Ďakujeme za vašu spätnú väzbu.

Týmto cieľom je informovať vás o nadchádzajúcej z mene pravidiel prehliadača Google Chrome, ktorá ovplyvní vydávanie verejných certifikátov TLS, a načrtnúť kroky, ktoré spoločnosť Cisco prijme na zabezpečenie neustálej podpory vzájomných pripojení TLS (MTL) v prostredí Dedic Cisco Webex Calling ated Instance a UCM Cloud.

^{Od 1. februára 2027 verejné certifikačné orgány (CA) zahrnuté v programe Google Chrome Trust zastavia podpisovanie certifikátov, ktoré zahŕňajú Extended Key Usage ( EKU) ClientAuth (ClientAuth).}

^{Od 15. marca 2027 spoločnosť Google uplatní zásadu vyžadujúcu, aby verejné koreňové agentúry v koreň ovom obchode Chrome vydávali certifikáty obsahujúce iba EKU servera Authentication (ServerAuth).} Výsledkom je, že verejné koreňové agentúry v koreňovom obchode Chrome už nebudú môcť vy dávať certifikáty, ktoré kombinujú EKU autentifikácie servera a autentifikácie klienta v jednom certifikáte.

Aplikácie UC s vyhradenou inštanciou v súčasnosti používajú certifikáty, ktoré zahŕňajú autentifikáciu servera a autentifikáciu klienta v rámci jedného certifikátu na vytvorenie dôvery pre pripojenia MTL. Podpora samostatných serverových a klientskych certifikátov je teraz k dispozícii vo verzii aplikácie UC v15su5.

V súčasnosti používa Dedikovaná inštancia na podpisovanie týchto certifikátov IDtrust Commercial Root CA 1, ktorá je súčasťou koreňového obchodu Google Chrome. ^{Vzhľadom na nadchádzajúcu z menu pravidiel prehliadača Chrome však tento certifikačný orgán už nebude oprávnený vydávať certifikáty obsahujúce obe EKU v jednom certifikáte od 1. februára 2027.}

Ovplyvnené certifikáty

Nasledujúce certifikáty aplikácií UC sú podpísané pomocou verejného koreňového CA a bežne sa používajú pre pripojenia MTL:

Aplikácia UC	Typ certifikátu	Bežné pripojenia MTL
Cisco Unified CM/MSP	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth cez MRA, Remote Syslog
	Správca hovorov/Správca hovorov-ECDSA	SIP kmene, medziuzlové a medziklastrové pripojenia
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	SIP proxy, SIP kmene
Cisco IM a prítomnosť	Tomcat/Tomcat-ECDSA	—
	šálka/pohár ECDSA	Zabezpečte SIP s CUCM, klientmi tretích strán, SIP Proxy
	šálka-xmpp/pohár-xMPP-ECDSA	Federácia XMPP
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Serverový certifikát	Mobilné a Remote Access (MRA)

Certifikáty, ktoré nie sú dotknuté

Všetky zostávajúce certifikáty v Dedikovanej inštancii sú podpísané samostatne. Ďalšie informácie nájdete v téme S práva certifikátov vyhradenej inštancie.

Na riešenie zmeny politiky prehliadača Chrome a zachovanie nepretržitých funkcií MTL spoločnosť Cisco vykoná nasledujúce kroky:

• S účinnosťou od 1. jú ^na 2026 spoločnosť Cisco prepne verejnú koreňovú certifikáciu používanú na podpisovanie certifikátov aplikácií Dedikovanej inštancie UC z IDtrust Commercial Root CA 1 na IDtrust Public Sector Root CA 1 pre všetky obnovy certifikátov.

  Proces obnov y certifikátu zostáva rovnaký a Centrum upozornení Control Hub upozorní zákazníkov prostredníctvom upozornenia „Ú držba a výpadok“, keď je naplánované obnovenie. Ďalšie informácie nájdete v téme Upozornenia na údržbu.

• Certifikáty budú aj naďalej obsahovať EKU autentifikácie servera aj klienta.

Všetky aplikácie alebo služby tretích strán v zákazníckom prostredí spájajúce aplikácie UC v dedikovanej inštancii pomocou pripojení TLS alebo MTLS musia používať rovnaký certifikačný reťazec ako aplikácie UC v dedikovanej inštancii. Ak dôveryhodná ukladňa zákazníckych systémov alebo aplikácií ešte neobsahuje požadované certifikačné orgány IDtrust, nový koreňový certifikát musí byť importovaný, aby sa zabránilo zlyhaniu pripojenia TLS/MTLS.

1. Kontrola aktuálnych pripojení MTL
   1. Identifikujte aplikácie, služby tretích strán alebo integrácie, ktoré sa pripájajú k aplikáciám UC v dedikovanej inštancii pomocou TLS alebo MTL.
   2. Skontrolujte, či tieto aplikácie dôverujú novému verejnému koreňovému CA: IDtrust Public Sector Root CA 1.
2. Pridajte nový verejný koreňový CA (ak je to potrebné)
   1. Ak IDtrust Public Sector Root CA 1 ešte nie je dôveryhodný v zákazníckej aplikácii alebo systémovom obchode dôveryhodnosti, musí sa pridať.
   2. To isté si môžete stiahnuť z nasledujúcich odkazov:

      Root CA: IDtrust koreň verejného sektora CA 1

      Alternatívna stránka na stiahnutie: IDtrust Support Downloads

      Vydávanie/podCA CA: IDtrust server verejného sektora CA 1.

   Pre väčšinu aplikácií stačí dôvera Root CA, ak server predstavuje celý reťazec. V prípade žiadostí, ktoré vyžadujú, aby sa medziosvedčenie dovážalo samostatne, je výhodné zahrnúť vydávanú certifikát.

IDtrust Public Sector Root CA 1 je štandardne dôveryhodný v štandardných obchodoch dôveryhodnosti pre nasledujúce operačné systémy a platformy:

• Microsoft Windows
• macOS
• iOS /iPadOS
• Android

V dôsledku toho je zákazník povinný iba overiť dôveryhodné obchody pre tieto platformy, aby potvrdil, že koreňový certifikát nového verejného CA je už uvedený. Týka sa to koncových bodov/klientov alebo systémov tretích strán, ktoré používajú predvolené dôveryhodné obchody na týchto platformách. Pokyny na aktualizáciu obchodu dôvery na každej platforme sú uvedené v nižšie uvedených častiach. Zodpovednosť za vykonanie týchto aktualizácií nesie na zákazníkovi alebo partnerovi; nižšie uvedené odkazy a kroky odkazujú na online články od príslušných dodávateľov platforiem a Cisco poskytuje pomoc na základe maximálneho úsilia. Pre ďalšie objasnenie musíte spolupracovať priamo s príslušnými dodávateľmi platforiem.

Poznámka k obchodu dôvery pre Android

IDtrust Public Sector Root CA 1 je súčasťou obchodu CA systému Android a je predvolene dôveryhodný v aktuálne podporovaných verziách systému Android. Android neposkytuje verejné mapovanie špecifické pre verzie pre jednotlivé dátumy zavedenia koreňového certifikátu. Dôvera je spravovaná prostredníctvom obchodu CA systému Android a distribuovaná prostredníctvom aktualizácií operačného systému a aktualizácií systému Google Play.

Žiadna akcia zákazníka sa nevyžaduje, pokiaľ úložisko dôveryhodnosti systému Android nebolo výslovne upravené pravidlami zariadení, ovládacími prvkami správy podniku alebo obmedzeniami dôver yhodnosti špecifickými pre konkrétne aplikácie.

IDtrust pre verejný sektor ROOT CA 1 nie je zahrnutý v koreňovom obchode Google Chrome.

Aby sa zabezpečilo, že prehliadač Google Chrome dôveruje certifikátom vydaným v rámci tohto koreňového certifikátu, musia zákazníci zabezpečiť , aby bol koreňový certifikát výslovne dôveryhodný na úrovni operačného systému v miestach, ktoré prehliadač Chrome používa na miestne rozhodnutia o dôvere.

Windows — požadovaná konfigurácia dôveryhodnosti

Aby sa zabezpečilo, že prehliadač Google Chrome dôveruje koreňovej certifikácii v systéme Windows, musí byť koreňový CA 1 pre verejný sektor IDtrust importovaný do jedného z nasledujúcich miest:

• Miestny počítač → Dôveryhodné koreňové certifikačné orgány

  (Odporúčané pre podnikové systémy)

alebo

• Aktuálny používateľ → Dôveryhodné koreňové certifikačné orgány

  (Pre dôveru na úrovni používateľa)

Prehliadač Google Chrome dôveruje certifikátom importovaným pomocou Sprievodcu importovaním certifikátov systému Windows do týchto miest (vrátane prostredníctvom politiky skupiny).

Koreňové certifikáty, ktoré existujú iba v systéme Windows tretích strán, Chrome automaticky ne dôveruje, pokiaľ nie sú výslovne importované tak, ako je opísané vyššie.

Mac OS — požadovaná konfigurácia dôveryhodnosti

Aby sa zabezpečilo, že prehliadač Google Chrome dôveruje koreňovej CA v systéme macOS, musí sa do kľúčenky MacOS pridať IDtrust Public Sector Root CA 1 a výslovne dôverovať:

1. Importujte certifikát do Systémovej kľúčenky (odporúča sa) alebo Prihlásenie na kľúčenku

2. Otvorte certifikát a nastavte:

   • Pri používaní tohto certifikátu: Vždy dôverujte

     (alebo minimálne SSL: Vždy dôverujte)

Po dôveryhodnosti na systémovej alebo používateľskej úrovni prehliadač Google Chrome uznáva certifikát ako dôveryhodný.

Správcovia si môžu overiť, ktorým certifikátom platformy Chrome dôveruje, prejdením na: chrome: //certificate-manager/localcerts/platformcerts

Ďalšie informácie nájdete v časti Naj častejšie otázky Google.

Integrácie tretích strán vyžadujú primárnu validáciu zákazníka.

V prípade akýchkoľvek aplikácií alebo služieb tretích strán, ktoré vytvárajú spojenie TLS/MTLS s aplikáciami UC s vy hradenou inštanciou, musia zákazníci postupovať podľa pokynov uvedených v Zmenách certifikátu verejného certifikátu CA, ktoré majú vplyv na vyhradenú inštanciu.

Ak sa vyžaduje aktualizácia dôveryhodného obchodu, budete musieť spolupracovať priamo s dodávateľom alebo správcom IT tretej strany. Úpravy dôveryhodných obchodov tretích strán alebo sprá vania overovania certifikátov sú mimo zodpovednosti spoločnosti Cisco a spoločnosť Cisco nemôže pomáhať pri konfigurácii dôveryhodnosti certifikátov tretích strán alebo pri riešení problémov.

Zákazníci môžu overiť novú verejnú koreňovú certifikáciu pomocou testovacieho certifikátu IDtrust.

Ak sa stránka úspešne otvorí, vo vašom prostredí bude dôveryhodná IDtrust Public Sector Root CA 1.

Ak máte otázky týkajúce sa tejto zmeny, politiky prehliadača Google Chrome alebo aktualizácií certifikátov vo vyhradenej inštancii, otvorte Žiadosť o službu v Control Hub v časti Životnosť aplikácie UC.

Zákazníci UCM Cloud (UCMC), ktorí vlastnia svoju doménu a spravujú svoje vlastné obnovenie certifikátov aplikácie UC a ktorí nedelegovali autoritu domény spoločnosti Cisco na podpisovanie certifikátov aplikácií UC, budú zodpovední za spoluprácu s vybranými verejnými certifikačnými orgánmi pri riešení tejto zmeny. 

Títo zákazníci by sa mali zosúladiť aj s príslušnými aplikačnými produktmi UC (produkty Cisco On-Prem Call Produc ts a Cisco Expressway) odporúčania týkajúce sa používania certifikátov a nápravy súvisiacich s nadchádzajúcimi zmenami verejných certifikátov a politiky prehliadača. Ďalšie informácie nájdete v téme Ú lohy a zodpovednosti. 

Spoločnosť Cisco bude naďalej poskytovať aktualizácie, keď bude k dispozícii podpora aplikácií UC pre samostatné certifikáty serverov a klientov. Najnovšie aktualizácie nájdete v tomto dokumente.

Zmeny certifikátu EKU: Akcie Zákazníci spoločnosti Cisco On-lok álna spolupráca MUSIA VYKONAŤ TERAZ