Mulțumim pentru feedback.

Acest lucru este pentru a vă informa cu privire la o viitoare modificare a politicii browserului Google Chrome care afectează emiterea certificatelor TLS publice și pentru a sublinia acțiunile pe care Cisco le va întreprinde pentru a asigura suportul continuu pentru conexiunile reciproce TLS (MTL) în mediile Dedicated Inst Cisco Webex Calling ance și UCM Cloud.

Începând cu 1 februarie 202 ⁷, Autoritățile de Certificare Publică (CA) incluse în programul Google Chrome Trust vor înceta semnarea certificatelor care includ utilizarea extinsă a cheilor de autentificare client (ClientAuth) (EKU).

Începând cu 15 martie ²⁰² 7, Google va aplica o politică care impune CA CA publice rădăcină din Magaz inul rădăcină Chrome să emită certificate care conțin doar EKU de autentificare server (ServerAuth). Drept urmare, CA-ul public root din Chrome Root Store nu va mai avea permisiunea de a emite certificate care combină atât autentificarea serverului, cât și EKU-urile de autentificare client într-un singur certificat.

Aplicațiile UC cu instanță dedicată utilizează în prezent certificate care includ atât EKU-uri de autentificare server, cât și autentificare client într-un singur certificat pentru a stabili încrederea pentru conexiunile MTL. Suportul pentru certificatele separate de server și client este acum disponibil cu versiunea de aplicație UC V15su5.

În prezent, instanța dedicată utilizează IdenTrust Commercial Root CA 1, parte a Magazinului rădăcină Google Chrome, pentru a semna aceste certificate. Cu toate acestea, din cauza viitoarei modificări a politicii Chrome, această CA nu va mai avea permisiunea de a emite certificate care conțin ambele EKU într-un singur certificat începând cu 1 ^februarie 2027.

Certificatele afectate

Următoarele certificate de aplicație UC sunt semnate utilizând o autoritate publică rădăcină și sunt utilizate în mod obișnuit pentru conexiunile MTL:

Aplicație UC	Tipul certificatului	Conexiuni MTL comune
Cisco Unified CM/IMM-uri	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth prin MRA, Syslog de la distanță
	Manager apeluri/CallManager-ECDSA	Trunchiuri SIP, conexiuni inter-nod și inter-cluster
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	Proxy SIP, trunchiuri SIP
Cisco IM și prezență	Tomcat/Tomcat-ECDSA	—
	ceașcă/cupă-ECDSA	SIP securizat cu CUCM, clienți terți, SIP Proxy
	cupă-xmpp/cupă-XMPP-ECDSA	Federația XMPP
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Certificat de server	Mobil și Remote Access (MRA)

Certificatele nu sunt afectate

Toate certificatele rămase în instanța dedicată sunt auto-semnate. Pentru informaţii suplimentare, consultaţi Gestionarea certificatelor de instanţă dedicată.

Pentru a aborda modificarea politicii Chrome și pentru a menține funcționalitatea MTL neîntreruptă, Cisco va întreprinde următoarele acțiuni:

• Începând cu 1 iunie 2026, ^{Cisco va schimba CA rădăcină publică utilizată pentru semnarea certificatelor de aplicație UC de instanță dedicată de la IdenTrust Commercial Root CA 1 la IdenTrust Public Sector Root CA 1 pentru toate reînnoirile certificatelor.}

  Procesul de reînnoire a certificatului rămâne același, iar Centrul de alertă Control Hub notifică clienții prin alerta „Între ținere și întrerupere” atunci când reînnoirea este programată. Pentru mai multe informații, consultați Alerte de întreținere.

• Certificatele vor continua să includă atât EKU-uri de autentificare server, cât și client.

Orice aplicații sau servicii terțe din mediul client care conectează aplicații UC în instanță dedicată utilizând conexiuni TLS sau mTLS trebuie să utilizeze același lanț de certificate ca și aplicațiile UC din instanță dedicată. Dacă depozitul de încredere al sistemelor sau aplicațiilor client nu include deja autoritățile de certificare IdenTrust necesare, noul certificat rădăcină trebuie importat pentru a preveni eșecurile conexiunii TLS/MTLS.

1. Auditarea conexiunilor MTL curente
   1. Identificați aplicațiile, serviciile terțe sau integrările care se conectează la aplicațiile UC în instanță dedicată utilizând TLS sau MTL.
   2. Verificați dacă aplicațiile respective au încredere în noua CA rădăcină publică: IdenTrust Public S ector Root CA 1.
2. Adăugați noua autoritate publică rădăcină (dacă este necesar)
   1. Dacă IdenTrust Public Sector Root CA 1 nu este deja de încredere în aplicația clientului sau în magazinul de încredere al sistemului, acesta trebuie adăugat.
   2. Același lucru poate fi descărcat de pe următoarele link-uri:

      CA rădăcină: IDEntrust CA rădăcină pentru sectorul public 1

      Pagina alternativă de descărcare: Descăr cări de asistență IdenTrust

      Emitere/Sub CA: IdenTrust Server de sector public CA 1.

   Pentru majoritatea aplicațiilor, încrederea în CA rădăcină este suficientă dacă serverul prezintă lanțul complet. Certificatul de eliberare/sub certificare este benefic de inclus pentru aplicațiile care necesită import area separată a certificatului intermediar.

IDEntrust Public Sector Root CA 1 este de încredere în mod implicit în magazinele de încredere standard pentru următoarele sisteme de operare și platforme:

• Microsoft Windows
• MacOS
• iOS /iPadOS
• Android

Drept urmare, clientul este obligat să valideze doar magazinele de încredere pentru aceste platforme pentru a confirma că certificatul rădăcină al noului CA public este deja listat. Acest lucru se aplică punctelor/clienților sau sistemelor terțe care utilizează magazinele de încredere implicite pe aceste platforme. Instrucțiunile pentru actualizarea magazinului de încredere pe fiecare platformă sunt furnizate în secțiunile de mai jos. Responsabilitatea pentru efectuarea acestor actualizări revine Clientului sau Partenerului; linkurile și pașii de mai jos fac referire la articolele online de la furnizorii respectivi ai platformei, iar Cisco oferă asistență pe baza celor mai bune eforturi. Pentru clarificări suplimentare, trebuie să lucrați direct cu furnizorii de platforme respectivi.

Nota magazinului de încredere Android

IdenTrust Public Sector Root CA 1 este inclus în magazinul CA al sistemului Android și este de încredere în mod implicit pe versiunile Android acceptate în prezent. Android nu oferă o mapare publică, specifică versiunii, pentru datele individuale de introducere a certificatelor rădăcină. Încrederea este gestionată prin magazinul CA de sistem Android și distribuită prin actualizări ale sistemului de operare și actualizări ale sistemului Google Play.

Nu este necesară nicio acțiune a clientului, cu excepția cazului în care magazinul de încredere al sistemului Android a fost modificat în mod explicit de politica dispozitivului, de controalele de gestionare a întreprinderii sau de restricțiile de încredere specifice aplicației.

IDEntrust Public Sector Root CA 1 nu este inclusă în Magazinul rădăcină Google Chrome.

Pentru a se asigura că Google Chrome are încredere în certificatele emise în baza acestei CA rădăcină, clienții trebuie să se asigure că certific atul rădăcină este explicit de încredere la nivelul sistemului de operare în locațiile pe care Chrome le consumă pentru deciziile locale de încredere.

Windows — configurare de încredere necesară

Pentru a vă asigura că autorizația rădăcină este de încredere de către Google Chrome pe Windows, CA rădăcină pentru sectorul public IdenTrust 1 trebuie importată într-una din următoarele locații:

• Computer local → Autorități de certificare rădăcină de încredere

  (Recomandat pentru sistemele gestionate de întreprindere)

sau

• Utilizator curent → Autorități de certificare rădăcină de încredere

  (Pentru încredere la nivel de utilizator)

Certificatele importate utilizând Expertul de import a certificatelor Windows în aceste locații (inclusiv prin Politica de grup) sunt de încredere de Google Chrome.

Certificatele rădăcină care există numai în Windows Terță parte nu sunt de încredere automat de Chrome decât dacă sunt importate în mod explicit așa cum este descris mai sus.

Mac OS — configurare de încredere necesară

Pentru a vă asigura că autorizația rădăcină este de încredere de către Google Chrome pe macOS, CA rădăcină pentru sectorul public IdenTrust 1 trebuie adăugată la Keychain macOS și trebuie să fie în mod explicit de încredere:

1. Importați certificatul în Breloc de sistem (recomandat) sau în Breloc de conectare

2. Deschideți certificatul și setați:

   • Când utilizați acest certificat: Întotdeauna încredere

     (sau cel puțin, SSL: Întotdeauna încredere)

Odată încredințat la nivel de sistem sau utilizator, Google Chrome va onora certificatul ca fiind de încredere.

Administratorii pot verifica ce certificate de platformă sunt de încredere de Chrome navigând la: chrome: //certificate-manager/localcerts/platformcerts

Pentru mai multe informații, consultați Întrebări frecvente Google.

Integrările terță parte necesită validarea primară a clientului.

Pentru orice aplicații sau servicii terțe care stabilesc conexiuni TLS/mTLS cu aplicații UC pentru inst anță dedicată, clienții trebuie să urmeze acțiunile menționate în modificările certificatului CA public care afectează instanța dedicată.

Va trebui să colaborați direct cu furnizorul terț sau cu administratorul IT dacă sunt necesare actualizări ale magazinului de încredere. Modificările aduse magazinelor de încredere ale terților sau comport amentelor de validare a certificatelor sunt în afara responsabilităților Cisco, iar Cisco nu poate asista la configurațiile de încredere ale certific atelor terță parte sau la depanarea problemelor.

Clienții pot valida noua autoritate publică rădăcină utilizând certificatul de testare IdenTrust.

Dacă pagina se deschide cu succes, IdenTrust Public Sector Root CA 1 este de încredere în mediul dvs.

Dacă aveți întrebări cu privire la această modificare, politica browserului Google Chrome sau actualizările certificatelor în instanță dedicată, deschideți o solicitare de serviciu în Control Hub sub ciclul de viață al aplicației UC.

Clienții UCM Cloud (UCMC) care dețin domeniul lor și își gestionează propriile reînnoiri ale certificatelor de aplicații UC și care nu au delegat autoritatea de domeniu către Cisco pentru semnarea certificatelor de aplicații UC vor fi responsabili de colaborarea directă cu autoritățile de certificare publice alese pentru a aborda această modificare. 

Acești clienți ar trebui, de asemenea, să se alinieze la recomandările produsului aplicabil pentru aplicații UC (produse de apelare la sediul Cisco și Cisco Expressway) privind utilizarea certificatelor și remedierea acestora legate de viitoarele modificări ale politicii de autorizație publică și browser. Pentru mai multe informații, consultați Roluri și responsabilități. 

Cisco va continua să furnizeze actualizări pe măsură ce suportul aplicațiilor UC pentru certificatele separate de server și client devine disponibil. Consultați acest document pentru cele mai recente actualizări.

Modificări ale certificatului EKU: Acțiuni pe care clienții Cisco On-premises Collaboration TREBUIE SĂ LE IA ACUM