Obrigado pelos seus comentários.

Você pode adicionar certificados da interface web local do dispositivo. Como alternativa, você pode adicionar certificados executando comandos da API. Para ver quais comandos permitem adicionar certificados, consulte roomos.cisco.com.

Certificados de serviço e CAs confiáveis

A validação do certificado pode ser necessária ao usar o TLS (Transport Layer Security). Um servidor ou cliente pode exigir que o dispositivo apresente um certificado válido para eles antes que a comunicação seja configurada.

Os certificados são arquivos de texto que verificam a autenticidade do dispositivo. Esses certificados devem ser assinados por uma autoridade de certificação (CA) confiável. Para verificar a assinatura dos certificados, uma lista de CAs confiáveis deve residir no dispositivo. A lista deve incluir todas as CAs necessárias para verificar os certificados do registro de auditoria e de outras conexões.

Os certificados são usados para os seguintes serviços: servidor HTTPS, SIP, IEEE 802.1X e registro de auditoria. Você pode armazenar vários certificados no dispositivo, mas somente um certificado é ativado para cada serviço por vez.

No RoomOS de outubro de 2023 e versões posteriores, quando você adiciona um certificado CA a um dispositivo, ele também é aplicado Room Navigator se um estiver conectado. Para sincronizar os certificados CA adicionados anteriormente a um conectadoRoom Navigator, você deve reinicializar o dispositivo. Se você não quiser que os periféricos obtenham os mesmos certificados do dispositivo ao qual estão conectados, defina a configuração Peripherals Security Certificates SyncToPeripherals como False.

Para conexão Wi-Fi

Recomendamos que você adicione um certificado CA confiável para cada dispositivo Board, Desk ou Room Series, se sua rede usa autenticação WPA-EAP. Você deve fazer isso individualmente para cada dispositivo e antes de se conectar ao Wi-Fi.

Formatos de certificado e chave suportados

• Esse sistema aceita arquivos de certificado em formatos PEM ou binários.

• Os arquivos PEM podem conter o certificado e a chave privada no mesmo arquivo.

• A chave privada deve estar no mesmo formato do certificado; ou seja, ambas devem ser PEM ou binárias.

• Os formatos de certificado binário suportados incluem arquivos X.509 com extensões .der, .cer ou .crt e arquivos PKCS7 com a extensão .p7b.

• Os formatos de chave privada binária compatíveis incluem chaves criptografadas RSA ou DSA, normalmente com extensões .key, .der ou .p8.

O certificado e a chave privada são armazenados no mesmo arquivo no dispositivo. Se a autenticação falhar, a conexão não será estabelecida.

Os administradores devem gerar uma Solicitação de Assinatura de Certificado (CSR) do Control Hub para um dispositivo Board, Desk ou Room Series registrado na nuvem.

Siga estas etapas para gerar uma CSR e fazer o upload de um certificado assinado para o seu dispositivo:

1. Na visualização do cliente no Control Hub, acesse a página Dispositivos e selecione seu dispositivo na lista.
2. Navegue até Ações > Executar xCommand > Segurança > Certificados > CSR > Criar.
3. Insira os detalhes do certificado necessário e selecione Executar.
4. Copie todo o texto entre ----INICIAR SOLICITAÇÃO DE CERTIFICADO---- e ----ENCERRAR SOLICITAÇÃO DE CERTIFICADO----.
5. Use um Certificate Authority (CA) de sua escolha para assinar o CSR.
6. Exporte o certificado assinado no formato PEM (codificado em Base64).
7. Abra o arquivo de certificado assinado em um editor de texto (por exemplo, Bloco de notas) e copie todo o texto entre ----BEGIN CERTIFICATE---- e ----END CERTIFICATE----.
8. No Control Hub, navegue até Dispositivos > selecione seu dispositivo > Ações > Executar xCommand > Segurança > Certificados > CSR > Link.
9. Cole o conteúdo do certificado copiado na seção Corpo e selecione Executar.
10. Atualize a página para verificar se o certificado aparece em Certificado existente.

O Simple Certificate Enrollment Protocol (SCEP) fornece um mecanismo automatizado para registrar e atualizar certificados que são usados, por exemplo, autenticação 802.1X em dispositivos. O SCEP permite que você mantenha o acesso do dispositivo a redes seguras sem intervenção manual.

• Quando o dispositivo é novo ou foi redefinido para as configurações de fábrica, ele precisa de acesso à rede para acessar a URL do SCEP. O dispositivo deve estar conectado à rede sem 802.1X para obter um endereço IP.

• Se estiver usando um SSID de registro sem fio, acesse as telas de integração para configurar a conexão com a rede.

• Depois de se conectar à rede de aprovisionamento, o dispositivo não precisa estar em uma tela de integração específica.

• Para atender a todas as implantações, as XAPIs de inscrição do SCEP não armazenarão o certificado CA usado para assinar o certificado do dispositivo. Para autenticação do servidor, o certificado CA usado para validar o certificado do servidor precisa ser adicionado aos certificados de segurança do xCommand CA Add.

Pré-requisitos

Você precisa das seguintes informações:

• URL do servidor SCEP.

• Impressão digital do certificado CA (Certificate Authority) de assinatura.

• Informações do certificado para se inscrever. Isso compõe o nome do assunto do certificado.

  • Nome comum

  • Nome do país

  • Nome do estado ou província

  • Nome da localidade

  • Nome da organização

  • Unidade organizacional

• O nome do assunto será ordenado como /C = /ST = /L = /O = /OU = /CN =

• Senha de desafio do servidor SCEP se você tiver configurado o servidor SCEP para impor um OTP ou um segredo compartilhado.

Você pode definir o tamanho de chave necessário para o par de chaves da solicitação de certificado usando o comando a seguir. O padrão é 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Enviamos uma solicitação de certificado válida por um ano para a expiração do certificado. A política do lado do servidor pode alterar a data de validade durante a assinatura do certificado.

Conexão Ethernet

Quando um dispositivo estiver conectado a uma rede, verifique se ele pode acessar o servidor SCEP. O dispositivo deve estar conectado a uma rede sem 802.1x para obter um endereço IP. Talvez seja necessário fornecer o endereço MAC do dispositivo à rede de aprovisionamento para obter um endereço IP. O endereço MAC pode ser encontrado na interface do usuário ou na etiqueta na parte traseira do dispositivo.

Depois que o dispositivo estiver conectado à rede, você pode acessar o dispositivo por SSH como administrador para acessar o TSH e, em seguida, executar o seguinte comando para enviar a solicitação SCEP de inscrição:

xCommand Security Certificates Services Enrollment SCEP Request 

Quando o servidor SCEP retornar o certificado do dispositivo assinado, ative o 802.1X.

Ative o certificado assinado:

xCommand Security Certificates Services Activate 

Reinicialize o dispositivo após ativar o certificado.

Conexão sem fio

Quando um dispositivo estiver conectado a uma rede sem fio, verifique se ele pode acessar o servidor SCEP.

Depois que o dispositivo estiver conectado à rede, você pode acessar o dispositivo por SSH como administrador para acessar o TSH e, em seguida, executar o seguinte comando para enviar a solicitação SCEP de inscrição:

xCommand Security Certificates Services Enrollment SCEP Request 

O dispositivo recebe o certificado assinado do servidor SCEP.

Ative o certificado assinado:

xCommand Security Certificates Services Activate

Após a ativação, você precisa configurar a rede Wi-Fi com a autenticação EAP-TLS.

xCommand Network Wifi Configure 

Por padrão, a configuração do Wi-Fi ignora as verificações de validação do servidor. Se apenas a autenticação unidirecional for necessária, mantenha AllowMissingCA como padrão para True.

Para forçar a validação do servidor, certifique-se de que o parâmetro opcional AllowMissingCA esteja definido como False. Se uma conexão não puder ser estabelecida devido a erros de validação do serviço, verifique se a CA correta foi adicionada para verificar o certificado do servidor, que pode ser diferente do certificado do dispositivo.

Descrições da API

Função: Administrador, Integrador

xCommand Security Certificates Services Enrollment SCEP Request

Envia uma CSR para um determinado servidor SCEP para assinatura. Os parâmetros CSR subjectName serão construídos na seguinte ordem: C, ST, L, O, OUs, CN.

Parâmetros:

• URL (s): <S: 0, 256>

  O endereço URL do servidor SCEP.

• Impressão digital (r): <S: 0, 128>

  Impressão digital do certificado CA que assinará a CSR da solicitação SCEP.

• Nome comum (r): <S: 0, 64>

  Adiciona “/CN=” ao nome do assunto da CSR.

• Senha de desafio: <S: 0, 256>

  OTP ou segredo compartilhado do servidor SCEP para acesso e assinatura.

• Nome do país: <S: 0, 2>

  Adiciona “/C=” ao nome do assunto da CSR.

• Nome do estado ou província: <S: 0, 64>

  Adiciona “/ST=” ao nome do assunto da CSR.

• Nome da localidade: <S: 0, 64>

  Adiciona “/L=” ao nome do assunto da CSR.

• Nome da organização: <S: 0, 64>

  Adiciona “/O=” ao nome do assunto da CSR.

• Unidade organizacional [5]: <S: 0, 64>

  Adiciona até 5 parâmetros “/OU=” ao nome do assunto da CSR.

• e DNS [5]: <S: 0, 64>

  Adiciona até 5 parâmetros de Dns ao nome alternativo do assunto CSR.

• Um e-mail [5]: <S: 0, 64>

  Adiciona até 5 parâmetros de e-mail ao nome alternativo do assunto da CSR.

• SanIP [5]: <S: 0, 64>

  Adiciona até 5 parâmetros Ip ao nome alternativo do assunto CSR.

• Sanuri [5]: <S: 0, 64>

  Adiciona até 5 parâmetros Uri ao nome alternativo do assunto CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Exclui um perfil de inscrição para não renovar mais os certificados.

Parâmetros:

• Impressão digital (r): <S: 0, 128>

  A impressão digital do certificado CA que identifica o perfil que você deseja remover . Você pode ver os perfis disponíveis para remoção executando:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Lista os perfis de inscrição para renovação do certificado.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Adicione um perfil de inscrição para certificados emitidos pela impressão digital da CA para usar o URL do SCEP fornecido para renovação.

Renovação

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Para renovar automaticamente o certificado, o dispositivo precisa ser capaz de acessar o URL do SCEP que pode renunciar ao certificado.

Uma vez por dia, o dispositivo verificará se há certificados que expirarão em 45 dias. O dispositivo então tentará renovar esses certificados se o emissor corresponder a um perfil.

OBSERVAÇÃO: Todos os certificados do dispositivo serão verificados para renovação, mesmo que o certificado não tenha sido originalmente registrado usando o SCEP.

Navegador

1. Emparelhamento direto: os certificados inscritos podem ser ativados como certificados de “emparelhamento”.

2. Emparelhado remotamente: peça ao navegador que registre um novo certificado SCEP usando o ID do periférico:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Os perfis de inscrição são sincronizados automaticamente com o navegador emparelhado .

3. Navegador autônomo: igual ao registro de codecs

Você pode configurar a autenticação 802.1x diretamente no menu Configurações Room Navigator do.

O padrão de autenticação 802.1x é particularmente importante para redes Ethernet e garante que somente dispositivos autorizados tenham acesso aos recursos da rede.

Diferentes opções de login estão disponíveis com base no método EAP configurado em sua rede. Por exemplo:

• TLS: nome de usuário e senha não são usados.
• PEAP: Os certificados não são usados.
• TTLS: Tanto o nome de usuário/senha quanto os certificados são obrigatórios; nenhum deles é opcional.

Há várias maneiras de obter o certificado do cliente em um dispositivo:

1. Carregue o PEM: use o recurso Security Certificates Services Add.
2. Crie a CSR: gere uma Solicitação de Assinatura de Certificado (CSR), assine-a e vincule-a usando Certificados de Segurança CSR Create/Link.
3. SCEP: Utilize a solicitação SCEP de inscrição de serviços de certificados de segurança.
4. Opção 43 do DHCP: configure a entrega do certificado por meio dessa opção.

A configuração e a atualização dos certificados para 802.1x devem ser feitas antes de emparelhá-los com um sistema ou após Room Navigator a redefinição de fábrica do. Room Navigator

As credenciais padrão são admin e senha em branco. Para obter mais informações sobre como adicionar certificados acessando a API, consulte a versão mais recente do guia da API.

1. Abra o painel de controle no Navegador tocando no botão no canto superior direito ou deslizando do lado direito. Em seguida, toque em Configurações do dispositivo.
2. Vá para Conexão de rede e selecione Ethernet.
3. Ative a opção Usar IEEE 802.1X.
   • Se a autenticação estiver configurada com credenciais, insira a identidade do usuário e a frase secreta. Você também pode inserir uma identidade anônima: esse é um campo opcional que fornece uma maneira de separar a identidade real do usuário da solicitação de autenticação inicial.
   • Você pode ativar ou desativar a Verificação TLS. Quando a verificação de TLS está ativada, o cliente verifica ativamente a autenticidade do certificado do servidor durante o handshake TLS. Quando a verificação de TLS está DESATIVADA, o cliente não realiza a verificação ativa do certificado do servidor.
   • Se você tiver carregado um certificado de cliente acessando a API, ative a opção Usar certificado de cliente.
   • Alterne os métodos do Extensible Authentication Protocol (EAP) que você deseja usar. A escolha do método EAP depende dos requisitos específicos de segurança, da infraestrutura e dos recursos do cliente. Os métodos EAP são cruciais para permitir o acesso seguro e autenticado à rede.

A Cisco agora suporta o uso dos certificados integrados Secure Unique Device Identifier (SUDI) para autenticação Wireless 802.1x. Anteriormente, os certificados SUDI só eram suportados para autenticação 802.1x com fio/LAN.

Esse recurso está disponível a partir do RoomOS 26.7.1.7. Todos os dispositivos que executam o RoomOS 26 suportam esse recurso, embora ele não seja compatível com o RoomOS 11.

Para ativar esse recurso, o Cisco Identity Services Engine (ISE) para a rede Wi-Fi deve adicionar os seguintes certificados CA ao ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Você pode ativar o certificado SUDI usando a interface web do dispositivo selecionando a opção de usar o certificado SUDI para autenticação 802.1x.

Como alternativa, use o seguinte comando:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Para encontrar a impressão digital SUDI, execute:

xCommand Security Certificates Services Show

Se a impressão digital for ativada com sucesso, você verá entradas semelhantes às seguintes no registro de eventos/registro de auditoria:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Depois de ativar o certificado SUDI, configure a rede Wi-Fi para usar a autenticação EAP-TLS. Isso pode ser feito no painel de toque ou na tela do dispositivo, selecionando o método de autenticação como EAP-TLS.