Ďakujeme za vašu spätnú väzbu.

Certifikáty môžete pridať z lokálneho webového rozhrania zariadenia. Prípadne môžete pridať certifikáty spustením príkazov API. Ak chcete zistiť, ktoré príkazy umožňujú pridávať certifikáty, pozrite si stránku roomos .cisco.com.

Servisné certifikáty a dôveryhodné CA

Pri použití TLS (Transport Layer Security) sa môže vyžadovať overenie certifikátu. Server alebo klient môže vyžadovať, aby im zariadenie predložilo platný certifikát pred nastavením komunikácie.

Certifikáty sú textové súbory, ktoré overujú pravosť zariadenia. Tieto certifikáty musia byť podpísané dôveryhodným certifikačným orgánom (CA). Na overenie podpisu certifikátov musí byť na zariadení umiestnený zoznam dôveryhodných certifikátov. Zoznam musí obsahovať všetky CA potrebné na overenie certifikátov pre protokol auditu a iné pripojenia.

Certifikáty sa používajú pre nasledujúce služby: HTTPS server, SIP, IEEE 802.1X a protokol auditu. Do zariadenia môžete uložiť niekoľko certifikátov, ale pre každú službu je povolený iba jeden certifikát naraz.

V RooMOS októbri 2023 a novších, keď pridáte certifikát CA do zariadenia, použije sa aj na Room Navigator pripojenie certifikátu. Ak chcete synchronizovať predtým pridané certifikáty CA s pripojenýmRoom Navigator, musíte zariadenie reštartovať. Ak nechcete, aby periférne zariadenia dostávali rovnaké certifikáty ako zariadenie, ku ktorému je pripojené, nastavte konfiguráciu Bezpečnostné certifikáty periférie SyncToPeripherals na položku Fal se.

Pre pripojenie Wi-Fi

Odporúčame vám pridať dôveryhodný certifikát CA pre každé zariadenie Board, Desk alebo Room Series, ak vaša sieť používa autentifikáciu WPA-EAP. Musíte to urobiť individuálne pre každé zariadenie a pred pripojením k sieti Wi-Fi.

Podporované formáty certifikátov a kľúčov

• Tento systém prijíma súbory certifikátov buď v PEM alebo binárnych formátoch.

• Súbory PEM môžu obsahovať certifikát aj súkromný kľúč v rámci toho istého súboru.

• Súkromný kľúč musí byť v rovnakom formáte ako certifikát; to znamená, že oba musia byť buď PEM alebo binárne.

• Podporované formáty binárnych certifikátov zahŕňajú súbory X.509 s príponami .der, .cer alebo .crt a súbory PKCS7 s príponou.p7b.

• Podporované formáty binárnych súkromných kľúčov zahŕňajú šifrované kľúče RSA alebo DSA, zvyčajne s rozšíreniami .key, .der alebo .p8.

Certifikát a súkromný kľúč sú uložené v rovnakom súbore v zariadení. Ak autentifikácia zlyhá, pripojenie nebude nadviazané.

Správcovia musia vygenerovať žiadosť o podpis certifikátu (CSR) z ovládacieho centra pre zariadenie Board, Desk alebo Room Series registrované v cloude.

Ak chcete vygenerovať CSR a nahrať podpísaný certifikát do zariadenia, postupujte podľa týchto krokov:

1. V zobrazení zákazníka v Control Hub prejdite na stránku Zariadenia a zo zoznamu vyberte svoje zariadenie .
2. Prejdite na položky Akcie > Spustiť XCommand > Zabezpečenie > Certifikáty > CSR > Vytvoriť.
3. Zadajte požadované podrobnosti certifikátu a vyberte položku Vykonať.
4. Skopírujte všetok text medzi ----BEGIN CERTIFIKÁT REQUEST---- a ----END CERTIFIKÁT REQUEST----.
5. Na podpísan Certificate Authority ie CSR použite (CA) podľa vášho výberu.
6. Exportujte podpísaný certifikát vo formáte PEM (kódovaný Base64).
7. Otvorte súbor podpísaného certifikátu v textovom editore (napr. Poznámkový blok) a skopírujte všetok text medzi --BEGIN CERTIFICATE---- a ----END CERTIFICATE----.
8. V Control Hub prejdite na položky Zariadenia > vyberte zariadenie > Akcie > Spustiť XCommand > Zabez pečenie > Certifikáty > CSR > Prepojenie.
9. Prilepte skopírovaný obsah certifikátu do časti Telo a vyberte položku Vykonať.
10. Obnovte stránku, aby ste overili, či sa certifikát zobrazuje v časti Existujúci certifikát.

Simple Certificate Enrollment Protocol (SCEP) poskytuje automatizovaný mechanizmus na registráciu a obnovovanie certifikátov, ktoré sa používajú napríklad na autentifikáciu 802.1X na zariadeniach. SCEP vám umožňuje udržiavať prístup zariadenia k zabezpečeným sieťam bez manuálneho zásahu.

• Ak je zariadenie nové alebo bolo obnovené z výroby, na dosiahnutie adresy URL SCEP potrebuje prístup k sieti. Zariadenie by malo byť pripojené k sieti bez 802.1X, aby sa získala adresa IP.

• Ak používate SSID bezdrôtovej registrácie, prejdite cez obrazovky na inštaláciu a nakonfigurujte pripojenie so sieťou.

• Po pripojení k poskytovacej sieti nemusí byť zariadenie na konkrétnej obrazovke pripojenia.

• Aby sa zmestili všetky nasadenia, xAPI SCEP Enrollment neukladajú certifikát CA použitý na podpísanie certifikátu zariadenia. Pre overenie servera musí byť certifikát CA použitý na overenie certifikátu servera pridať pomocou XCommand Security Certificates CA Add.

Predpoklady

Potrebujete nasledujúce informácie:

• URL servera SCEP.

• Odtlačok prsta podpisujúceho certifikátu CA (Certificate Authority).

• Informácie o osvedčení o registrácii. Tvorí názov predmetu certifikátu.

  • Bežný názov

  • Názov krajiny

  • Názov štátu alebo provincie

  • Názov lokality

  • Názov organizácie

  • Organizačná jednotka

• Názov predmetu bude zoradený ako /C = /ST = /L = /O = /OU = /CN =

• Heslo výzvy servera SCEP, ak ste nakonfigurovali server SCEP na vynútenie OTP alebo zdieľaného tajomstva.

Požadovanú veľkosť kľúča pre páry kľúčov žiadosti o certifikát môžete nastaviť pomocou nasledujúceho príkazu. Predvolená hodnota je 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Na vypršanie platnosti certifikátu zasielame žiadosť o certifikát, ktorá je platná jeden rok. Pravidlá na strane servera môžu počas podpisovania certifikátu zmeniť dátum vypršania platnosti.

Ethernetové pripojenie

Keď je zariadenie pripojené k sieti, uistite sa, že má prístup na server SCEP. Zariadenie by malo byť pripojené k sieti bez 802.1x, aby sa získala adresa IP. Na získanie IP adresy môže byť potrebné poskytnúť MAC adresu zariadenia poskytujúcej sieť. MAC adresu nájdete v používateľskom rozhraní alebo na štítku v zadnej časti zariadenia.

Po pripojení zariadenia k sieti môžete k zariadeniu SSH ako správca získať prístup k TSH a potom spustite nasledujúci príkaz na odoslanie žiadosti o registráciu SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Keď server SCEP vráti podpísaný certifikát zariadenia, aktivujte 802.1X.

Aktivujte podpísaný certifikát:

xCommand Security Certificates Services Activate 

Po aktivácii certifikátu reštartujte zariadenie.

Bezdrôtové pripojenie

Keď je zariadenie pripojené k bezdrôtovej sieti, uistite sa, že má prístup k serveru SCEP.

Po pripojení zariadenia k sieti môžete k zariadeniu SSH ako správca získať prístup k TSH a potom spustite nasledujúci príkaz na odoslanie žiadosti o registráciu SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Zariadenie dostane podpísaný certifikát zo servera SCEP.

Aktivujte podpísaný certifikát:

xCommand Security Certificates Services Activate

Po aktivácii musíte nakonfigurovať sieť Wi-Fi pomocou autentifikácie EAP-TLS.

xCommand Network Wifi Configure 

V predvolenom nastavení konfigurácia Wi-Fi preskočí kontroly overenia servera. Ak je potrebná iba jednosmerná autentifikácia, ponechajte predvolenú hodnotu AllowMissingCA na hodnotu True.

Ak chcete vynútiť overenie servera, uistite sa, že voliteľný parameter AllowMissingCA je nastavený na hodnotu False. Ak pripojenie nemožno nadviazať z dôvodu chýb overovania služby, skontrolujte, či bol pridaný správny certifikát certifikátu servera, ktorý sa môže líšiť od certifikátu zariadenia.

Popisy API

Úloha: Administrátor, Integrátor

xCommand Security Certificates Services Enrollment SCEP Request

Odošle CSR na daný server SCEP na podpis. Parametre CSR SubjectName budú zostavené v nasledujúcom poradí: C, ST, L, O, Ous, CN.

Parametre:

• URL (r): <S: 0, 256>

  Adresa URL servera SCEP.

• Odtlačok prsta (r): <S: 0, 128>

  Odtlačok prsta certifikátu CA, ktorý podpíše požiadavku SCEP CSR.

• CommonName (r): <S: 0, 64>

  Pridá „/CN=“ do názvu predmetu CSR.

• ChallengePassword: <S: 0, 256>

  OTP alebo zdieľané tajomstvo zo servera SCEP pre prístup k podpisu.

• Názov krajiny: <S: 0, 2>

  Pridá „/C=“ do názvu predmetu CSR.

• Názov štátu alebo provincie: <S: 0, 64>

  Pridá „/ST=“ do názvu predmetu CSR.

• LokalityNázov: <S: 0, 64>

  Pridá „/L =“ do názvu predmetu CSR.

• Názov organizácie: <S: 0, 64>

  Pridá „/O=“ do názvu predmetu CSR.

• OrganizationalUnit [5]: <S: 0, 64>

  Pridá do názvu predmetu CSR až 5 parametrov „/OU=“.

• SANDN [5]: <S: 0, 64>

  Pridá do alternatívneho názvu subjektu CSR až 5 parametrov DNS.

• SanEmail [5]: <S: 0, 64>

  Pridá až 5 parametrov e-mailu k alternatívnemu názvu subjektu CSR.

• SanIP [5]: <S: 0, 64>

  Pridá až 5 parametrov Ip k alternatívnemu názvu subjektu CSR.

• SanUri [5]: <S: 0, 64>

  Pridá až 5 parametrov Uri k alternatívnemu názvu subjektu CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Odstráni profil registrácie, aby už neobnovili certifikáty.

Parametre:

• Odtlačok prsta (r): <S: 0, 128>

  Odtlačok certifikátu CA, ktorý identifikuje profil, ktorý chcete odstrániť. Dostupné profily, ktoré môžete odstrániť, môžete zobraziť spustením:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Uvádza profily registrácie na obnovenie certifikátu.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Pridajte profil registrácie pre certifikáty vydané odtlačkom prsta CA, aby ste použili dan ú adresu URL SCEP na obnovenie.

Obnova

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Aby bolo možné certifikát automaticky obnoviť, zariadenie musí mať prístup k adrese URL SCEP, ktorá môže certifikát odstúpiť.

Raz denne zariadenie skontroluje certifikáty, ktorých platnosť vyprší o 45 dní. Zariad enie sa potom pokúsi obnoviť tento certifikát, ak sa jeho vydavateľ zhoduje s profilom.

POZNÁMKA: Všetky certifikáty zariadenia budú skontrolované na obnovenie, aj keď certifikát nebol pôvodne zaregistrovaný pomocou SCEP.

Navigátor

1. Priame spárovanie: Zapísané certifikáty je možné aktivovať ako certifikát „Párovanie“.

2. Vzdialené párovanie: Povedzte navigátorovi, aby zaregistroval nový certifikát SCEP pomocou ID periférneho zariadenia:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Registračné profily sa automaticky synchronizujú s párovaným navigátorom.

3. Samostatný navigátor: Rovnaké ako registrácia kodekov

Overovanie 802.1x môžete nastaviť priamo z ponuky Room Navigator Nastavenia.

Autentifikačný štandard 802.1x je obzvlášť dôležitý pre siete Ethernet a zabezpečuje prístup k sieťovým zdrojom iba autorizované zariadenia.

Na základe metódy EAP nakonfigurovanej vo vašej sieti sú k dispozícii rôzne možnosti prihlásenia. Napríklad:

• TLS: Používateľské meno a heslo sa nepoužívajú.
• PEAP: Certifikáty sa nepoužívajú.
• TTLS: Vyžaduje sa používateľské meno/heslo a certifikáty; ani jeden nie je voliteľný.

Existuje niekoľko spôsobov, ako získať certifikát klienta na zariadení:

1. Nahrajte PEM: Použite funkciu Pridať služby bezpečnostných certifikátov.
2. Vytvorenie CSR: Vytvorte požiadavku na podpisovanie certifikátu (CSR), podpíšte ju a prepojte pomocou bezpečnostných certifikátov CSR Create/Link.
3. SCEP: Využite požiadavky na registráciu služieb bezpečnostných certifikátov SCEP.
4. Možnosť DHCP 43: Nakonfigurujte doručenie certifikátu pomocou tejto možnosti.

Nastavenie a aktualizácia certifikátov pre 802.1x by sa mala vykonať pred spáro vaním systému alebo po obnovení továrenských nastavení. Room Navigator Room Navigator

Predvolené poverenia sú admin a prázdne heslo. Ďalšie informácie o tom, ako pridať certifikáty prístupom do rozhrania API, nájdete v najnovšej verzii sprievodcu rozhraním API.

1. Otvorte ovládací panel navigátora klepnutím na tlačidlo v pravom hornom rohu alebo potiahnutím prstom z pravej strany. Potom klepnite na položku Nastavenia zariadenia.
2. Prejdite na Sieťové pripojenie a vyberte polož ku Ethernet.
3. Prepnúť Použiť IEEE 802. 1X zapnuté.
   • Ak je autentifikácia nastavená pomocou poverení, zadajte identitu používateľa a prístupovú frázu. Môžete tiež zadať anonymnú identitu: toto je voliteľné pole, ktoré poskytuje spôsob, ako oddeliť totožnosť skutočného používateľa od počiatočnej žiadosti o overenie.
   • Overovanie TLS môžete vypnúť alebo zapnúť. Keď je zapnuté overenie TLS, klient aktívne overí pravosť certifikátu servera počas podania ruky TLS. Keď je overovanie TLS vypnuté, klient nevykonáva aktívne overenie certifikátu servera.
   • Ak ste nahrali klientsky certifikát prístupom do rozhrania API, zapnite možnosť Použiť certifikát klienta.
   • Prepnite metódy EAP (Extensible Authentication Protocol), ktoré chcete použiť. Výber metódy EAP závisí od konkrétnych bezpečnostných požiadaviek, infraštruktúry a schopností klienta. Metódy EAP sú rozhodujúce pre zabezpečenie bezpečného a overeného prístupu k sieti.

Cisco teraz podporuje používanie vstavaných certifikátov Secure Unique Device Identifier (SUDI) pre bezdrôtové overenie 802.1x. Predtým boli certifikáty SUDI podporované iba pre overenie Wired/LAN 802.1x.

Táto funkcia je k dispozícii od Ro oMOS 26.7.1.7. Všetky zariadenia so systémom RooMOS 26 podporujú túto funkciu, zatiaľ čo v systéme RooMOS 11 nie je podporovaná.

Ak chcete túto funkciu povoliť, nástroj Cisco Identity Services Engine (ISE) pre sieť Wi-Fi musí pridať nasledujúce certifikáty CA do ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Certifikát SUDI môžete aktivovať pomocou webového rozhrania zariadenia výberom možnosti použitia certifikátu SUDI pre autentifikáciu 802.1x.

Prípadne použite nasledujúci príkaz:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Ak chcete nájsť odtlačok prsta SUDI, spustite:

xCommand Security Certificates Services Show

Ak je odtlačok prsta úspešne aktivovaný, v denníku udalosti/auditlog sa zobrazia polož ky podobné nasledujú cim:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Po aktivácii certifikátu SUDI nakonfigurujte sieť Wi-Fi tak, aby používala autentifikáciu EAP-TLS. Môžete to urobiť z dotykového panela zariadenia alebo obrazovky výberom metódy autentifikácie ako EAP-TLS.