Mulțumim pentru feedback.

Puteți adăuga certificate din interfața web locală a dispozitivului. Alternativ, puteți adăuga certificate executând comenzi API. Pentru a vedea ce comenzi vă permit să adăugați certificate, consultați roomos .cisco.com.

Certificate de service și certificări de certificare de încredere

Validarea certificatului poate fi necesară atunci când se utilizează TLS (Transport Layer Security). Un server sau un client poate solicita ca dispozitivul să le prezinte un certificat valid înainte de configurarea comunicării.

Certificatele sunt fișiere text care verifică autenticitatea dispozitivului. Aceste certificate trebuie să fie semnate de o autoritate de certificare de încredere (CA). Pentru a verifica semnătura certificatelor, pe dispozitiv trebuie să se afle o listă de certificări de încredere. Lista trebuie să includă toate certificatele necesare pentru verificarea certificatelor atât pentru înregistrarea auditului, cât și pentru alte conexiuni.

Certificatele sunt utilizate pentru următoarele servicii: server HTTPS, SIP, IEEE 802.1X și jurnal de audit. Puteți stoca mai multe certificate pe dispozitiv, dar un singur certificat este activat pentru fiecare serviciu la un moment dat.

Pe RoomOS octombrie 2023 și versiuni ulterioare, când adăugați un certificat CA la un dispozitiv, acesta este aplicat și unui Room Navigator dacă este conectat. Pentru a sincroniza certificatele CA adăugate anterior la un dispozitiv conectatRoom Navigator, trebuie să reporniți dispozitivul. Dacă nu doriți ca perifericele să obțină aceleași certificate ca și dispozitivul la care este conectat, setați configurația Sincronizarea certificatelor de securitate periferice la Fal se.

Pentru conexiune Wi-Fi

Vă recomandăm să adăugați un certificat CA de încredere pentru fiecare dispozitiv Board, Desk sau Room Series, dacă rețeaua dvs. utilizează autentificarea WPA-EAP. Trebuie să faceți acest lucru individual pentru fiecare dispozitiv și înainte de a vă conecta la Wi-Fi.

Certificate și formate cheie acceptate

• Acest sistem acceptă fișiere certificate fie în format PEM, fie în format binar.

• Fișierele PEM pot conține atât certificatul, cât și cheia privată în același fișier.

• Cheia privată trebuie să fie în același format ca certificatul; adică ambele trebuie să fie fie PEM, fie binare.

• Formatele de certificate binare acceptate includ fișiere X.509 cu extensi i.der, .cer sau.crt și fișiere PKCS7 cu extensia.p7b.

• Formatele binare de chei private acceptate includ chei criptate RSA sau DSA, de obicei cu extensii.key, .der sau.p8.

Certificatul și cheia privată sunt stocate în același fișier de pe dispozitiv. Dacă autentificarea eșuează, conexiunea nu va fi stabilită.

Administratorii trebuie să genereze o solicitare de semnare a certificatelor (CSR) din Control Hub pentru un dispozitiv Board, Desk sau Room Series înregistrat în cloud.

Urmați acești pași pentru a genera un CSR și a încărca un certificat semnat pe dispozitiv:

1. Din vizualizarea client din Control Hub, accesați pagina Dispozitive și selectați dispozitivul din listă.
2. Navigați la Acțiuni > Executare XCommand > Securitate > Certificate > CSR > Creare.
3. Introduceți detaliile certificatului necesare și selectați Executare.
4. Copiați tot textul între ----BEGIN CERTIFICATE REQUEST---- și ----END CERTIFICATE REQUEST----.
5. Utilizați un Certificate Authority (CA) la alegere pentru a semna CSR.
6. Exportați certificatul semnat în format PEM (codificat Base64).
7. Deschideți fișierul certificat semnat într-un editor de text (de exemplu, Notepad) și copiați tot textul între ----BEGIN CERTIFICATE---- și ----END CERTIFICATE----.
8. În Control Hub, navigați la Dispozitive > selectați dispozitivul > Acțiuni > Executare XCommand > Securitate > Certificate > CSR > Link.
9. Lipiți conținutul certificatului copiat în secțiunea Corp și selectați Executare.
10. Reîmprospătați pagina pentru a verifica dacă certificatul apare sub Certificat existent.

Protocolul simplu de înregistrare a certificatelor (SCEP) oferă un mecanism automat pentru înscrierea și reîmprospătarea certificatelor care sunt utilizate, de exemplu, autentificarea 802.1X pe dispozitive. SCEP vă permite să mențineți accesul dispozitivului la rețele securizate fără intervenție manuală.

• Când dispozitivul este nou sau a fost resetat din fabrică, are nevoie de acces la rețea pentru a ajunge la adresa URL SCEP. Dispozitivul trebuie conectat la rețea fără 802.1X pentru a obține o adresă IP.

• Dacă utilizați un SSID de înscriere fără fir, parcurgeți ecranele de integrare pentru a configura conexiunea cu rețeaua.

• După ce sunteți conectat la rețeaua de aprovizionare, dispozitivul nu trebuie să se afle pe un anumit ecran de integrare.

• Pentru a se potrivi tuturor implementărilor, XAPI-urile de înregistrare SCEP nu vor stoca certificatul CA utilizat pentru semnarea certificatului dispozitivului. Pentru autentificarea serverului, certificatul CA utilizat pentru validarea certificatului serverului trebuie adăugat cu Certificatele de securitate XCommand CA Add.

Cerințe preliminare

Aveți nevoie de următoarele informații:

• Adresa URL a serverului SCEP.

• Amprenta certificatului CA (Certificate Authority) care semnează.

• Informații despre certificatul de înscriere. Aceasta constituie numele subiectului certificatului.

  • Denumire comună

  • Numele țării

  • Numele statului sau provinciei

  • Numele localității

  • Denumirea organizației

  • Unitate organizatorică

• Numele subiectului va fi ordonat ca /C = /ST = /L = /O = /OU = /CN =

• Parola de provocare a serverului SCEP dacă ați configurat serverul SCEP pentru a impune un OTP sau un secret partajat.

Puteți seta dimensiunea necesară a cheii pentru perechea de chei de solicitare de certificat utilizând următoarea comandă. Implicit este 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Trimitem o cerere de certificat care este valabilă timp de un an pentru expirarea certificatului. Politica serverului poate modifica data de expirare în timpul semnării certificatului.

Conexiune Ethernet

Când un dispozitiv este conectat la o rețea, asigurați-vă că poate accesa serverul SCEP. Dispozitivul trebuie conectat la o rețea fără 802.1x pentru a obține o adresă IP. Este posibil ca adresa MAC a dispozitivului să fie furnizată rețelei de furnizare pentru a obține o adresă IP. Adresa MAC poate fi găsită pe interfața de utilizare sau pe eticheta din spatele dispozitivului.

După ce dispozitivul este conectat la rețea, puteți SSH la dispozitiv ca administrator pentru a accesa TSH, apoi executați următoarea comandă pentru a trimite cererea de înregistrare SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Odată ce serverul SCEP returnează certificatul de dispozitiv semnat, activați 802.1X.

Activați certificatul semnat:

xCommand Security Certificates Services Activate 

Reporniți dispozitivul după activarea certificatului.

Conexiune wireless

Când un dispozitiv este conectat la o rețea fără fir, asigurați-vă că poate accesa serverul SCEP.

După ce dispozitivul este conectat la rețea, puteți SSH la dispozitiv ca administrator pentru a accesa TSH, apoi executați următoarea comandă pentru a trimite cererea de înregistrare SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Dispozitivul primește certificatul semnat de la serverul SCEP.

Activați certificatul semnat:

xCommand Security Certificates Services Activate

După activare, trebuie să configurați rețeaua Wi-Fi cu autentificare EAP-TLS.

xCommand Network Wifi Configure 

În mod implicit, configurația Wi-Fi omite verificările de validare a serverului. Dacă este necesară doar autentificarea unidirecțională, păstrați AllowMissingCA implicit la True.

Pentru a forța validarea serverului, asigurați-vă că parametrul opțional allowMissingCA este setat la False. Dacă o conexiune nu poate fi stabilită din cauza erorilor de validare a serviciului, verificați dacă a fost adăugată certificatul de certificare corectă pentru a verifica certificatul de server care poate fi diferit de certificatul dispozitivului.

Descrieri API

Rol: Admin, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Trimite un CSR către un anumit server SCEP pentru semnare. Parametrii CSR SubjectName vor fi construiți în următoarea ordine: C, ST, L, O, OU, CN.

Parametrii:

• URL (uri): <S: 0, 256>

  Adresa URL a serverului SCEP.

• Amprentă digitală (r): <S: 0, 128>

  Certificat CA Amprentă digitală care va semna cererea SCEP CSR.

• Nume comun (e): <S: 0, 64>

  Adaugă „/CN =” la numele subiectului CSR.

• ProvocațiParolă: <S: 0, 256>

  OTP sau secret partajat de pe serverul SCEP pentru acces la semnare.

• Numele țării: <S: 0, 2>

  Adaugă „/C =” la numele subiectului CSR.

• Nume de stat sau provincie: <S: 0, 64>

  Adaugă „/ST =” la numele subiectului CSR.

• LocalitateName: <S: 0, 64>

  Adaugă „/L =” la numele subiectului CSR.

• Numele organizației: <S: 0, 64>

  Adaugă „/O =” la numele subiectului CSR.

• Unitatea organizațională [5]: <S: 0, 64>

  Adaugă până la 5 parametri „/OU =” la numele subiectului CSR.

• SANDN [5]: <S: 0, 64>

  Adaugă până la 5 parametri Dns la numele alternativ al subiectului CSR.

• SanEmail [5]: <S: 0, 64>

  Adaugă până la 5 parametri de e-mail la numele alternativ al subiectului CSR.

• SaniP [5]: <S: 0, 64>

  Adaugă până la 5 parametri Ip la numele alternativ al subiectului CSR.

• Sanuri [5]: <S: 0, 64>

  Adaugă până la 5 parametri Uri la numele alternativ al subiectului CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Șterge un profil de înscriere pentru a nu mai reînnoi certificatele.

Parametrii:

• Amprentă digitală (r): <S: 0, 128>

  Amprenta certificatului CA care identifică profilul pe care doriți să îl eliminați. Puteți vedea profilurile disponibile pentru a elimina rulând:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Listează profilurile de înscriere pentru reînnoirea certificatului.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Adăugați un profil de înscriere pentru certificatele emise de amprenta CA pentru a utiliza URL-ul SCEP dat pentru reînnoire.

Reînnoire

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Pentru a reînnoi automat certificatul, dispozitivul trebuie să poată accesa URL-ul SCEP care poate demisiona certificatul.

O dată pe zi, dispozitivul va verifica dacă există certificate care vor expira cu 45 de zile. Dis pozitivul va încerca apoi să reînnoiască aceste certificate dacă emitentul lor corespunde unui profil.

NOTĂ: Toate certificatele de dispozitiv vor fi verificate pentru reînnoire, chiar dacă certificatul nu a fost înscris inițial folosind SCEP.

Navigatoare

1. Asociere directă: Certificatele înscrise pot fi activate ca certificat „Asociere”.

2. Asociat la distanță: Spuneți navigatorului să înscrie un nou certificat SCEP utilizând ID- ul perifericului:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Profilurile de înscriere sunt sincronizate automat cu navigatorul asociat.

3. Navigator autonom: La fel ca înscrierea codecului

Puteţi configura autentificarea 802.1x direct din meniul Room Navigator Setări.

Standardul de autentificare 802.1x este deosebit de important pentru rețelele Ethernet și asigură că numai dispozitivele autorizate primesc acces la resursele rețelei.

Diferite opțiuni de conectare sunt disponibile în funcție de metoda EAP configurată în rețeaua dvs. De exemplu:

• TLS: Numele de utilizator și parola nu sunt utilizate.
• PEAP: Certificatele nu sunt utilizate.
• TTLS: Sunt necesare atât numele de utilizator/parola, cât și certificatele; niciunul nu este opțional.

Există mai multe modalități de a obține certificatul client pe un dispozitiv:

1. Încărcați PEM: Utilizați caracteristica Adăugare servicii de certificate de securitate.
2. Creați CSR: Generați o solicitare de semnare a certificatului (CSR), semnați-o și conectați-o folosind Certificate de securitate CSR Create/Link.
3. SCEP: Utilizați Cererea de înregistrare SCEP a serviciilor de certificate de securitate.
4. Opțiunea DHCP 43: Configurați livrarea certificatului prin această opțiune.

Configurarea și actualizarea certificatelor pentru 802.1x trebuie făcută înainte de asocierea cu Room Navigator un sistem sau după resetarea din fabrică a. Room Navigator

Acreditările implicite sunt admin și parola necompletată. Pentru mai multe informații despre cum să adăugați certificate accesând API-ul, consultați cea mai recentă versiune a ghidului API.

1. Deschideți panoul de control de pe Navigator atingând butonul din colțul din dreapta sus sau glisând din partea dreaptă. Apoi atingeți Setări dispozitiv.
2. Accesați Con exiune la rețea și selectați Ethernet.
3. Comutați opțiunea Utilizare IEEE 802.1X activ ată.
   • Dacă autentificarea este configurată cu acreditări, introduceți identitatea utilizatorului și fraza de acces. De asemenea, puteți introduce o identitate anonimă: acesta este un câmp opțional care oferă o modalitate de a separa identitatea utilizatorului real de solicitarea inițială de autentificare.
   • Puteți dezactiva sau activa Verificarea TLS. Când verificarea TLS este activată, clientul verifică în mod activ autenticitatea certificatului serverului în timpul strângerii de mână TLS. Când verificarea TLS este dezactivată, clientul nu efectuează verificarea activă a certificatului serverului.
   • Dacă ați încărcat un certificat client accesând API-ul, activați Utilizare certificat client.
   • Comutați metodele Protocolului de autentificare extensibilă (EAP) pe care doriți să le utilizați. Alegerea metodei EAP depinde de cerințele specifice de securitate, de infrastructură și de capacitățile clientului. Metodele EAP sunt cruciale pentru a permite accesul securizat și autentificat la rețea.

Cisco acceptă acum utilizarea certificatelor Secure Unique Device Identifier (SUDI) încorporate pentru autentificarea wireless 802.1x. Anterior, certificatele SUDI erau acceptate numai pentru autentificarea Wired/LAN 802.1x.

Această caracteristică este disponibilă începând cu RoomOS 26.7.1.7. Toate dispozitivele care rulează RoomOS 26 acceptă această caracteristică, în timp ce nu este acceptată pe RoomOS 11.

Pentru a activa această caracteristică, Cisco Identity Services Engine (ISE) pentru rețeaua Wi-Fi trebuie să adauge următoarele certificate CA la ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Puteți activa certificatul SUDI utilizând interfața web a dispozitivului selectând opțiunea de a utiliza certificatul SUDI pentru autentificarea 802.1x.

Alternativ, utilizați următoarea comandă:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Pentru a găsi amprenta SUDI, rulați:

xCommand Security Certificates Services Show

Dacă ampr enta este activată cu succes, veți vedea intrări similare cu următoarele în eventlog /auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

După activarea certificatului SUDI, configurați rețeaua Wi-Fi pentru a utiliza autentificarea EAP-TLS. Acest lucru se poate face de pe panoul tactil sau ecranul dispozitivului selectând metoda de autentificare ca EAP-TLS.