コメントありがとうございます。

カスタムデバイス証明書（CDC）を携帯電話にインストールするには、状況に応じて次のいずれかの方法を使用してください。

• 手動インストール-電話管理Webページから証明書をアップロードしてインストールできます。 詳細については、「アップロードによるカスタムデバイス証明書の手動インストール」を参照してください。
• 自動インストール—簡易証明書登録プロトコル（SCEP）のパラメータを設定して、証明書の自動インストールをトリガーできます。 電話は、証明書をインストールするためにSCEP要求をSCEPサーバーに送信します。

  SCEPパラメータは、電話管理Webページ、電話設定ファイル（cfg.xml）、またはコントロールハブから設定できます。 詳細については、「SCEPによるカスタムデバイス証明書の自動インストール」と「Control Hubの電話設定のパラメータ」を参照してください。

• DHCPオプション43—特定の環境では、DHCPオプション43を利用して証明書をインストールできます。 オプション43は、証明書インストール用のSCEPパラメータを提供できます。 詳細については、DHCPオプション43によるSCEPパラメータの設定を参照してください。

  • DHCPオプション43を使用してSCEPパラメータをプロビジョニングすると、電話機はDHCPオプション15に含まれるドメイン名を取得することもできます。 取得したドメイン名に基づいて、電話はSCEP CSR共通名と802.1XユーザーIDを構築できます。 詳細については、DHCPオプション15によるコモンネームまたはユーザーIDのプロビジョニングを参照してください。

    DHCPオプションの設定方法の詳細については、「DHCPオプションの設定」を参照してください。

デフォルトでは、MIC/SUDIのコモンネームがCDCのコモンネームとして使用されます。

証明書をインストールするときに、CDCの共通名を設定できます。 電話にCDCをインストールするには、次のいずれかの方法を使用してください。

• 希望するコモンネームを含む証明書署名リクエスト（CSR）を生成し、電話管理Webページに新しい証明書をアップロードしてインストールします。

• 電話管理Webページ、電話設定ファイル（cfg.xml）、またはコントロールハブで共通名を設定します。 これにより、電話は自動的に新しい証明書を要求します。

  電話のWebページとControl Hubのパラメータの詳細については、「SCEPによるカスタムデバイス証明書の自動インストール」と「Control Hubの電話設定のパラメータ」を参照してください。

• DHCPオプション43と15を利用して、CDCと有線802.1X IDの共通名をプロビジョニングしてください。

  詳細については、DHCPオプション15によるコモンネームまたはユーザーIDのプロビジョニングを参照してください。

環境によっては、カスタムデバイス証明書（CDC）をアップロードしたり、 SCEPパラメータを直接設定したりしてインストールできません。 このような場合は、 DHCPオプション43を使用して、DHCPサーバーから電話にSCEPパラメーターを提供できます。 電話機が工場出荷時のデフォルトにリセットされると、DHCPサーバーからパラメータを受け取り、 SCEPを使用してCDCをインストールします。

DHCPオプション43で提供されるSCEPパラメータでCDC証明書をインストールするには、以下を実行してください。

1. SCEP環境を準備してください。

   SCEP環境の設定については、SCEPサーバーのマニュアルを参照してください。

2. DHCPオプション43を設定します（8.4 ベンダー固有情報、RFC 2132で定義されています）。

   サブオプション（10—15）は次のメソッド専用です。

   電話のウェブページのパラメータ	サブオプション	タイプ	長さ (バイト)	必須
   FIPSモード	10	ブーリアン	1	いいえ*
   サーバー	11	文字列	208-長さ（チャレンジパスワード）	はい
   ルート CA フィンガープリント	12	16進数	20、32、48、または64	はい
   チャレンジパスワード	13	文字列	208-長さ（サーバー）	いいえ*
   802.1X 認証を有効にする	14	ブーリアン	1	いいえ
   証明書選択	15	符号なし8ビット	1	いいえ

   *は、パラメータが実際の状況に応じて設定されていることを意味します。

   DHCPオプション43を使用するときは、この方法の次の特徴に注意してください。

   • サブオプション（10—15）はカスタムデバイス証明書（CDC）専用です。
   • DHCPオプション43の最大長は255バイトです。
   • サーバー+チャレンジパスワードの最大長は208バイト未満でなければなりません。
   • FIPS Modeの値は、オンボーディングのプロビジョニング設定と一致する必要があります。 そうしないと、 電話はオンボーディング後に以前にインストールされた証明書を取得できません。 具体的には、
     • 電話がFIPSモードが無効になっている環境に登録されている場合は、 DHCPオプション43でFIPSモードを設定する必要はありません。 デフォルトでは、 FIPSモードは無効になっています。
     • 電話がFIPSモードが有効になっている環境に登録されている場合は、 DHCPオプション43でFIPSモードを有効にする必要があります。 詳細については、「FIPSモードを有効にする」を参照してください。
   • オプション43のチャレンジパスワードはクリアテキストです。
     • 初回登録と証明書の更新にMIC/SUDIを使用するようにするには、 チャレンジパスワードを空のままにしてください。
     • チャレンジパスワードを初回登録にのみ使用するには、チャレンジパスワードを入力し、「 更新時にチャレンジパスワードを再利用する」を「いいえ」 に設定してください。 この場合、 インストールされた証明書は証明書の更新に使用されます。
     • 初回登録と更新の両方にチャレンジパスワードを使用するには、パスワードを入力して、「更新時にチャレンジパスワードを再利用する」を「はい」に設定します。
   • 802.1X認証と証明書選択を有効にする。 有線ネットワークの電話にのみ適用されます。
   • DHCPオプション60（ベンダークラス識別子）は、デバイスモデルを識別するために使用されます。

   DHCPオプション43（サブオプション10-15）の例：

   サブオプション 10進数/16進数	値の長さ（バイト）10進数/16進数	価値	16進値
   10/0a	1/01	1 (0: 無効; 1: 有効)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0: いいえ、1: はい)	01
   15/0f	1/01	1（0：製造現場でのインストール、1：カスタムインストール）	01

   パラメータ値の要約:

   • FIPSモード = Enabled

   • Server = http://10.79.57.91

   • ルートCAフィンガープリント = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • チャレンジパスワード = D233CCF9B9952A15

   • 802.1X認証を有効にする = Yes

   • 証明書選択 = Custom installed

   最後の16進値の構文は次のとおりです。{<suboption><length><value>}...

   上記のパラメータ値によると、最終的な16進値は次のようになります。

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. DHCPサーバーでDHCPオプション43を設定してください。

   このステップでは、シスコネットワークレジスタのDHCPオプション43の設定の例を示します。

   1. DHCPオプション定義セットを追加してください。

      ベンダーオプション文字列は、IP電話のモデル名です。 有効な値は、DP-9841、DP-9851、DP-9861、DP-9871、またはCP-8875です。

   2. DHCPオプション43とサブオプションをDHCPオプション定義セットに追加します。

      例:

      

   3. DHCPポリシーにオプション43を追加し、次のように値を設定します。

      例:

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. 設定を確認してください。 Wiresharkを使用して、電話とサービスの間のネットワークトラフィックの痕跡をキャプチャできます。
4. 電話を工場出荷時の状態にリセットしました。

   電話がリセットされると、 サーバー、ルートCAフィンガープリント、 チャレンジパスワードのパラメーターが自動的に入力されます。 これらのパラメータは、電話管理ウェブページの「証明書 > カスタム」の「SCEP Configuration 1」セクションにあります。

   インストールされている証明書の詳細を表示するには、 既存の証明書セクションの「表示」をクリックします。

   証明書のインストール状況を確認するには、証明書 > カスタム証明書ステータスを選択します。 ダウンロードステータス1フィールドには最新の結果が表示されます。 証明書の登録中に問題が発生した場合、 ダウンロードステータスにはトラブルシューティングの理由が表示されます。

   チャレンジパスワード認証が失敗した場合、 電話はユーザーに電話画面にパスワードを入力するように求めます。

5. （オプション）: インストールされている証明書を電話から削除するには、「既存の証明書」セクションの「削除」をクリックします。

   [削除] をクリックすると、確認メッセージは表示されずに、 すぐに証明書が削除されます。