コメントありがとうございます。

これは、 公開TLS証明書の発行に影響するGoogle Chromeブラウザポリシーの変更が予定されていることをお知らせし、Cisco Webex Calling専用インスタンスとUCMクラウド環境での相互TLS（ mTLS）接続を引き続きサポートするためにシスコが講じる措置の概要を説明するためです。

2027年2月1日から、Google ^{Chromeトラストプログラムに含まれる公的認証局}（CA） は、 クライアント認証（ClientAuth）拡張キー使用（EKU）を含む証明書への署名を停止します。

2027年3月15日より、Googleは、 ChromeルートストアのパブリックルートCAがサーバー認証 （^ServerAuth）EKUのみを含む証明書を発行することを義務付けるポリシーを実施します。 その結果、Chrome Root StoreのパブリックルートCAは、 サーバー認証とクライアント認証の両方のEKUを1つの証明書にまとめた証明書を発行できなくなります 。

現在、専用インスタンスUCアプリケーションでは、 mTLS接続の信頼を確立するために、 1つの証明書にサーバー認証とクライアント認証の両方のEKUを含む証明書を使用しています。 UCアプリケーションリリースV15su5では、 個別のサーバー証明書とクライアント証明書がサポートされるようになりました。

現在、専用インスタンスは、Google Chromeルートストアの一部であるIdenTrustコマーシャルルートCA 1を使用してこれらの証明書に署名しています。 ただし、 Chromeのポリシー変更が予定されているため、^{このCAは2027年2月1日から}、 1つの証明書に両方のEKUを含む証明書を発行できなくなります。

証明書が影響を受けます

以下のUCアプリケーション証明書は、パブリックルートCAを使用して署名されており、 mTLS接続によく使用されます。

UCアプリケーション	証明書の種類	一般的なmTLS接続
Cisco Unified CM/中小企業	トムキャット/トムキャット-ECDSA	LDAP、ファイルビート、ログスタッシュ、MRA経由のSIP OAuth、リモートシスログ
	コールマネージャー/コールマネージャー-ECDSA	SIPトランク、ノード間接続、クラスター間接続
Cisco Unity Connection	トムキャット/トムキャット-ECDSA	SIPプロキシ、SIPトランク
シスコ IM アンドプレゼンス	トムキャット/トムキャット-ECDSA	—
	カップ/カップ-ECDSA	CUCM、サードパーティクライアント、SIPプロキシによる安全なSIP
	カップ-XMPP /カップ-XMPP-ECDSA	XMPPフェデレーション
Cisco Emergency Responder	トムキャット/トムキャット-ECDSA	—
Cisco Expressway	サーバー証明書	モバイルとRemote Access（MRA）

証明書は影響を受けません

専用インスタンスの残りの証明書はすべて自己署名されています。 詳細については、「専用インスタンス証明書管理」を参照してください。

Chrome のポリシー変更に対応し、mTLS 機能を中断させないために、 シスコは次の措置を講じます。

• 2026年6月1日より、^{シスコはすべての証明書更新について、 専用インスタンスUCアプリケーション証明書の署名に使用するパブリックルートCAをiDentrust商用ルートCA 1からIDentrustパブリックセクタールートCA1に切り替えます。}

  証明書の更新プロセスは同じで、更新が予定されると、Control Hub Alerts Centerが「メンテナンスと停止」 アラートでお客様に通知します。 詳しくは、「メンテナンスアラート」を参照してください。

• 証明書には引き続きサーバー認証EKUとクライアント認証EKUの両方が含まれます。

TLSまたはmTLS接続を使用して専有インスタンスのUCアプリケーションを接続する顧客環境内のサードパーティのアプリケーションまたはサービスは、 専用インスタンスのUCアプリケーションと同じ証明書チェーンを使用する必要があります。 顧客のシステムまたはアプリケーションのトラストストアに必要なIDenTrust認証局がまだ含まれていない場合は、TLS/mTLS接続障害を防ぐために新しいルート証明書をインポートする必要があります。

1. 現在のmTLS接続を監査してください
   1. TLSまたはmTLSを使用して専用インスタンスのUCアプリケーションに接続するアプリケーション、サードパーティのサービス、または統合を特定します。
   2. それらのアプリケーションが新しいパブリックルートCA： iDentrustパブリックセクタールートCA 1を信頼しているかどうかを確認してください。
2. 新しいパブリックルートCAを追加します（必要な場合）
   1. IdenTrust Public Sector Root CA 1がカスタマーアプリケーションまたはシステムトラストストアでまだ信頼されていない場合は、追加する必要があります。
   2. 同じものを次のリンクからダウンロードできます。

      ルートCA：IDentrust パブリックセクタールートCA 1

      代替ダウンロードページ：iDenTrustサポートダウンロード

      発行/サブCA：iDentrust パブリックセクターサーバー CA 1.

   ほとんどのアプリケーションでは、 サーバーがフルチェーンを提供していれば、ルートCAを信頼するだけで十分です。 中間証明書を個別にインポートする必要があるアプリケーションには、発行/サブCAを含めると便利です。

IdenTrust Public Sector Root CA 1は、次のオペレーティングシステムとプラットフォームの標準トラストストアでデフォルトで信頼されています。

• Microsoft Windows
• macOS
• iOS/iPadOS
• Android

その結果、 お客様はこれらのプラットフォームのトラストストアを検証して、新しいパブリックCAのルート証明書がすでにリストされていることを確認するだけで済みます。 これは、 これらのプラットフォーム上のデフォルトのトラストストアを使用するエンドポイント/クライアントまたはサードパーティシステムに適用されます。 各プラットフォームでトラストストアを更新する手順は、以下のセクションに記載されています。 これらの更新を実行する責任は、お客様またはパートナーにあります。 以下のリンクと手順は、それぞれのプラットフォームベンダーのオンライン記事を参照しており、 シスコはベストエフォートベースでサポートを提供します。 さらに明確にするには、 それぞれのプラットフォームベンダーと直接連携する必要があります。

アンドロイドトラストストアノート

IdenTrustパブリックセクタールート CA1はAndroidシステムのCAストアに含まれており、 現在サポートされているAndroidバージョンではデフォルトで信頼されています。 Androidでは、個々のルート証明書の導入日について、 バージョン固有の公開マッピングは提供していません。 信頼はAndroidシステムのCAストアを通じて管理され、 オペレーティングシステムのアップデートとGoogle Playのシステムアップデートを通じて配布されます。

Androidシステムのトラストストアがデバイスポリシー、企業管理統制、 またはアプリケーション固有の信頼制限によって明示的に変更されていない限り、ユーザーによる操作は必要ありません。

IdenTrustパブリックセクタールート CA 1は、Google Chromeルートストアには含まれていません。

Google ChromeがこのルートCAの下で発行された証明書を信頼できるようにするには、 Chromeがローカルの信頼判断に使用するロケーションのオペレーティングシステムレベルでルート証明書が明示的に信頼されていることを確認する必要があります。

Windows — 必要なトラスト設定

ルートCAがWindows上のGoogle Chromeで信頼されていることを確認するには、 IdenTrustパブリックセクタールートCA1を次のいずれかの場所にインポートする必要があります。

• ローカルコンピュータ → 信頼されたルート証明機関

  （エンタープライズ管理システムに推奨）

または

• 現在のユーザー → 信頼されたルート証明機関

  (ユーザーレベルの信頼のため)

Windows証明書インポートウィザードを使用してこれらの場所 （グループポリシー経由を含む）にインポートされた証明書は、Google Chromeで信頼されています。

Windowsサードパーティにのみ存在するルート証明書は、上記のように明示的にインポートされない限り、 Chromeによって自動的に信頼されません。

Mac OS — 必要な信頼設定

ルートCAがmacOS上のGoogle Chromeで信頼されるようにするには、 iDentrustパブリックセクタのルートCA 1をmacOSキーチェーンに追加し、明示的に信頼する必要があります。

1. 証明書をシステムキーチェーン（推奨）またはログインキーチェーンにインポートします

2. 証明書を開いて設定してください：

   • この証明書を使用する場合：常に信頼してください

     （または少なくとも、SSL: 常に信頼）

システムまたはユーザーレベルで信頼されると、Google Chromeはその証明書を信頼できるものとして尊重します。

管理者は、chrome: //証明書マネージャー/localcerts/platformcertsに移動して 、どのプラットフォーム証明書がChromeで信頼されているかを確認できます。

詳細については、Googleのよくある質問を参照してください。

サードパーティとの統合には、まずお客様の検証が必要です。

専用インスタンスUCアプリケーションとTLS/mTLS接続を確立するサードパーティのアプリケーションまたはサービスについては、お客様は専用インスタンスに影響するパブリックCA証明書の変更に記載されているアクションに従う必要があります。

トラストストアの更新が必要な場合は、サードパーティベンダーまたはIT管理者と直接連携する必要があります。 サードパーティのトラストストアや証明書検証動作の変更はシスコの責任外であり、 シスコはサードパーティの証明書トラストの設定やトラブルシューティングを支援できません。

お客様は、IdenTrustテスト証明書を使用して新しいパブリックルートCAを検証できます。

ページが正常に開くと、 IdenTrustパブリックセクタールートCA1があなたの環境で信頼されています。

この変更、Google Chromeのブラウザポリシー、 または専用インスタンスでの証明書の更新についてご質問がある場合は、コントロールハブのUCアプリケーションライフサイクルのサービスリクエストを開いてください。

UCMクラウド（UCMC）のお客様は、ドメインを所有し、 独自のUCアプリケーション証明書の更新を管理していて、 UCアプリケーション証明書に署名するためのドメイン権限をシスコに委任していないお客様は、 選択した公的認証局と直接連携してこの変更に対処する必要があります。 

これらのお客様は、 今後のパブリックCAとブラウザポリシーの変更に関連する証明書の使用と修復に関する該当するUCアプリケーション製品（シスコのオンプレミス通話製品と Cisco Expressway） の推奨事項にも従う必要があります。 詳細については、「役割と責任」を参照してください。 

シスコは、 個別のサーバー証明書とクライアント証明書に対するUCアプリケーションのサポートが可能になり次第、引き続きアップデートを提供します。 最新情報については、このドキュメントを参照してください。

証明書EKUの変更： シスコオンプレミスコラボレーションのお客様が今すぐ取らなければならないアクション