Dziękujemy za opinię.

Certyfikaty można dodawać z lokalnego interfejsu internetowego urządzenia. Alternatywnie można dodawać certyfikaty, uruchamiając polecenia API. Aby zobaczyć, które polecenia umożliwiają dodawanie certyfikatów, zobacz roomos .cisco.com.

Certyfikaty serwisowe i zaufane certyfikaty certyfikacji

Walidacja certyfikatu może być wymagana podczas korzystania z TLS (Transport Layer Security). Serwer lub klient może wymagać, aby urządzenie przedstawiło mu ważny certyfikat przed skonfigurowaniem komunikacji.

Certyfikaty są plikami tekstowymi, które weryfikują autentyczność urządzenia. Certyfikaty te muszą być podpisane przez zaufaną instytucję certyfikacji (CA). Aby zweryfikować podpis certyfikatów, na urządzeniu musi znajdować się lista zaufanych certyfikatów. Lista musi zawierać wszystkie certyfikaty wymagane do weryfikacji certyfikatów zarówno dla rejestrowania audytu, jak i innych połączeń.

Certyfikaty są używane dla następujących usług: serwer HTTPS, SIP, IEEE 802.1X i rejestrowanie audytów. Na urządzeniu można przechowywać kilka certyfikatów, ale tylko jeden certyfikat jest włączony dla każdej usługi na raz.

W RooMOS w październiku 2023 roku i nowszych, gdy dodasz certyfikat CA do urządzenia, jest on również stosowany do urządzenia, Room Navigator jeśli jest podłączone. Aby zsynchronizować wcześniej dodane certyfikaty certyfikacji z podłączonymRoom Navigator, należy ponownie uruchomić urządzenie. Jeśli nie chcesz, aby urządzenia peryferyjne otrzymywały te same certyfikaty co urządzenie, z którym jest podłączone, ustaw konfigurację Cer tyfikaty zabezpieczeń urządzeń peryferyjnych SyncToPeripherals na False.

Do połączenia Wi-Fi

Zalecamy dodanie zaufanego certyfikatu certyfikacji dla każdego urządzenia Board, Desk lub Room Series, jeśli sieć korzysta z uwierzytelniania WPA-EAP. Musisz to zrobić indywidualnie dla każdego urządzenia i przed połączeniem się z Wi-Fi.

Obsługiwane formaty certyfikatów i kluczy

• Ten system akceptuje pliki certyfikatów w formacie PEM lub binarnym.

• Pliki PEM mogą zawierać zarówno certyfikat, jak i klucz prywatny w tym samym pliku.

• Klucz prywatny musi być w tym samym formacie co certyfikat; to znaczy oba muszą być albo PEM, albo binarne.

• Obsługiwane formaty certyfikatów binarnych obejmują pliki X.509 z rozszerzeniami .der, .cer lub .crt oraz pliki PKCS7 z rozszerzeniem.p7b.

• Obsługiwane formaty kluczy prywatnych binarnych obejmują klucze szyfrowane RSA lub DSA, zazwyczaj z rozszerzeniami.key, .der lub .p8.

Certyfikat i klucz prywatny są przechowywane w tym samym pliku na urządzeniu. Jeśli uwierzytelnianie się nie powiedzie, połączenie nie zostanie nawiązane.

Administratorzy muszą wygenerować żądanie podpisania certyfikatu (CSR) z Centrum sterowania dla zarejestrowanego w chmurze urządzenia Board, Desk lub Room Series.

Wykonaj następujące kroki, aby wygenerować CSR i przesłać podpisany certyfikat na urządzenie:

1. W widoku klienta w Centrum sterowania przejdź do strony Urządzenia i wybierz urządzenie z listy.
2. Przejdź do opcji Akcje > Uruchom XCommand > Zabezpieczenia > Certyfikaty > CSR > Utwórz.
3. Wprowadź wymagane dane certyfikatu i wybierz Wykonaj.
4. Skopiuj cały tekst między ----BEGIN CERTYFIKAT REQUEST---- i ----END CERTYFIKAT REQUEST----.
5. Użyj wybranego przez siebie numeru Certificate Authority (CA), aby podpisać CSR.
6. Eksportuj podpisany certyfikat w formacie PEM (zakodowany Base64).
7. Otwórz podpisany plik certyfikatu w edytorze tekstu (np. Notatnik) i skopiuj cały tekst między ----BEGIN CERTIFICATE---- i ----END CERTIFICATE----.
8. W Centrum sterowania przejdź do opcji Urządzenia > wybierz urządzenie > Akcje > Uruchom XCommand > Zabezpieczenia > Certyfikaty > CSR > Połącz.
9. Wklej skopiowaną zawartość certyfikatu do sekcji Treść i wybierz Wykonaj.
10. Odśwież stronę, aby sprawdzić, czy certyfikat jest wyświetlany w obszarze Istniejący certyfikat.

Simple Certificate Enrollment Protocol (SCEP) zapewnia zautomatyzowany mechanizm rejestracji i odświeżania certyfikatów, które są używane na przykład uwierzytelnianie 802.1X na urządzeniach. SCEP umożliwia utrzymanie dostępu urządzenia do bezpiecznych sieci bez ręcznej interwencji.

• Gdy urządzenie jest nowe lub zostało przywrócone do ustawień fabrycznych, potrzebuje dostępu do sieci, aby uzyskać dostęp do adresu URL SCEP. Urządzenie powinno być podłączone do sieci bez 802.1X, aby uzyskać adres IP.

• Jeśli używasz identyfikatora SSID rejestracji bezprzewodowej, przejdź przez ekrany wdrażania, aby skonfigurować połączenie z siecią.

• Po nawiązaniu połączenia z siecią zaopatrzenia urządzenie nie musi znajdować się na określonym ekranie wdrażania.

• Aby dopasować wszystkie wdrożenia, interfejsy XAPI rejestracji SCEP nie będą przechowywać certyfikatu urzędu certyfikatu używanego do podpisywania certyfikatu urządzenia. W przypadku uwierzytelniania serwera certyfikat urzędu certyfikacji użyty do sprawdzania poprawności certyfikatu serwera musi zostać dodany za pomocą XCommand Security Certificates CA Add.

Wymagania wstępne

Potrzebujesz następujących informacji:

• Adres URL serwera SCEP.

• Odcisk palca podpisującego certyfikat CA (Certificate Authority).

• Informacje o certyfikacie do rejestracji. Składa się na nazwę przedmi otu certyfikatu.

  • Nazwa zwyczajowa

  • Nazwa kraju

  • Nazwa stanu lub województwa

  • Nazwa miejscowości

  • Nazwa organizacji

  • Jednostka organizacyjna

• Nazwa tematu zostanie uporządkowana jako /C = /ST = /L = /O = /OU = /CN =

• Hasło wyzwania serwera SCEP, jeśli serwer SCEP został skonfigurowany do wymuszania protokołu OTP lub Udostępnionej tajemnicy.

Wymagany rozmiar klucza dla pary kluczy żądania certyfikatu można ustawić za pomocą następującego polecenia. Domyślnie jest 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Wysyłamy wniosek o certyfikat ważny przez rok na wygaśnięcie certyfikatu. Zasady po stronie serwera mogą zmieniać datę ważności podczas podpisywania certyfikatu.

Połączenie Ethernet

Gdy urządzenie jest podłączone do sieci, upewnij się, że ma dostęp do serwera SCEP. Urządzenie powinno być podłączone do sieci bez 802.1x, aby uzyskać adres IP. W celu uzyskania adresu IP może wymagać podania adresu MAC urządzenia do sieci zaopatrzenia. Adres MAC można znaleźć w interfejsie użytkownika lub na etykiecie z tyłu urządzenia.

Po podłączeniu urządzenia do sieci możesz przesłać SSH do urządzenia jako administrator, aby uzyskać dostęp do TSH, a następnie uruchomić następujące polecenie, aby wysłać żądanie SCEP rejestracji:

xCommand Security Certificates Services Enrollment SCEP Request 

Gdy serwer SCEP zwróci podpisany certyfikat urządzenia, aktywuj 802.1X.

Aktywuj podpisany certyfikat:

xCommand Security Certificates Services Activate 

Uruchom ponownie urządzenie po aktywacji certyfikatu.

Połączenie bezprzewodowe

Gdy urządzenie jest podłączone do sieci bezprzewodowej, upewnij się, że ma dostęp do serwera SCEP.

Po podłączeniu urządzenia do sieci możesz przesłać SSH do urządzenia jako administrator, aby uzyskać dostęp do TSH, a następnie uruchomić następujące polecenie, aby wysłać żądanie SCEP rejestracji:

xCommand Security Certificates Services Enrollment SCEP Request 

Urządzenie otrzymuje podpisany certyfikat z serwera SCEP.

Aktywuj podpisany certyfikat:

xCommand Security Certificates Services Activate

Po aktywacji musisz skonfigurować sieć Wi-Fi z uwierzytelnianiem EAP-TLS.

xCommand Network Wifi Configure 

Domyślnie konfiguracja Wi-Fi pomija sprawdzanie poprawności serwera. Jeśli wymagane jest tylko uwierzytelnianie jednokierunkowe, zachowaj domyślną wartość AllowMissingCA na wartość True.

Aby wymusić walidację serwera, upewnij się, że opcjonalny parametr allowMissingCA jest ustawiony na wartość False. Jeśli połączenie nie może zostać nawiązane z powodu błędów sprawdzania poprawności usługi, sprawdź, czy został dodany poprawny certyfikat certyfikacji, aby zweryfikować certyfikat serwera, który może różnić się od certyfikatu urządzenia.

Opisy API

Rola: Administrator, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Wysyła CSR do danego serwera SCEP w celu podpisania. Parametry CSR subjectName zostaną skonstruowane w następującej kolejności: C, ST, L, O, Ous, CN.

Parametry:

• Adres URL (r): <S: 0, 256>

  Adres URL serwera SCEP.

• Odcisk palca (r): <S: 0, 128>

  Odcisk palca certyfikatu CA, który podpisze wniosek SCEP CSR.

• Nazwa zwyczajowa (r): <S: 0, 64>

  Dodaje „/CN=” do nazwy podmiotu CSR.

• ChallengeHasło: <S: 0, 256>

  OTP lub Shared Secret z serwera SCEP w celu uzyskania dostępu do podpisania.

• Nazwa krajuNazwa: <S: 0, 2>

  Dodaje „/C=” do nazwy podmiotu CSR.

• Nazwa stanu lub prowincji: <S: 0, 64>

  Dodaje „/ST=” do nazwy podmiotu CSR.

• Nazwa lokalna: <S: 0, 64>

  Dodaje „/L=” do nazwy podmiotu CSR.

• Nazwa organizacji: <S: 0, 64>

  Dodaje „/O=” do nazwy podmiotu CSR.

• OrganizationalUnit [5]: <S: 0, 64>

  Dodaje do 5 parametrów „/OU=” do nazwy podmiotu CSR.

• SANDN [5]: <S: 0, 64>

  Dodaje do 5 parametrów DNS do alternatywnej nazwy podmiotu CSR.

• SanEmail [5]: <S: 0, 64>

  Dodaje do 5 parametrów wiadomości e-mail do alternatywnej nazwy podmiotu CSR.

• SaniP [5]: <S: 0, 64>

  Dodaje do 5 parametrów IP do alternatywnej nazwy podmiotu CSR.

• SanUri [5]: <S: 0, 64>

  Dodaje do 5 parametrów Uri do alternatywnej nazwy podmiotu CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Usuwa profil rejestracji, aby przestać odnawiać certyfikatów.

Parametry:

• Odcisk palca (r): <S: 0, 128>

  Odcisk palca certyfikatu CA, który identyfikuje profil, który chcesz usunąć. Możesz zobaczyć dostępne profile do usunięcia, uruchamiając:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Wyświetla listę profili rejestracji w celu odnowienia certyfikatu.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Dodaj profil rejestracji dla certyfikatów wydanych przez odcisk palca CA, aby użyć podanego adresu URL SCEP do odnowienia.

Odnowienie

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Aby automatycznie odnowić certyfikat, urządzenie musi mieć dostęp do adresu URL SCEP, który może zrezygnować z certyfikatu.

Raz dziennie urządzenie sprawdzi certyfikaty, które wygasną po 45 dniach. Urządzenie będzie następnie próbowało odnowić ten certyfikat, jeśli jego wystawca pasuje do profilu.

UWAGA: Wszystkie certyfikaty urządzeń zostaną sprawdzone pod kątem odnowienia, nawet jeśli certyfikat nie był pierwotnie zarejestrowany za pomocą SCEP.

Nawigator

1. Bezpośrednie sparowanie: Zarejestrowane certyfikaty można aktywować jako certyfikat „Parowanie”.

2. Zdalnie sparowane: Poinformuj nawigatora, aby zarejestrował nowy certyfikat SCEP przy użyciu identyfikatora urządzenia peryferyjnego:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Profile rejestracji są automatycznie synchronizowane z sparowanym na wigatorem.

3. Samodzielny Nawigator: Tak samo jak rejestracja kodeków

Możesz skonfigurować uwierzytelnianie 802.1x bezpośrednio z menu Room Navigator Ustawienia.

Standard uwierzytelniania 802.1x jest szczególnie ważny dla sieci Ethernet i zapewnia dostęp do zasobów sieciowych tylko autoryzowanym urządzeniom.

Dostępne są różne opcje logowania w oparciu o metodę EAP skonfigurowaną w sieci. Na przykład:

• TLS: Nazwa użytkownika i hasło nie są używane.
• PEAP: Certyfikaty nie są używane.
• TTLS: Wymagane są zarówno nazwa użytkownika/hasło, jak i certyfikaty; żadne z nich nie jest opcjonalne.

Istnieje kilka sposobów uzyskania certyfikatu klienta na urządzeniu:

1. Prześlij PEM: Użyj funkcji Dodaj usługi certyfikatów zabezpieczeń.
2. Utwórz CSR: wygeneruj żądanie podpisania certyfikatu (CSR), podpisz je i połącz za pomocą certyfikatów zabezpieczeń CSR Create/Link.
3. SCEP: Wykorzystaj usługi certyfikatów zabezpieczeń Rejestracja żądania SCEP.
4. Opcja DHCP 43: Skonfiguruj dostarczanie certyfikatu za pomocą tej opcji.

Konfigurowanie i aktualizowanie certyfikatów dla 802.1x powinno odbywać się przed spar owaniem z systemem lub po przywróceniu ustawień fabrycznych. Room Navigator Room Navigator

Domyślne dane uwierzytelniające to admin i puste hasło. Aby uzyskać więcej informacji na temat dodawania certyfikatów poprzez dostęp do interfejsu API, zobacz najnowszą wersję przewodnika API.

1. Otwórz panel sterowania w Nawigatorze, dotykając przycisku w prawym górnym rogu lub przesuwając palcem z prawej strony. Następnie stuknij pozycję Ustawienia urządzenia.
2. Przejdź do Połączenie sieci owe i wybierz Ethernet.
3. Przełącz Użyj IEEE 802. 1X włączony.
   • Jeśli uwierzytelnianie jest skonfigurowane za pomocą poświadczeń, wprowadź tożsamość użytkownika i hasło. Możesz także wprowadzić anonimową tożsamość: jest to pole opcjonalne, które umożliwia oddzielenie rzeczywistej tożsamości użytkownika od początkowego żądania uwierzytelnienia.
   • Możesz wyłączyć lub włączyć weryfikację TLS. Gdy weryfikacja TLS jest włączona, klient aktywnie weryfikuje autentyczność certyfikatu serwera podczas uścisku dłoni TLS. Gdy weryfikacja TLS jest wyłączona, klient nie przeprowadza aktywnej weryfikacji certyfikatu serwera.
   • Jeśli przesłałeś certyfikat klienta, uzyskując dostęp do interfejsu API, włącz opcję Użyj certyfikatu klienta.
   • Przełącz metody Extensible Authentication Protocol (EAP), których chcesz użyć. Wybór metody EAP zależy od konkretnych wymagań bezpieczeństwa, infrastruktury i możliwości klienta. Metody EAP mają kluczowe znaczenie dla zapewnienia bezpiecznego i uwierzytelnionego dostępu do sieci.

Cisco obsługuje teraz korzystanie z wbudowanych certyfikatów Secure Unique Device Identifier (SUDI) do uwierzytelniania bezprzewodowego 802.1x. Wcześniej certyfikaty SUDI były obsługiwane tylko dla uwierzytelniania przewodowego/LAN 802.1x.

Ta funkcja jest dostępna od Ro oMOS 26.7.1.7. Wszystkie urządzenia z systemem RooMOS 26 obsługują tę funkcję, podczas gdy nie jest ona obsługiwana w RooMOS 11.

Aby włączyć tę funkcję, silnik Cisco Identity Services Engine (ISE) dla sieci Wi-Fi musi dodać następujące certyfikaty certyfikacji do ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Certyfikat SUDI można aktywować za pomocą interfejsu internetowego urządzenia, wybierając opcję użycia certyfikatu SUDI do uwierzytelniania 802.1x.

Alternatywnie użyj następującego polecenia:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Aby znaleźć odcisk palca SUDI, uruchom:

xCommand Security Certificates Services Show

Jeśli odci sk palca zostanie aktywowany pomyślnie, zobaczysz wpisy podobne do poniższych w dzienniku zdarzenia/ dzienniku auditu:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Po aktywacji certyfikatu SUDI skonfiguruj sieć Wi-Fi, aby używała uwierzytelniania EAP-TLS. Można to zrobić z panelu dotykowego urządzenia lub ekranu, wybierając metodę uwierzytelniania jako EAP-TLS.