Takk for tilbakemeldingen.

Du kan legge til sertifikater fra enhetens lokale webgrensesnitt. Alternativt kan du legge til sertifikater ved å kjøre API-kommandoer. Hvis du vil se hvilke kommandoer du kan legge til sertifikater, kan du se roomos .cisco.com.

Servicesertifikater og klarerte CAer

Sertifikatvalidering kan være nødvendig når du bruker TLS (Transport Layer Security). En server eller klient kan kreve at enheten presenterer et gyldig sertifikat for dem før kommunikasjonen konfigureres.

Sertifikatene er tekstfiler som bekrefter ektheten til enheten. Disse sertifikatene må signeres av en klarert sertifikatmyndighet (CA). For å bekrefte signaturen til sertifikatene, må en liste over klarerte CAer ligge på enheten. Listen må inneholde alle CAer som trengs for å verifisere sertifikater for både revisjonslogging og andre tilkoblinger.

Sertifikater brukes for følgende tjenester: HTTPS-server, SIP, IEEE 802.1X og revisjonslogging. Du kan lagre flere sertifikater på enheten, men bare ett sertifikat er aktivert for hver tjeneste om gangen.

På RoomOS oktober 2023 og senere, når du legger til et CA-sertifikat på en enhet, brukes det også på en Room Navigator hvis en er tilkoblet. Hvis du vil synkronisere de tidligere tilføyde CA-sertifikatene til en tilkobletRoom Navigator, må du starte enheten på nytt. Hvis du ikke vil at periferiutstyret skal få de samme sertifikatene som enheten den er koblet til, angir du konfigurasjonen Sikkerhetssertifikater for eksterne enheter SyncToPeripher als til False.

For Wi-Fi-tilkobling

Vi anbefaler at du legger til et klarert CA-sertifikat for hver Board, Desk eller Room Series-enhet, hvis nettverket bruker WPA-EAP-godkjenning. Du må gjøre dette individuelt for hver enhet, og før du kobler til Wi-Fi.

Støttede sertifikat- og nøkkelformater

• Dette systemet godtar sertifikatfiler i enten PEM eller binære formater.

• PEM-filer kan inneholde både sertifikatet og den private nøkkelen i samme fil.

• Den private nøkkelen må være i samme format som sertifikatet; det vil si at begge må være enten PEM eller binære.

• Støttede binære sertifikatformater inkluderer X.509-filer med utvidelser .der, .cer eller .crt, og PKCS7-filer med filtypen .p7b.

• Støttede binære private nøkkelformater inkluderer RSA- eller DSA-krypterte nøkler, vanligvis med utvidelser.key, .der eller .p8.

Sertifikatet og den private nøkkelen lagres i samme fil på enheten. Hvis godkjenningen mislykkes, vil forbindelsen ikke bli opprettet.

Administratorer må generere en forespørsel om sertifikatsignering (CSR) fra Control Hub for en skyregistrert enhet i Board, Desk eller Room Series-enhet.

Følg disse trinnene for å generere en CSR og laste opp et signert sertifikat til enheten din:

1. Fra kundevisningen i Control Hub går du til Enheter-siden og velger enheten fra listen.
2. Naviger til Handlinger > Kjør XCommand > Sikkerhet > Sertifikater > CSR > Opprett.
3. Skriv inn de nødvendige sertifikatdetaljene og velg Utfør.
4. Kopier all teksten mellom ----BEGYNN SERTIFIKATFORESPØRSEL---- og ----SLUTT SERTIFIKATFORESPØRSEL----.
5. Bruk en Certificate Authority (CA) etter eget valg for å signere CSR.
6. Eksporter det signerte sertifikatet i PEM-format (Base64-kodet).
7. Åpne den signerte sertifikatfilen i et tekstredigeringsprogram (f.eks. Notisblokk) og kopier all teksten mellom ----BEGIN CERTIFICATE---- og ----END CERTIFICATE----.
8. I Control Hub navigerer du til Enheter > velg enheten din > Handlinger > Kjør XCommand > Sikkerhet > Sertifikater > CSR > Link.
9. Lim inn det kopierte sertifikatinnholdet i Bordseksjonen og velg Utfør.
10. Oppdater siden for å bekrefte at sertifikatet vises under Eksisterende sertifikat.

SCEP (Simple Certificate Enrollment Protocol) gir en automatisert mekanisme for registrering og oppdatering av sertifikater som brukes for eksempel 802.1X-godkjenning på enheter. SCEP lar deg opprettholde enhetens tilgang til sikre nettverk uten manuell inngrep.

• Når enheten er ny eller har blitt tilbakestilt til fabrikken, trenger den nettverkstilgang for å nå SCEP-URL. Enheten skal være koblet til nettverket uten 802.1X for å få en IP-adresse.

• Hvis du bruker en SSID for trådløs registrering, går du gjennom onboarding-skjermbildene for å konfigurere tilkoblingen til nettverket.

• Når du er koblet til klargjøringsnettverket, trenger ikke enheten å være på en bestemt onboarding-skjerm.

• For å passe til alle distribusjoner lagrer ikke SCEP-registrerings-XAPI-er CA-sertifikatet som ble brukt til å signere enhetssertifikatet. For servergodkjenning må CA-sertifikatet som brukes til å validere serverens sertifikat legges til med XCommand Security Certificates CA Add.

Forutsetninger

Du trenger følgende informasjon:

• SCEP-serverens URL.

• Fingeravtrykk av signeringssertifikatet CA (Certificate Authority).

• Informasjon om sertifikatet for å melde deg på. Dette utgjør em nenavnet på sertifikatet.

  • Vanlig navn

  • Landets navn

  • Navn på delstat eller provins

  • Lokalitetsnavn

  • Organisasjonsnavn

  • Organisasjonsenhet

• Emnenavnet vil bli bestilt som /C = /ST = /L = /O = /OU = /CN =

• SCEP-serverens utfordringspassord hvis du har konfigurert SCEP-serveren til å håndheve en OTP eller delt hemmelighet.

Du kan angi ønsket nøkkelstørrelse for nøkkelparet for sertifikatforespørselen ved å bruke følgende kommando. Standard er 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Vi sender en sertifikatforespørsel som er gyldig i ett år for sertifikatutløp. Policyen på serversiden kan endre utløpsdatoen under sertifikatsignering.

Ethernet-tilkobling

Når en enhet er koblet til et nettverk, må du kontrollere at den har tilgang til SCEP-serveren. Enheten skal være koblet til et nettverk uten 802.1x for å få en IP-adresse. Enhetens MAC-adresse må kanskje oppgis til klargjøringsnettverket for å få en IP-adresse. MAC-adressen finner du på brukergrensesnittet eller på etiketten på baksiden av enheten.

Etter at enheten er koblet til nettverket, kan du SSH til enheten som administrator for å få tilgang til TSH, og deretter kjøre følgende kommando for å sende SCEP-forespørselen for registrering:

xCommand Security Certificates Services Enrollment SCEP Request 

Når SCEP-serveren returnerer det signerte enhetssertifikatet, aktiverer du 802.1X.

Aktiver det signerte sertifikatet:

xCommand Security Certificates Services Activate 

Start enheten på nytt etter å ha aktivert sertifikatet.

Trådløs tilkobling

Når en enhet er koblet til et trådløst nettverk, må du kontrollere at den har tilgang til SCEP-serveren.

Etter at enheten er koblet til nettverket, kan du SSH til enheten som administrator for å få tilgang til TSH, og deretter kjøre følgende kommando for å sende SCEP-forespørselen for registrering:

xCommand Security Certificates Services Enrollment SCEP Request 

Enheten mottar det signerte sertifikatet fra SCEP-tjeneren.

Aktiver det signerte sertifikatet:

xCommand Security Certificates Services Activate

Etter aktivering må du konfigurere Wi-Fi-nettverket med EAP-TLS-godkjenning.

xCommand Network Wifi Configure 

Som standard hopper Wi-Fi-konfigurasjonen over servervalideringskontroller. Hvis bare enveisgodkjenning kreves, må du holde allowMissingCA som standard True.

Hvis du vil tvinge servervalidering, må du kontrollere at den valgfrie parameteren allowMissingCA er satt til False. Hvis en tilkobling ikke kan opprettes på grunn av tjenestevalideringsfeil, må du kontrollere at riktig CA er lagt til for å bekrefte serversertifikatet som kan være annerledes enn enhetssertifikatet.

API-beskrivelser

Rolle: Administrator, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Sender en CSR til en gitt SCEP-server for signering. CSR SubjectName parametrene vil bli konstruert i følgende rekkefølge: C, ST, L, O, OU, CN.

Parametre:

• URL (r): <S: 0, 256>

  URL-adressen til SCEP-serveren.

• Fingeravtrykk (r): <S: 0, 128>

  CA-sertifikatfingeravtrykk som vil signere SCEP-forespørselen CSR.

• Fellesnavn (r): <S: 0, 64>

  Legger til «/CN =» i CSR-emnenavnet.

• UtfordringPassord: <S: 0, 256>

  OTP eller delt hemmelighet fra SCEP-serveren for tilgang til signering.

• Landnavn: <S: 0, 2>

  Legger til «/C =» i CSR-emnenavnet.

• Statens eller provinsnavn: <S: 0, 64>

  Legger til «/ST =» i CSR-emnenavnet.

• Lokalitetsnavn: <S: 0, 64>

  Legger til «/L =» i CSR-emnenavnet.

• Organisasjonsnavn: <S: 0, 64>

  Legger til «/O =» i CSR-emnenavnet.

• Organisasjonsenhet [5]: <S: 0, 64>

  Legger til opptil 5 «/OU =» -parametere til CSR-emnenavnet.

• SANDN [5]: <S: 0, 64>

  Legger til opptil 5 DNS-parametere til CSR-emnealternativnavnet.

• SaneMail [5]: <S: 0, 64>

  Legger til opptil 5 E-postparametere til CSR-emnealternativnavnet.

• SaniP [5]: <S: 0, 64>

  Legger til opptil 5 Ip-parametere til CSR-emnealternativnavnet.

• Sanuri [5]: <S: 0, 64>

  Legger til opptil 5 Uri-parametere til CSR-emnealternativnavnet.

xCommand Security Certificates Services Enrollment Profiles Delete

Sletter en påmeldingsprofil for ikke lenger å fornye sertifikater.

Parametre:

• Fingeravtrykk (r): <S: 0, 128>

  CA-sertifikatfingeravtrykket som identifiserer profilen du ønsker å fjerne. Du kan se de tilgjengelige profilene som skal fjernes ved å kjøre:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Viser påmeldingsprofiler for fornyelse av sertifikat.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Legg til en registreringsprofil for sertifikater utstedt av CA-fingeravtrykket for å bruke den angitte SC EP-URL-adressen til fornyelse.

Fornyelse

xCommand Security Certificates Services Enrollment SCEP Profiles Set

For å kunne fornye sertifikatet automatisk, må enheten kunne få tilgang til SCEP-url-en som kan trekke ut sertifikatet.

En gang daglig vil enheten se etter sertifikater som utløper med 45 dager. Enheten vil deretter forsøke å fornye dette sertifikatet hvis utstederen samsvarer med en profil.

MERK: Alle enhetssertifikater blir sjekket for fornyelse, selv om sertifikatet ikke opprinnelig ble registrert ved hjelp av SCEP.

Navigator

1. Direkte sammenkoblet: Registrerte sertifikater kan aktiveres som «Paring» -sertifikat.

2. Eksternt sammenkoblet: Be navigatøren registrere et nytt SCEP-sertifikat ved hjelp av periferi ens ID:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Påmeldingsprofiler synkroniseres automatisk til den sammenkoblede navigatoren.

3. Frittstående navigator: Samme som kodekregistrering

Du kan konfigurere 802.1x-godkjenning direkte fra Innstill Room Navigator inger-menyen.

802.1x-godkjenningsstandarden er spesielt viktig for Ethernet-nettverk, og den sikrer at bare autoriserte enheter får tilgang til nettverksressursene.

Ulike påloggingsalternativer er tilgjengelige basert på EAP-metoden som er konfigurert i nettverket ditt. For eksempel:

• TLS: Brukernavn og passord brukes ikke.
• PEAP: Sertifikater brukes ikke.
• TTLS: Både brukernavn/passord og sertifikater kreves; ingen av dem er valgfri.

Det er flere måter å få klientsertifikatet på en enhet:

1. Last opp PEM: Bruk funksjonen Legg til sikkerhetssertifikater for tjenester.
2. Opprett CSR: Generer en forespørsel om sertifikatsignering (CSR), signer den og koble den til ved hjelp av Sikkerhetssertifikater CSR Opprett/koble til.
3. SCEP: Bruk sikkerhetssertifikattjenester Registrering SCEP-forespørsel.
4. DHCP-alternativ 43: Konfigurer sertifikatleveringen gjennom dette alternativet.

Konfigurering og oppdatering av sertifikatene for 802.1x bør gjøres før du kobler Room Navigator til et system, eller etter tilbakestilling av fabrikkinnstillingen. Room Navigator

Standard legitimasjon er admin og tomt passord. Hvis du vil ha mer informasjon om hvordan du legger til sertifikater ved å gå til API-en, kan du se den nyeste versjonen av API-guiden.

1. Åpne kontrollpanelet på Navigator ved å trykke på knappen øverst til høyre eller sveipe fra høyre side. Trykk deretter på Enhetsinnstillinger.
2. Gå til Nett verkstilkobling og velg Ethernet.
3. Slå Bruk IEEE 802.1X på.
   • Hvis godkjenning er konfigurert med legitimasjon, angir du brukeridentiteten og passordfrasen. Du kan også angi en anonym identitet: Dette er et valgfritt felt som gir en måte å skille den faktiske brukerens identitet fra den første godkjenningsforespørselen.
   • Du kan slå TLS-verifisering av eller på. Når TLS-verifisering er slått PÅ, verifiserer klienten aktivt ektheten til serverens sertifikat under TLS-håndtrykket. Når TLS-verifisering er slått AV, utfører ikke klienten aktiv bekreftelse av serverens sertifikat.
   • Hvis du har lastet opp et klientsertifikat ved å åpne API-en, slår du Bruk klientsertifikat på.
   • Slå på EAP-metodene (Extensible Authentication Protocol) du vil bruke. Valget av EAP-metode avhenger av de spesifikke sikkerhetskravene, infrastrukturen og klientfunksjonene. EAP-metoder er avgjørende for å muliggjøre sikker og autentisert nettverkstilgang.

Cisco støtter nå bruk av de innebygde Secure Unique Device Identifier (SUDI- sertifikatene) for trådløs 802.1x-godkjenning. Tidligere ble SUDI-sertifikater bare støttet for kablet/LAN 802.1x-godkjenning.

Denne funksjonen er tilgjengelig fra og med RoomOS 26.7.1.7. Alle enheter som kjører RoomOS 26 støtter denne funksjonen, mens den ikke støttes på RoomOS 11.

Hvis du vil aktivere denne funksjonen, må Cisco Identity Services Engine (ISE) for Wi-Fi-nettverket legge til følgende CA-sertifikater i ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Du kan aktivere SUDI-sertifikatet ved hjelp av enhetens webgrensesnitt ved å velge alternativet for å bruke SUDI-sertifikatet for 802.1x-godkjenning.

Alternativt kan du bruke følgende kommando:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

For å finne SUDI-fingeravtrykket, kjør:

xCommand Security Certificates Services Show

Hvis finger avtrykket er aktivert, vil du se oppføringer som ligner på følgende i eventlog g/auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Når du har aktivert SUDI-sertifikatet, konfigurerer du Wi-Fi-nettverket til å bruke EAP-TLS-godkjenning. Dette kan gjøres fra enhetens berøringspanel eller skjerm ved å velge godkjenningsm etoden som EAP-TLS.