>

  CSRサブジェクト名に「/O=」を追加します。

• 組織単位 [5]：<S: 0, 64>

  CSRサブジェクト名に最大5つの「/OU=」パラメータを追加します。

• サンズ [5]: <S: 0, 64>

  CSRサブジェクトの別名に最大5つのDnsパラメータを追加します。

• メール [5]：<S: 0, 64>

  CSRサブジェクトの別名に最大5つのメールパラメータを追加します。

• サニップ [5]: <S: 0, 64>

  CSRサブジェクトの別名に最大5つのIpパラメータを追加します。

• サヌリ [5]: <S: 0, 64>

  CSRサブジェクトの別名に最大5つのUriパラメータを追加します。

xCommand Security Certificates Services Enrollment Profiles Delete

登録プロファイルを削除して、証明書を更新しないようにします。

パラメーター:

• フィンガープリント (r): <S: 0, 128>

  削除したいプロファイルを識別するCA証明書のフィンガープリント。 次のコマンドを実行すると、削除できるプロファイルを確認できます。

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

証明書更新用の登録プロファイルを一覧表示します。

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

指定されたSCEP URLを更新に使用するには、CAフィンガープリントによって発行された証明書の登録プロファイルを追加してください。

更新

xCommand Security Certificates Services Enrollment SCEP Profiles Set

証明書を自動的に更新するには、デバイスが証明書を再署名できるSCEP URLにアクセスできる必要があります。

1日1回、デバイスは45日で有効期限が切れる証明書をチェックします。 その後、発行者がプロファイルに一致した場合、 デバイスはこれらの証明書の更新を試みます。

注: 証明書が元々SCEPを使用して登録されていなくても、すべてのデバイス証明書の更新が確認されます。

ナビゲーター

1. ダイレクトペアリング：登録された証明書は「ペアリング」 証明書として有効化できます。

2. リモートペアリング： 周辺機器のIDを使用して新しいSCEP証明書を登録するようにナビゲーターに伝えます。

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   登録プロファイルは、ペアリングされたナビゲーターと自動的に同期されます。

3. スタンドアロンナビゲーター：コーデックの登録と同じ

802.1x認証はRoom Navigator、の設定メニューから直接設定できます。

802.1x認証規格はイーサネットネットワークにとって特に重要で、 許可されたデバイスのみにネットワークリソースへのアクセスを許可します。

ネットワークに設定されているEAP方法に応じて、さまざまなログインオプションを使用できます。 例えば:

• TLS: ユーザー名とパスワードは使用されていません。
• PEAP: 証明書は使用されません。
• TTL：ユーザー名/パスワードと証明書の両方が必要です。どちらもオプションではありません。

デバイスでクライアント証明書を取得する方法はいくつかあります。

1. PEMをアップロードしてください：セキュリティ証明書サービスの追加機能を使用してください。
2. CSRの作成：証明書署名リクエスト（CSR）を生成して署名し、 セキュリティ証明書 CSR Create/Linkを使用してリンクします。
3. SCEP：セキュリティ証明書サービス登録SCEPリクエストを利用してください。
4. DHCPオプション43：このオプションで証明書配信を設定します。

802.1xの証明書の設定と更新は、をシステムにペアリングする前、Room Navigatorまたはを工場出荷時の状態にリセットした後に行う必要があります。Room Navigator

デフォルトの認証情報は管理者で、パスワードは空白です。 APIにアクセスして証明書を追加する方法の詳細については、最新バージョンのAPIガイドを参照してください。

1. ナビゲーターのコントロールパネルを開くには、右上隅のボタンをタップするか、右側からスワイプします。 次に、[デバイス設定] をタップします。
2. ネットワーク接続に行き、イーサネットを選択します。
3. IEEE 802.1Xの使用をオンに切り替えます。
   • 認証が資格情報で設定されている場合は、ユーザーIDとパスフレーズを入力します。 匿名のIDを入力することもできます。これは、実際のユーザーのIDを最初の認証リクエストから切り離す方法を提供するオプションのフィールドです。
   • TLS Verifyをオフまたはオンに切り替えることができます。 TLS検証がオンになっていると、クライアントはTLSハンドシェイク中にサーバーの証明書の信頼性を積極的に検証します。 TLS検証がオフになっていると、クライアントはサーバーの証明書のアクティブな検証を行いません。
   • APIにアクセスしてクライアント証明書をアップロードした場合は、クライアント証明書の使用をオンに切り替えてください。
   • 使用したい拡張認証プロトコル（EAP）方法を切り替えてください。 EAP方法の選択は、特定のセキュリティ要件、インフラストラクチャ、およびクライアント機能によって異なります。 EAP方式は、安全で認証されたネットワークアクセスを可能にするために不可欠です。

シスコは現在、ワイヤレス802.1x認証に組み込みのセキュア固有デバイス識別子（SUDI） 証明書の使用をサポートしています。 以前は、SUDI証明書は有線/LAN 802.1x認証でのみサポートされていました。

この機能はRoomOS 26.7.1.7以降で利用可能です。 RoomOS 26を実行しているすべてのデバイスがこの機能をサポートしていますが、RoomOS 11ではサポートされていません。

この機能を有効にするには、Wi-Fiネットワークのシスコアイデンティティサービスエンジン （ISE）が次のCA証明書をISEトラストストアに追加する必要があります。

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

802.1x認証にSUDI証明書を使用するオプションを選択すると、デバイスのWebインターフェイスを使用してSUDI証明書を有効にできます。

あるいは、次のコマンドを使ってください。

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

SUDIフィンガープリントを見つけるには、以下を実行してください。

xCommand Security Certificates Services Show

フィンガープリントが正常に有効化されると、 イベントログ/監査ログに次のようなエントリが表示されます。

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

SUDI証明書を有効にしたら、EAP-TLS認証を使用するようにWi-Fiネットワークを設定します。 これは、 認証方法をEAP-TLSとして選択することで、デバイスのタッチパネルまたは画面から実行できます。