この記事の内容
アップロードによるカスタムデバイス証明書の手動インストール
dropdown icon
SCEPによるカスタムデバイス証明書の自動インストール
    SCEP設定のパラメータ
    SCEPによる証明書の更新
DHCPオプション43によるSCEPパラメータの設定
DHCPオプション15によるユーザーIDの提供
シスコワイヤレス電話 9821のカスタムデバイス証明書
list-menuこの記事の内容
list-menuフィードバックがある場合

カスタムデバイス証明書(CDC)は、手動でも自動でもインストールできます。特定の環境では、DHCPオプション43を使用して、証明書のインストールに必要な簡易証明書登録プロトコル(SCEP)パラメータを指定します。このヘルプ記事は Webex Calling に登録されているシスコワイヤレスフォン 9821を対象としています。

カスタムデバイス証明書(CDC)を携帯電話にインストールするには、状況に応じて次のいずれかの方法を使用してください。

電話に最後にインストールされた証明書が有効になります。

アップロードによるカスタムデバイス証明書の手動インストール

電話の管理Webページから証明書をアップロードすることで、カスタムデバイス証明書(CDC)を電話に手動でインストールできます。

始める前に

電話用のカスタムデバイス証明書をインストールする前に、次のものが必要です。

  • PCに保存された証明書ファイル(.p12または.pfx)。 このファイルには、証明書と秘密鍵が含まれています。
  • 証明書の抜粋パスワード。 パスワードは証明書ファイルを復号化するために使用されます。
1

電話管理ウェブページにアクセスしてください。

2

証明書を選択してください。

3

「証明書を追加」セクションで、「ブラウズ...」をクリックします。。

4

PCにある証明書を参照してください。

5

「パスワードの抽出」フィールドに、証明書抽出パスワードを入力します。

6

「アップロード」をクリックします。

証明書ファイルとパスワードが正しければ、「証明書が追加されました」というメッセージが表示されます。「。 そうしないと、証明書をアップロードできないことを示すエラーメッセージが表示されてアップロードが失敗します。
7

インストールされている証明書の詳細を確認するには、「既存の証明書」セクションの「表示」をクリックします。

8

インストールされている証明書を電話から削除するには、「既存の証明書」セクションの「削除」をクリックします。

ボタンをクリックすると、 確認なしで削除操作がすぐに開始されます。

証明書が削除されると、「証明書が削除されました」 というメッセージが表示されます。 証明書がアクティブなワイヤレス接続に関連付けられている場合は、 電話を再起動して変更を適用してください。

SCEPによるカスタムデバイス証明書の自動インストール

簡易証明書登録プロトコル(SCEP)関連のパラメータを設定して、SCEPサーバーと通信してカスタムデバイス証明書(CDC)を自動的にインストールすることができます。

SCEPパラメータのいずれかが設定されると、電話機はSCEP登録要求をサーバーに送信します。 電話は、設定されたフィンガープリントを使用して、受信したCA証明書を検証します。

始める前に

電話のカスタムデバイス証明書(CDC)の自動インストールを実行する前に、次のものが必要です。

  • SCEPサーバーのアドレス
  • SCEPサーバーのルートCA証明書のSHA-1またはSHA-256フィンガープリント
1

電話管理ウェブページにアクセスしてください。

2

証明書を選択してください。

3

SCEP Configuration 1セクションで、SCEP構成のパラメーターの説明に従ってパラメーターを設定します。

4

「すべての変更を送信」をクリックします。

SCEP設定のパラメータ

次の表は、電話機のWebインターフェイスの「 証明書」タブにあるSCEP Configuration 1セクションにあるSCEP構成パラメータの機能と使用方法を定義しています。 また、パラメータを設定するために電話設定ファイル(cfg.xml)に追加される文字列の構文も定義します。

パラメータを変更すると、電話は新しい証明書を要求します。

テーブル 1.SCEP構成のパラメーター
パラメーター説明
サーバー

SCEPサーバーのアドレス。 このパラメータは必須です。

シスコワイヤレスフォン 9821は、このリリースではチャレンジパスワードの使用をサポートしていません。 電話の証明書の発行に使用する Certificate Authority (CA) サーバーが、チャレンジパスワードを要求するように設定されていないことを確認してください。

次のいずれかを実行してください。

  • XML(cfg.xml)の電話設定ファイルに、次の形式の文字列を入力します。

    <CDC_Server_1_ ua="na">http://10.79.57.91</CDC_Server_1_>

  • 電話機のWebページで、SCEPサーバーのアドレスを入力します。

有効な値:URLまたはIPアドレス。 HTTPSスキームはサポートされていません。

デフォルト:空です

CAフィンガープリント

SCEPプロセス中に検証するためのルートCAのSHA256またはSHA1フィンガープリント。 このパラメータは必須です。

次のいずれかを実行してください。

  • XML(cfg.xml)の電話設定ファイルに、次の形式の文字列を入力します。

    <CDC_Root_CA_Fingerprint_1_ ua="na">12040870625C5B755D73F5925285F8F5FF5D55AF</CDC_Root_CA_Fingerprint_1_>

  • 電話のウェブページで、有効なフィンガープリントを入力してください。

デフォルト:空です

SCEPによる証明書の更新

デバイス証明書はSCEPプロセスによって自動的に更新できます。

  • 電話は、証明書の有効期限が15日後に切れるかどうかを4時間ごとに確認します。 その場合、電話は証明書の更新プロセスを自動的に開始します。
  • 電話は新しいデバイス証明書を取得するまで古いデバイス証明書を削除しません。

DHCPオプション43によるSCEPパラメータの設定

カスタムデバイス証明書(CDC) をアップロードしたり、SCEPパラメータを直接設定したりしてインストールできない特定の環境では。 このような場合は、DHCPオプション43を利用して 、DHCPサーバーからパラメータを入力できます。 DHCPオプション43は、 電話にSCEPパラメータを提供するように設定できます。 電話機を出荷時設定にリセットすると、DHCPサーバーからパラメータを受け取り、 SCEPプロトコル経由でCDCをインストールできます。

  • この機能(DHCPオプション43によるSCEPパラメータ設定)は、 工場出荷時の状態にリセットされた電話でのみ使用できます。
  • 電話は、 オプション43とリモートプロビジョニング(オプション66、160、159,150、またはクラウドプロビジョニングなど)をサポートしているネットワークに配置しないでください。 そうしないと、 電話にオプション43の設定が適用されない可能性があります。

DHCPオプション43で提供されるSCEPパラメータでCDC証明書をインストールするには、次の手順に従ってください。

1

SCEP環境を準備してください。

SCEP環境の設定については、SCEPサーバーのマニュアルを参照してください。

2

DHCPオプション43を設定します(8.4 ベンダー固有情報、RFC 2132で定義されています)。

サブオプション(10—12)は次のメソッド専用です。

電話のウェブページのパラメータサブオプションタイプ長さ (バイト)必須
FIPSモード 10 ブーリアン 1 いいえ*
サーバー 11 文字列 208-長さ はい
ルート CA フィンガープリント 12 16進数 20、32、48、または64 はい

*は、パラメータが実際の状況に応じて設定されていることを意味します。

DHCPオプション43を使用するときは、この方法の次の特徴に注意してください。

  • サブオプション(10—12)はカスタムデバイス証明書(CDC)専用です。
  • DHCPオプション43の最大長は255バイトです。
  • Ciscoワイヤレス電話9821はFIPSモードをサポートしていないため、FIPSモードの値は無効に設定する必要があります。
  • DHCPオプション60(ベンダークラス識別子)は、デバイスモデルを識別するために使用されます。

DHCPオプション43(サブオプション10-15)の例:

サブオプション 10進数/16進数値の長さ(バイト)10進数/16進数価値16進値
10/0a 1/01 0 (0: 無効; 1: 有効) 00
11/0b 18/12 http://10.79.57.91 687474703a2f2f31302e37392e35372e3931
12/0c 20/14 12040870625C5B755D73F5925285F8F5FF5D55AF 12040870625C5B755D73F5925285F8F5FF5D55AF

パラメータ値の要約:

  • FIPSモード = 無効

  • Server = http://10.79.57.91

  • ルート CA フィンガープリント = 12040870625C5B755D73F5925285F8F5FF5D55AF

最後の16進値の構文は:{}... <suboption><length><value>

上記のパラメータ値によると、最終的な16進値は次のようになります。

0a01000b12687474703a2f2f31302e37392e35372e39310c1412040870625c5b755d73f5925285f8f5d55af
3

DHCPサーバーでDHCPオプション43を設定してください。

このステップでは、シスコネットワークレジスタのDHCPオプション43の設定の例を示します。

  1. DHCPオプション定義セットを追加してください。

    ベンダーオプション文字列は、IP電話のモデル名です。 有効な値は:WP-9821です。

  2. DHCPオプション43とサブオプションをDHCPオプション定義セットに追加します。

    例として次のスクリーンショットを参照してください。

    Screenshot of DHCP option 43 definitions for 9821 on Cisco Network Register

  3. DHCPポリシーにオプション43を追加し、次のように値を設定します。

    例:

    (10 1) (11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)

  4. 設定を確認してください。 Wiresharkを使用して、電話とサービスの間のネットワークトラフィックの痕跡をキャプチャできます。
4

電話を工場出荷時の状態にリセットしてください。

電話がリセットされると、 サーバーとルートCAフィンガープリントのパラメーターが自動的に入力されます。 これらのパラメータは、電話管理ウェブページの「証明書 > カスタム」の「SCEP設定1」セクションにあります。

インストールされている証明書の詳細を確認するには、「既存の証明書」セクションの「表示」をクリックします。

証明書のインストール状況を確認するには、証明書 > カスタム証明書ステータスを選択します。 ダウンロードステータス1は最新の結果を示しています。 証明書の登録中に問題が発生した場合は、 ダウンロードステータスに問題の理由が表示され、トラブルシューティングに役立てることができます。

5

(オプション)インストールされている証明書を電話から削除するには、「既存の証明書」 セクションの「削除」をクリックします。

ボタンをクリックすると、 確認なしで削除操作がすぐに開始されます。

DHCPオプション15によるユーザーIDの提供

このセクションは、有線ネットワークの802.1X認証専用です。

DHCPオプション43を使用してSCEP証明書を登録すると、電話機はDHCPオプション15(設定されている場合)で指定されたドメイン名を取得することもできます。 電話機がドメイン名を受け取ると、ドメイン名を使用してユーザーIDを作成できます。 ドメイン名は次のように表されます。

  • ユーザーID = <MIC/SUDIの一般的な名前 > @ <Domain Name in Option 15>

    ユーザーIDは、有線802.1X認証のIDとして使用されます。

たとえば、シスコワイヤレス電話9821電話のMACアドレスはC 8:78:F 7:7 C:09:F9です。

DHCPオプション15のドメイン名ユーザーIDです
例.nlWP-9821-SEPC878F77C09F9@example.nl
空ですWP-9821-SEPC878F77C09F9
この投稿記事は役に立ちましたか?
この投稿記事は役に立ちましたか?