- ホーム
- /
- 投稿記事
コメントありがとうございます。
この記事の内容
フィードバックがある場合カスタムデバイス証明書(CDC)は手動または自動でインストールできます。 特定の環境では、DHCP オプション 43 を使って証明書インストールに必要な簡易証明書登録プロトコル(SCEP)パラメータを提供します。 このヘルプ記事は、Cisco ワイヤレスフォン 9821(Webex Calling に登録されている)に関するものです。
カスタムデバイス証明書(CDC)をスマートフォンにインストールするには、状況に応じて以下のいずれかの方法をご利用ください。
- 手動インストール—電話管理のウェブページからアップロードすることで証明書をインストールできます。 詳細については アップロードによるカスタムデバイス証明書の手動インストールをご覧ください。
- 自動インストール—Simple Certificate Enrollment Protocol(SCEP)パラメータを設定して自動インストールをトリガーできます。 電話は SCEP サーバに証明書をインストールするための要求を送信します。
SCEP パラメータは電話管理ウェブページ、電話設定ファイル(cfg.XML)、または Control Hub を通じて設定できます。 詳細については、Control Hub の電話設定については、SCEP andParameters によるカスタムデバイス証明書の自動インストールをご覧ください。
- DHCP オプション 43—特定の環境では、DHCP オプション 43 を利用して証明書をインストールできます。オプション 43 は証明書インストールのための SCEP パラメータを提供できます。 詳細については、 SCEP パラメータ設定(DHCP オプション 43を参照してください。
SCEP パラメータのプロビジョニングに DHCP オプション 43 を使うと、電話は DHCP オプション 15 から取得したドメイン名も取得できます。取得したドメイン名に基づき、電話は有線ネットワーク接続用の 802.1X ユーザ ID を構築できます。 詳細については Provisioning of User ID by DHCP オプション 15を参照してください。
DHCP オプションの設定方法については DHCP オプションの設定を参照してください。
電話に最近インストールされた証明書が有効になります。
カスタムデバイス証明書の手動インストール(アップロードによる)
電話管理ウェブページから証明書をアップロードすることで、電話にカスタム デバイス証明書 (CDC) を手動でインストールできます。
はじめる前に
電話のカスタム デバイス証明書をインストールするには、以下が必要です。
- 証明書ファイル(.p12 または.pfx)を PC に保存されています。 ファイルには証明書と秘密鍵が含まれています。
- 証明書の抽出パスワードです。 パスワードは証明書ファイルの解読に使用されます。
| 1 |
電話機の管理ウェブページにアクセスしてください。 |
| 2 |
Select Certificate。 |
| 3 |
証明書の追加 セクションで、 参照... をクリックします。 |
| 4 |
PC の証明書を参照します。 |
| 5 |
[抽出パスワード（Extract password）] フィールドに、証明書の抽出パスワードを入力します。 |
| 6 |
[アップロード（Upload）] をクリックします。 証明書ファイルとパスワードが正しい場合、「
証明書が追加されました。」というメッセージが表示されます。 そうでない場合、アップロードは失敗し、証明書をアップロードできないことを示すエラーメッセージが表示されます。 |
| 7 |
インストール済みの証明書を確認するには、[既存の証明書（Existing Certificates）] セクションで [表示（View）] をクリックします。 |
| 8 |
インストールされた証明書を電話から削除するには、[既存の証明書（Existing Certificates）] セクションで [削除（Delete）] をクリックします。 ボタンをクリックすると、削除操作が確認なしですぐに開始されます。 証明書が削除されると、「Certificate deleted |
SCEP によるカスタムデバイス証明書の自動インストール
Simple Certificate Enrollment Protocol(SCEP)関連パラメータを設定し、SCEP サーバと連携してカスタムデバイス証明書(CDC)を自動的にインストールできます。
SCEP パラメータのいずれかが設定されると、電話はサーバに SCEP 登録リクエストを送信します。 電話は設定済みの指紋認証を使って受信した CA 証明書を検証します。
はじめる前に
電話のカスタムデバイス証明書(CDC)の自動インストールを行う前に、以下の条件を満たす必要があります:
- SCEP サーバアドレス
- SCEP サーバのルート CA 証明書の SHA-1 または SHA-256 フィンガープリント
| 1 |
電話機の管理ウェブページにアクセスしてください。 |
| 2 |
Select Certificate。 |
| 3 |
SCEP Configuration 1 セクションでは、 Parameters for SCEP configuration に記載されているパラメータを設定してください。 |
| 4 |
[すべての変更の送信（Submit All Changes）] をクリックします。 |
SCEP 構成のパラメータ
以下の表は、電話ウェブインターフェースの Certificate Tab の下にある SCEP Configuration 1 セクションで SCEP 設定パラメータの機能と使用を定義しています。 また、パラメータを設定するために電話設定ファイル (cfg.xml) に追加される文字列の構文も定義します。
パラメータの変更があれば、電話は新しい証明書を要求します。
| パラメータ | 説明 |
|---|---|
| server |
SCEP サーバアドレス。 このパラメータは必須です。 以下のいずれかの操作を実行してください。
有効な値: URL または IP アドレス。 HTTPS スキームはサポートされていません。 デフォルト：空 |
| CA フィンガープリント |
SCEP プロセス中の検証のためのルート CA の SHA256 または SHA1 指紋。 このパラメータは必須です。 以下のいずれかの操作を実行してください。
デフォルト：空 |
SCEP による証明書の更新
デバイス証明書は、SCEP プロセスによって自動的に更新できます。
- 電話機は、証明書が 15 日後に期限切れになるかどうかを 4 時間ごとに確認します。 その場合、電話は証明書の更新プロセスを自動的に開始します。
- チャレンジ パスワードが空の場合、電話は最初の登録と証明書の更新の両方に MIC/SUDI を使用します。 チャレンジ パスワードが設定されている場合、最初の登録にのみ使用され、既存/インストール済みの証明書が証明書の更新に使用されます。
- 電話は、新しい証明書を取得するまで、古いデバイス証明書を削除しません。
- デバイスの証明書または CA の有効期限が切れているために証明書の更新が失敗した場合、電話機は初期登録を自動的にトリガーします。 一方、チャレンジ パスワード認証が失敗すると、電話スクリーンにパスワード入力画面がポップアップ表示され、ユーザは電話でチャレンジ パスワードを入力するように求められます。
DHCP オプション 43 経由の SCEP パラメータ設定
カスタムデバイス証明書(CDC)をアップロードしたり、SCEP パラメータを直接設定したりしてインストールできない環境では、 この場合、DHCP オプション 43 を使って DHCP サーバからパラメータを入力できます。 DHCP オプション 43 は、電話に SCEP パラメータを提供するように設定できます。 電話が工場出荷時リセットされると、DHCP サーバからパラメータを受け取り、SCEP プロトコルを通じて CDC をインストールすることができます。
- この機能(オプション 43 DHCP による SCEP パラメータ設定)は、工場出荷時リセットされた電話でのみ利用可能です。
- 電話はオプション 43 およびリモートプロビジョニング(例:オプション 66,160,159,150 やクラウドプロビジョニング)をサポートしているネットワークに配置してはなりません。 そうでなければ、Option 43 の設定が対応できない可能性があります。
DHCP オプション 43 で提供された SCEP パラメータに従って CDC 証明書をインストールするには、以下の手順に従ってください。
| 1 |
SCEP 環境を準備する SCEP 環境設定の詳細については、SCEP サーバのドキュメントを参照してください。 | ||||||||||||||||||||||||||||||||||||
| 2 |
DHCP オプション 43 ( 8.4 ベンダー固有情報、RFC 2132 で定義) をセットアップします。 サブオプション (10-12) は メソッド用に予約されています。
* はパラメータが実際の状況に応じて設定されていることを意味します。 DHCP オプション 43 を使用する場合、この方法の以下の特性に注意してください。
DHCP オプション 43(サブオプション 10–15)の例:
パラメータ値の概要:
最終的な 16 進形値の構文は次の通りです: 上記のパラメータ値によると、最終的な 16 進値は以下の通りです。 0a01000b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF
| ||||||||||||||||||||||||||||||||||||
| 3 |
DHCP サーバで DHCP オプション 43 を構成します。 この手順は、Cisco Network Register の DHCP オプション 43 構成の例を提供します。
| ||||||||||||||||||||||||||||||||||||
| 4 |
電話機の工場出荷時設定へのリセットを実行します。 電話がリセットされると、パラメータ Server and Root CA Fingerprint が自動的に入力されます。 これらのパラメータは電話管理ウェブページのセクション SCEP Configuration 1 from にあります。 インストール済みの証明書を確認するには、[既存の証明書（Existing Certificates）] セクションで [表示（View）] をクリックします。 証明書のインストール状況を確認するには、 を選択してください。 ダウンロード状況 1 に最新の結果が表示されます。 証明書の登録中に問題が発生した場合、トラブルシューティングの目的で、ダウンロードの状況に問題の理由を表示できます。 | ||||||||||||||||||||||||||||||||||||
| 5 |
(任意)インストール済み証明書を端末から削除するには、 Existing Certificates セクションの Delete をクリックしてください。 ボタンをクリックすると、削除操作が確認なしですぐに開始されます。 |
オプション 15 の DHCP によるユーザ ID のプロビジョニング
このセクションは有線ネットワーク向けの 802.1X 認証専用です。
SCEP 証明書登録の際、DHCP オプション 43 で、設定されていれば DHCP オプション 15 で提供されたドメイン名も取得できます。 電話がドメイン名を受信した後、ドメイン名でユーザ ID を作成でき、その表現は以下の通りです。
- ユーザ ID = <Common Name in MIC/SUDI >@<Domain Name オプション 15>
The User ID は有線 802.1X 認証の ID として使われます。
例えば、Cisco ワイヤレス電話 9821 電話の MAC アドレスは C8:78:F7:7C:09:F9 です。
| DHCP オプション 15 のドメイン名 | ユーザー ID（User ID） |
|---|---|
| example.nl | WP-9821-SEPC878F77C09F9@example.nl |
| Empty | WP-9821-SEPC878F77C09F9 |
