携帯電話にカスタム デバイス証明書 (CDC) をインストールするには、状況に応じて次のいずれかの方法を使用します。

• 手動インストール - 電話管理 Web ページから証明書をアップロードしてインストールできます。 詳細については、 アップロードによるカスタムデバイス証明書の手動インストール。
• 自動インストール - 証明書の自動インストールをトリガーするように、Simple Certificate Enrollment Protocol (SCEP) パラメータを設定できます。 電話機は証明書をインストールするために SCEP サーバに SCEP 要求を送信します。

  SCEP パラメータは、電話管理 Web ページ、電話構成ファイル (cfg.XML)、または Control Hub から構成できます。 詳細については、 SCEP によるカスタムデバイス証明書の自動インストール そして コントロールハブの電話設定のパラメータ。

• DHCP オプション 43: 特定の環境では、DHCP オプション 43 を使用して証明書をインストールできます。オプション 43 は、証明書のインストール用の SCEP パラメータを提供できます。 詳細については、 DHCP オプション 43 による SCEP パラメータの設定。

  • SCEP パラメータのプロビジョニングに DHCP オプション 43 を使用すると、電話機は DHCP オプション 15 から伝送されたドメイン名も取得できます。取得したドメイン名に基づいて、電話機は SCEP CSR 共通名と 802.1X ユーザ ID を構築できます。 詳細については、 DHCP オプション 15 による共通名またはユーザ ID のプロビジョニング。

    DHCP オプションの設定方法の詳細については、以下を参照してください。 DHCP オプションを設定する。

デフォルトでは、MIC/SUDI の共通名が CDC の共通名として使用されます。

証明書をインストールするときに、CDC の共通名を設定できます。 次のいずれかの方法を使用して、電話機に CDC をインストールします。

• 必要な共通名を含む証明書署名要求 (CSR) を生成し、電話管理 Web ページに新しい証明書をアップロードしてインストールします。

• 電話管理 Web ページ、電話設定ファイル (cfg.XML)、または Control Hub から共通名を設定します。 これにより、電話機は自動的に新しい証明書を要求するようになります。

  電話のウェブページとコントロールハブのパラメータの詳細については、以下を参照してください。 SCEP によるカスタムデバイス証明書の自動インストール そして コントロールハブの電話設定のパラメータ。

• DHCP オプション 43 および 15 を使用して、CDC および有線 802.1X ID の共通名をプロビジョニングします。

  詳細については、 DHCP オプション 15 による共通名またはユーザ ID のプロビジョニング。

特定の環境では、カスタム デバイス証明書 (CDC) をアップロードしたり、SCEP パラメータを直接構成したりしてインストールすることはできません。 このような状況では、DHCP オプション 43 を使用して、DHCP サーバからパラメータを入力できます。 DHCP オプション 43 を設定すると、電話に SCEP パラメータを提供できます。 電話機を工場出荷時の状態にリセットすると、DHCP サーバからパラメータを受信し、SCEP プロトコル経由で CDC をインストールできるようになります。

DHCP オプション 43 から提供される SCEP パラメータによって CDC 証明書をインストールするには、次の手順を実行します。

1. SCEP 環境を準備します。

   SCEP 環境設定の詳細については、SCEP サーバのドキュメントを参照してください。

2. DHCP オプション 43 ( 8.4 ベンダー固有情報、RFC 2132 で定義) をセットアップします。

   サブオプション (10-15) は メソッド用に予約されています。

   電話機ウェブページのパラメータ	サブオプション	タイプ	長さ (バイト)	必須
   FIPS モード	10	boolean	1	いいえ*
   サーバ（Server）	11	文字列	208 - 長さ（チャレンジパスワード）	対応
   ルート CA フィンガープリント	12	hex	20、32、48、または 64	対応
   チャレンジ パスワード	13	文字列	208 - 長さ（サーバ）	いいえ*
   [802.1X認証の有効化（Enable 802.1X Authentication）]	14	boolean	1	未対応
   証明書の選択	15	符号なし 8 ビット	1	未対応

   * は、実際の状況に応じてパラメータが設定されることを意味します。

   DHCP オプション 43 を使用する場合、この方法の以下の特性に注意してください。

   • サブオプション (10–15) はカスタムデバイス証明書 (CDC) 用に予約されています。
   • DHCP オプション 43 の最大長は 255 バイトです。
   • サーバ + チャレンジパスワード の最大長は 208 バイト未満でなければなりません。
   • FIPS モード の値は、オンボーディングプロビジョニングの設定と一致している必要があります。 そうしないと、電話はオンボーディング後に以前にインストールされた証明書の取得に失敗します。 具体的には、
     • FIPS モードが無効になっている環境に電話機を登録する場合は、設定する必要はありません。 FIPS モード DHCP オプション 43 で。デフォルトでは、FIPS モードは無効になっています。
     • FIPS モードが有効になっている環境に電話機を登録する場合は、DHCP オプション 43 で FIPS モードを有効にする必要があります。 FIPS モードを有効にする 詳細については。
   • オプション 43 のチャレンジ パスワードはクリア テキストです。
     • 電話で初期登録と証明書の更新に MIC/SUDI を使用する場合は、チャレンジ パスワードを空のままにします。
     • チャレンジ パスワードを最初の登録にのみ使用する場合は、チャレンジ パスワードを設定します。 この場合、インストールされた証明書が証明書の更新に使用されます。
   • 802.1X 認証を有効にする および 証明書の選択 は、有線ネットワークの電話機にのみ使用されます。
   • DHCP オプション 60 (ベンダー クラス識別子) は、デバイス モデルを識別するために使用されます。

   DHCP オプション 43 (サブオプション 10 ～ 15) の例:

   サブオプション 10 進数または 16 進数	値の長さ（バイト）10 進数または 16 進数	値	16 進数値
   10/0a	1/01	1 (0: 無効; 1: 有効)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0c	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0d	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1（0：いいえ、1：はい）	01
   15/0f	1/01	1（0：製造元でインストール、1：カスタムインストール）	01

   パラメータ値の概要:

   • FIPS モード = Enabled

   • サーバ = http://10.79.57.91

   • ルート CA フィンガープリント = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • チャレンジ パスワード = D233CCF9B9952A15

   • 802.1X 認証を有効にする = Yes

   • 証明書の選択 = Custom installed

   最終的な 16 進値の構文は次のとおりです: {<suboption><length><value>}...

   上記のパラメータ値によると、最終的な 16 進値は以下の通りです。

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. DHCP サーバで DHCP オプション 43 を構成します。

   この手順は、Cisco Network Register の DHCP オプション 43 構成の例を提供します。

   1. DHCP オプション定義セットを追加します。

      ベンダーオプション文字列 は IP 電話のモデル名です。 有効な値は、DP-9841、DP-9851、DP-9861、DP-9871、または CP-8875 です。

   2. DHCP オプション 43 とサブオプションを DHCP オプション定義セットに追加します。

      例：

      

   3. オプション 43 を DHCP ポリシーに追加し、値を次のようにセットアップします。

      例：

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. 設定を確認します。 Wireshark を使用して、電話とサービスの間のネットワーク トラフィックのトレースをキャプチャできます。
4. 電話機の工場出荷時設定へのリセットを実行します。

   電話がリセットされた後、パラメータ サーバ、 ルート CA 指紋、および チャレンジパスワード が自動的に入力されます。 これらのパラメータは、電話管理 Web ページの [証明書] > [カスタム] の [SCEP 構成 1] セクションにあります。

   インストール済みの証明書を確認するには、[既存の証明書（Existing Certificates）] セクションで [表示（View）] をクリックします。

   証明書のインストール状態を確認するには、 [証明書] > [カスタム証明書の状態] を選択します。 ダウンロード状況 1 に最新の結果が表示されます。 証明書の登録中に問題が発生した場合、トラブルシューティングの目的で、ダウンロードの状況に問題の理由を表示できます。

   チャレンジ パスワード認証が失敗した場合、ユーザーは電話スクリーン上でパスワードを入力するように指示されます。

5. (オプション): インストールされた証明書を電話機から削除するには、[ 既存の証明書 ] セクションで [ 削除 ] をクリックします。

   ボタンをクリックすると、削除操作が確認なしですぐに開始されます。