Hartelijk dank voor uw feedback

U kunt certificaten toevoegen via de lokale webinterface van het apparaat. Als alternatief kunt u certificaten toevoegen door API-opdrachten uit te voeren. Om te zien met welke opdrachten u certificaten kunt toevoegen, gaat u naar roomos.cisco.com.

Servicecertificaten en vertrouwde CA's

Validatie van het certificaat kan vereist zijn wanneer u TLS (Transport Layer Security) gebruikt. Een server of client kan vereisen dat het apparaat een geldig certificaat voorlegt voordat de communicatie tot stand wordt gebracht.

De certificaten zijn tekstbestanden die de authenticiteit van het apparaat verifiëren. Deze certificaten moeten worden ondertekend door een vertrouwde certificeringsinstantie (CA). Om de handtekening van de certificaten te verifiëren, moet er een lijst van vertrouwde CA's op het apparaat staan. De lijst moet alle CA's bevatten die nodig zijn om certificaten te verifiëren voor zowel auditregistratie als andere verbindingen.

Certificaten worden gebruikt voor de volgende diensten: HTTPS-server, SIP, IEEE 802.1X en auditregistratie. U kunt meerdere certificaten op het apparaat opslaan, maar voor elke service is slechts één certificaat tegelijk ingeschakeld.

Op RoomOS in oktober 2023 en later, wanneer u een CA-certificaat aan een apparaat toevoegt, wordt dit ook toegepast op een Room Navigator apparaat dat is aangesloten. Om de eerder toegevoegde CA-certificaten te synchroniseren met een verbonden certificaatRoom Navigator, moet u het apparaat opnieuw opstarten. Als u niet wilt dat de randapparatuur dezelfde certificaten krijgt als het apparaat waarop het is aangesloten, stelt u de configuratie Peripherals Security Certificates SyncToPeripherals in op False.

Voor een Wi-Fi-verbinding

We raden u aan een vertrouwd CA-certificaat toe te voegen voor elk apparaat uit de Board, Desk of Room Series, als uw netwerk WPA-AAP-authenticatie gebruikt. U moet dit voor elk apparaat afzonderlijk doen, en voordat u verbinding maakt met wifi.

Ondersteunde certificaten en sleutelformaten

• Dit systeem accepteert certificaatbestanden in PEM- of binaire formaten.

• PEM-bestanden kunnen zowel het certificaat als de privésleutel in hetzelfde bestand bevatten.

• De privésleutel moet hetzelfde formaat hebben als het certificaat; dat wil zeggen, beide moeten PEM of binair zijn.

• Ondersteunde formaten voor binaire certificaten zijn onder meer X.509-bestanden met de extensies .der, .cer of .crt, en PKCS7-bestanden met de extensie .p7b.

• Ondersteunde formaten voor binaire privésleutels zijn onder meer RSA- of DSA-versleutelde sleutels, meestal met de extensies .key, .der of .p8.

Het certificaat en de privésleutel worden in hetzelfde bestand op het apparaat opgeslagen. Als de authenticatie mislukt, wordt de verbinding niet tot stand gebracht.

Beheerders moeten via de Control Hub een Certificate Signing Request (CSR) genereren voor een in de cloud geregistreerd apparaat uit de Board, Desk of Room Series.

Volg deze stappen om een CSR te genereren en een ondertekend certificaat naar uw apparaat te uploaden:

1. Ga vanuit de klantenweergave in Control Hub naar de pagina Apparaten en selecteer uw apparaat in de lijst.
2. Navigeer naar Acties > XCommand uitvoeren > Beveiliging > Certificaten > CSR > Create.
3. Voer de vereiste certificaatgegevens in en selecteer Uitvoeren.
4. Kopieer alle tekst tussen ----BEGIN CERTIFICATE REQUEST---- en ----END CERTIFICATE REQUEST----.
5. Gebruik een Certificate Authority (CA) naar keuze om de CSR te ondertekenen.
6. Exporteer het ondertekende certificaat in PEM-formaat (Base64-gecodeerd).
7. Open het ondertekende certificaatbestand in een teksteditor (bijvoorbeeld Notepad) en kopieer alle tekst tussen ----BEGIN CERTIFICATE---- en ----END CERTIFICATE----.
8. Navigeer in Control Hub naar Apparaten > selecteer uw apparaat > Acties > XCommand uitvoeren > Beveiliging > Certificaten > CSR > Link.
9. Plak de inhoud van het gekopieerde certificaat in de hoofdtekst en selecteer Uitvoeren.
10. Vernieuw de pagina om te controleren of het certificaat onder Existing Certificate verschijnt.

Simple Certificate Enrollment Protocol (SCEP) biedt een geautomatiseerd mechanisme voor de inschrijving en vernieuwing van certificaten die bijvoorbeeld worden gebruikt voor 802.1X-verificatie op apparaten. Met SCEP kunt u de toegang van het apparaat tot beveiligde netwerken behouden zonder handmatige tussenkomst.

• Als het apparaat nieuw is of de fabrieksinstellingen zijn hersteld, heeft het netwerktoegang nodig om de SCEP-URL te bereiken. Het apparaat moet verbonden zijn met het netwerk zonder 802.1X om een IP-adres te verkrijgen.

• Als u een SSID voor draadloze inschrijving gebruikt, doorloop dan de onboarding-schermen om de verbinding met het netwerk te configureren.

• Als u eenmaal verbonden bent met het provisioningnetwerk, hoeft het apparaat zich niet op een bepaald onboardingscherm te bevinden.

• Voor alle implementaties slaan de SCEP Enrollment XAPI's niet het CA-certificaat op dat is gebruikt om het apparaatcertificaat te ondertekenen. Voor serverauthenticatie moet het CA-certificaat dat wordt gebruikt om het servercertificaat te valideren, worden toegevoegd aan XCommand Security Certificates CA Add.

Vereisten

U hebt de volgende informatie nodig:

• URL van de SCEP-server.

• Vingerafdruk van het ondertekende CA (Certificate Authority) -certificaat.

• Informatie over het certificaat om in te schrijven. Dit vormt de onderwerpnaam van het certificaat.

  • Algemene naam

  • Naam van het land

  • Naam van de staat of provincie

  • Naam van de plaats

  • Naam van de organisatie

  • Organisatie-eenheid

• De onderwerpnaam wordt gerangschikt als /C = /ST = /L = /O = /OU = /CN =

• Het uitdagingswachtwoord van de SCEP-server als u de SCEP-server hebt geconfigureerd om een OTP of Shared Secret af te dwingen.

Met de volgende opdracht kunt u de vereiste sleutelgrootte voor het sleutelpaar voor de certificaataanvraag instellen. De standaardinstelling is 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

We sturen een certificaataanvraag die een jaar geldig is tot het certificaat vervalt. Het beleid aan de serverzijde kan de vervaldatum wijzigen tijdens de ondertekening van het certificaat.

Ethernet-verbinding

Als een apparaat is verbonden met een netwerk, zorg er dan voor dat het toegang heeft tot de SCEP-server. Het apparaat moet verbonden zijn met een netwerk zonder 802.1x om een IP-adres te verkrijgen. Het MAC-adres van het apparaat moet mogelijk aan het leveringsnetwerk worden verstrekt om een IP-adres te verkrijgen. Het MAC-adres is te vinden in de gebruikersinterface of op het etiket aan de achterkant van het apparaat.

Nadat het apparaat is verbonden met het netwerk, kunt u als beheerder SSH naar het apparaat sturen om toegang te krijgen tot TSH, en vervolgens de volgende opdracht uitvoeren om de SCEP-aanvraag voor inschrijving te verzenden:

xCommand Security Certificates Services Enrollment SCEP Request 

Zodra de SCEP-server het ondertekende apparaatcertificaat heeft geretourneerd, activeert u de 802.1X.

Activeer het ondertekende certificaat:

xCommand Security Certificates Services Activate 

Start het apparaat opnieuw op nadat het certificaat is geactiveerd.

Draadloze verbinding

Als een apparaat is verbonden met een draadloos netwerk, zorg er dan voor dat het toegang heeft tot de SCEP-server.

Nadat het apparaat is verbonden met het netwerk, kunt u als beheerder SSH naar het apparaat sturen om toegang te krijgen tot TSH, en vervolgens de volgende opdracht uitvoeren om de SCEP-aanvraag voor inschrijving te verzenden:

xCommand Security Certificates Services Enrollment SCEP Request 

Het apparaat ontvangt het ondertekende certificaat van de SCEP-server.

Activeer het ondertekende certificaat:

xCommand Security Certificates Services Activate

Na de activering moet u het Wi-Fi-netwerk configureren met EAP-TLS-authenticatie.

xCommand Network Wifi Configure 

In de Wi-Fi-configuratie worden de validatiecontroles van de server standaard overgeslagen. Als alleen eenrichtingsverificatie vereist is, zorg er dan voor dat allowMissingCA standaard op True staat.

Om de validatie van de server af te dwingen, moet u ervoor zorgen dat de optionele parameter allowMissingCA is ingesteld op False. Als er geen verbinding tot stand kan worden gebracht vanwege fouten in de validatie van de service, controleer dan of de juiste CA is toegevoegd om te controleren of het servercertificaat anders is dan het certificaat van het apparaat.

API-beschrijvingen

Rol: Admin, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Stuurt een CSR naar een bepaalde SCEP-server voor ondertekening. De parameters CSR SubjectName worden in de volgende volgorde samengesteld: C, ST, L, O, OUs, CN.

Parameters:

• URL (r): <S: 0, 256>

  Het URL-adres van de SCEP-server.

• Vingerafdruk (r): <S: 0, 128>

  Vingerafdruk van het CA-certificaat waarmee het CSR-verzoek van het SCEP wordt ondertekend.

• Algemene naam (r): <S: 0, 64>

  Voegt „/CN=” toe aan de CSR-onderwerpnaam.

• ChallengePassword: <S: 0, 256>

  OTP of Shared Secret van de SCEP-server voor toegang tot ondertekening.

• Naam van het land: <S: 0, 2>

  Voegt „/C=” toe aan de CSR-onderwerpnaam.

• Naam van de staat of provincie: <S: 0, 64>

  Voegt „/ST=” toe aan de CSR-onderwerpnaam.

• Naam van de plaats: <S: 0, 64>

  Voegt „/L=” toe aan de CSR-onderwerpnaam.

• Naam van de organisatie: <S: 0, 64>

  Voegt „/O=” toe aan de CSR-onderwerpnaam.

• Organisatie-eenheid [5]: <S: 0, 64>

  Voegt maximaal 5 „/OU=” -parameters toe aan de CSR-onderwerpnaam.

• en DNS [5]: <S: 0, 64>

  Voegt maximaal 5 DNS-parameters toe aan de alternatieve naam van het MVO-onderwerp.

• Een e-mailadres [5]: <S: 0, 64>

  Voegt maximaal 5 e-mailparameters toe aan de alternatieve naam van het MVO-onderwerp.

• SanIP [5]: <S: 0, 64>

  Voegt maximaal 5 IP-parameters toe aan de alternatieve naam van het MVO-onderwerp.

• Anuri [5]: <S: 0, 64>

  Voegt maximaal 5 Uri-parameters toe aan de alternatieve naam van het MVO-onderwerp.

xCommand Security Certificates Services Enrollment Profiles Delete

Verwijdert een inschrijvingsprofiel om certificaten niet langer te verlengen.

Parameters:

• Vingerafdruk (r): <S: 0, 128>

  De vingerafdruk van het CA-certificaat die het profiel identificeert dat u wilt verwijderen. U kunt zien welke profielen u kunt verwijderen door het volgende uit te voeren:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Bevat inschrijvingsprofielen voor de verlenging van certificaten.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Voeg een inschrijvingsprofiel toe voor certificaten die zijn uitgegeven met de CA-vingerafdruk om de gegeven SCEP-URL te gebruiken voor verlenging.

Verlenging

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Om het certificaat automatisch te verlengen, moet het apparaat toegang hebben tot de SCEP-URL waarmee het certificaat kan worden ondertekend.

Eén keer per dag controleert het apparaat of er certificaten zijn die na 45 dagen verlopen. Het apparaat zal dan proberen deze certificaten te verlengen als de uitgever overeenkomt met een profiel.

OPMERKING: Alle apparaatcertificaten worden gecontroleerd op verlenging, zelfs als het certificaat oorspronkelijk niet via SCEP is ingeschreven.

Navigator

1. Direct gekoppeld: Ingeschreven certificaten kunnen worden geactiveerd als „ Koppelingscertificaat”.

2. Op afstand gekoppeld: laat de navigator een nieuw SCEP-certificaat registreren met behulp van de Peripheral ID:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Inschrijvingsprofielen worden automatisch gesynchroniseerd met de gekoppelde navigator.

3. Stand-alone Navigator: Hetzelfde als een codec-inschrijving

U kunt 802.1x-verificatie rechtstreeks via Room Navigator het menu Instellingen instellen.

De 802.1x-verificatiestandaard is met name belangrijk voor Ethernet-netwerken en zorgt ervoor dat alleen geautoriseerde apparaten toegang krijgen tot de netwerkbronnen.

Er zijn verschillende aanmeldingsopties beschikbaar op basis van de EAP-methode die in uw netwerk is geconfigureerd. Bijvoorbeeld:

• TLS: Gebruikersnaam en wachtwoord worden niet gebruikt.
• PEAP: Certificaten worden niet gebruikt.
• TTLS: Zowel gebruikersnaam/wachtwoord als certificaten zijn vereist; geen van beide is optioneel.

Er zijn verschillende manieren om het clientcertificaat op een apparaat te verkrijgen:

1. Upload de PEM: Gebruik de functie Security Certificates Services Add.
2. Creëer de CSR: Genereer een Certificate Signing Request (CSR), onderteken het en koppel het met behulp van Security Certificates CSR Create/Link.
3. SCEP: Gebruik de SCEP-aanvraag voor de inschrijving van Security Certificates Services.
4. DHCP-optie 43: Configureer de levering van het certificaat via deze optie.

De certificaten voor 802.1x moeten worden ingesteld en bijgewerkt voordat ze Room Navigator aan een systeem worden gekoppeld, of nadat de fabrieksinstellingen van de certificaten zijn hersteld. Room Navigator

De standaardreferenties zijn admin en een leeg wachtwoord. Zie de laatste versie van de API-handleiding voor meer informatie over hoe u certificaten kunt toevoegen via de API.

1. Open het bedieningspaneel van de Navigator door op de knop in de rechterbovenhoek te tikken of door vanaf de rechterkant te swipen. Tik vervolgens op Apparaatinstellingen.
2. Ga naar Netwerkverbinding en selecteer Ethernet.
3. Schakel IEEE 802.1X gebruiken in.
   • Als authenticatie is ingesteld met inloggegevens, voer dan de gebruikersidentiteit en het wachtwoord in. U kunt ook een anonieme identiteit invoeren: dit is een optioneel veld dat een manier biedt om de werkelijke gebruikersidentiteit te scheiden van het initiële authenticatieverzoek.
   • U kunt TLS Verify in - of uitschakelen. Wanneer TLS verify is ingeschakeld, verifieert de client actief de authenticiteit van het servercertificaat tijdens de TLS-handshake. Wanneer TLS-verificatie is uitgeschakeld, voert de client geen actieve verificatie van het servercertificaat uit.
   • Als u een clientcertificaat hebt geüpload via de API, schakel dan Use Client Certificate in.
   • Schakel de Extensible Authentication Protocol (EAP) -methoden in die u wilt gebruiken. De keuze van de EAP-methode hangt af van de specifieke beveiligingsvereisten, de infrastructuur en de mogelijkheden van de klant. EAP-methoden zijn cruciaal om veilige en geverifieerde netwerktoegang mogelijk te maken.

Cisco ondersteunt nu het gebruik van de ingebouwde Secure Unique Device Identifier (SUDI) -certificaten voor draadloze 802.1x-verificatie. Voorheen werden SUDI-certificaten alleen ondersteund voor 802.1x-verificatie via bekabelde of LAN.

Deze functie is beschikbaar vanaf RoomOS 26.7.1.7. Alle apparaten met RoomOS 26 ondersteunen deze functie, terwijl deze niet wordt ondersteund op RoomOS 11.

Om deze functie mogelijk te maken, moet de Cisco Identity Services Engine (ISE) voor het Wi-Fi-netwerk de volgende CA-certificaten aan de ISE TrustStore toevoegen:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

U kunt het SUDI-certificaat activeren via de webinterface van het apparaat door de optie te selecteren om het SUDI-certificaat te gebruiken voor 802.1x-authenticatie.

Als alternatief kunt u het volgende commando gebruiken:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Om de SUDI-vingerafdruk te vinden, voert u het volgende uit:

xCommand Security Certificates Services Show

Als de vingerafdruk succesvol is geactiveerd, ziet u in de eventlog/auditlog soortgelijke vermeldingen:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Nadat u het SUDI-certificaat hebt geactiveerd, moet u het Wi-Fi-netwerk configureren om EAP-TLS-authenticatie te gebruiken. Dit kunt u doen via het aanraakscherm of scherm van het apparaat door de authenticatiemethode EAP-TLS te selecteren.