Hvala za povratne informacije.

Potrdila lahko dodate iz lokalnega spletnega vmesnika naprave. Lahko pa dodate potrdila tako, da zaženete ukaze API. Če si želite ogledati, kateri ukazi omogočajo dodajanje potrdil, glejte roomos .cisco.com.

Servisni certifikati in zaupanja vredni certifikati

Pri uporabi TLS (Transport Layer Security) bo morda potrebna potrditev potrdila. Strežnik ali odjemalec lahko zahteva, da mu naprava pred nastavitvijo komunikacije predloži veljavno potrdilo.

Potrdila so besedilne datoteke, ki preverjajo pristnost naprave. Ta potrdila mora podpisati zaupanja vreden certifikacijski organ (CA). Če želite preveriti podpis potrdil, mora biti na napravi seznam zaupanja vrednih ocen. Seznam mora vsebovati vse ocene, ki so potrebne za preverjanje potrdil tako za revizijsko evidentiranje kot za druge povezave.

Potrdila se uporabljajo za naslednje storitve: strežnik HTTPS, SIP, IEEE 802.1X in revizijsko beleženje. V napravo lahko shranite več potrdil, vendar je za vsako storitev hkrati omogočeno samo eno potrdilo.

Ko napravi dodate potrdilo CA, oktobra 2023 in kasneje, se uporablja tudi za povezavo, Room Navigator če je ta povezana. Če želite sinhronizirati predhodno dodana potrdila CA s povezanimRoom Navigator, morate znova zagnati napravo. Če ne želite, da zunanje naprave dobijo enaka potrdila kot naprava, s katero je povezana, nastavite konfiguracijo varnostnih potrdil zunanjih naprav SyncToPeripherals na Fal se.

Za povezavo Wi-Fi

Priporočamo, da dodate zaupanja vredno potrdilo CA za vsako napravo Board, Desk ali Room Series, če vaše omrežje uporablja preverjanje pristnosti WPA-EAP. To morate storiti posebej za vsako napravo in preden se povežete z Wi-Fi.

Podprti certifikati in formati ključev

• Ta sistem sprejema datoteke potrdil v PEM ali binarnih oblikah.

• Datoteke PEM lahko vsebujejo potrdilo in zasebni ključ v isti datoteki.

• Zasebni ključ mora biti v enaki obliki kot potrdilo; to pomeni, da morata biti oba bodisi PEM bodisi binarna.

• Podprti binarni formati certifikatov vključujejo datoteke X.509 s razširitvami .der, .cer ali .crt in datoteke PKCS7 s pripono.p7b.

• Podprti formati binarnih zasebnih ključev vključujejo šifrirane ključe RSA ali DSA, običajno s razširitvami .key, .der ali .p8.

Potrdilo in zasebni ključ sta shranjena v isti datoteki v napravi. Če preverjanje pristnosti ne uspe, povezava ne bo vzpostavljena.

Skrbniki morajo ustvariti zahtevo za podpisovanje potrdil (CSR) iz nadzornega središča za napravo Board, Desk ali Room Series, registrirano v oblaku.

Sledite tem korakom, da ustvarite CSR in naložite podpisano potrdilo v napravo:

1. V pogledu stranke v nadzornem središču pojdite na stran Naprave in s seznama izberite svojo napravo.
2. Pomaknite se do Dejanja> Zaženi XCommand > Varnost> Potrdila > CSR > Ustvari.
3. Vnesite zahtevane podrobnosti potrdila in izberite Izvedi.
4. Kopirajte vse besedilo med ----BEGIN CERTIFICATE REQUEST---- in ----END CERTIFICATE REQUEST----.
5. Za pod Certificate Authority pis CSR uporabite (CA) po vaši izbiri.
6. Izvozite podpisano potrdilo v obliki PEM (Base64 kodirano).
7. Odprite podpisano datoteko potrdil v urejevalniku besedil (npr. Beležnica) in kopirajte vse besedilo med ----BEGIN CERTIFICATE---- in ----END CERTIFICATE----.
8. V nadzornem središču se pomaknite na Naprave > izberite napravo > Dejanja > Zaženi XCommand > Var nost > Potrdila > CSR > Povezava.
9. Prilepite kopirano vsebino potrdila v razdelek Telo in izberite Izvedi.
10. Osvežite stran, če želite preveriti, ali je potrdilo prikazano v razdelku Obstoječi certifikat.

Simple Certificate Enrollment Protocol (SCEP) zagotavlja avtomatizirani mehanizem za v pis in osvežitev potrdil, ki se uporabljajo na primer 802.1X preverjanje pristnosti v napravah. SCEP vam omogoča vzdrževanje dostopa naprave do varnih omrežij brez roč nega posredovanja.

• Ko je naprava nova ali je bila ponastavljena na tovarniške nastavitve, potrebuje dostop do omrežja, da doseže URL SCEP. Naprava mora biti priključena na omrežje brez 802.1X, da bi pridobili naslov IP.

• Če uporabljate SSID za brezžični vpis, pojdite skozi zaslone za vstavljanje in konfigurirajte povezavo z omrežjem.

• Ko ste povezani z omrežjem za zagotavljanje storitev, napravi ni treba biti na določenem zaslonu za vgradnjo.

• Če želite ustrezati vsem uvajanjem, XAPI-ji SCEP Enrollment ne bodo shranili potrdila CA, uporabljenega za podpisovanje potrdila naprave. Za preverjanje pristnosti strežnika je treba potrdilo CA, ki se uporablja za preverjanje potrdila strežnika, dodati z XCommand Security Certificates CA Add.

Predpogoji

Potrebujete naslednje informacije:

• URL strežnika SCEP.

• Prstni odtis podpisnega potrdila CA (Certificate Authority).

• Informacije o potrdilu za vpis. To sestavlja ime predmeta potrdila.

  • Splošno ime

  • Ime države

  • Ime države ali pokrajine

  • Ime kraja

  • Ime organizacije

  • Organizacijska enota

• Ime predmeta bo razvrščeno kot /C = /ST = /L = /O = /OU = /CN =

• Geslo za izziv strežnika SCEP, če ste konfigurirali strežnik SCEP za uveljavljanje OTP ali skrivnosti v skupni rabi.

Zahtevano velikost ključa za par ključev zahtevka za potrdilo lahko nastavite z naslednjim ukazom. Privzeta je 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Za iztekanje certifikata pošljemo zahtevo za potrdilo, ki velja eno leto. Pravilnik na strani strežnika lahko med podpisom potrdila spremeni datum poteka veljavnosti.

Ethernetna povezava

Ko je naprava povezana z omrežjem, se prepričajte, da lahko dostopa do strežnika SCEP. Naprava mora biti povezana z omrežjem brez 802.1x za pridobitev naslova IP. Za pridobitev naslova IP bo morda treba posredovati naslov MAC naprave za zagotavljanje omrežja. Naslov MAC najdete v uporabniškem vmesniku ali na nalepki na zadnji strani naprave.

Ko je naprava povezana z omrežjem, lahko SSH v napravo kot skrb nik dostopate do TSH, nato pa zaženite naslednji ukaz, da pošljete zahtevo za vpis SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Ko strežnik SCEP vrne podpisano potrdilo naprave, aktivirajte 802.1X.

Aktivirajte podpisano potrdilo:

xCommand Security Certificates Services Activate 

Po aktiviranju potrdila znova zaženite napravo.

Brezžična povezava

Ko je naprava povezana z brezžičnim omrežjem, se prepričajte, da lahko dostopa do strežnika SCEP.

Ko je naprava povezana z omrežjem, lahko SSH v napravo kot skrb nik dostopate do TSH, nato pa zaženite naslednji ukaz, da pošljete zahtevo za vpis SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Naprava prejme podpisano potrdilo s strežnika SCEP.

Aktivirajte podpisano potrdilo:

xCommand Security Certificates Services Activate

Po aktiviranju morate konfigurirati omrežje Wi-Fi z preverjanjem pristnosti EAP-TLS.

xCommand Network Wifi Configure 

Konfiguracija Wi-Fi privzeto preskoči preverjanje potrjevanja strežnika. Če je potrebna samo enosmerna preverjanje pristnosti, naj bo AllowMissingCA privzeto vrednost True.

Če želite prisiliti preverjanje veljavnosti strežnika, se prepričajte, da je izbirni parameter AllowMissingCA nastavljen na False. Če povezave ni mogoče vzpostaviti zaradi napak pri preverjanju veljavnosti storitve, preverite, ali je bil dodan pravilen CA, da preverite potrdilo strežnika, ki se lahko razlikuje od potrdila naprave.

Opisi API-ja

Vloga: Administrator, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Pošlje CSR določenemu strežniku SCEP za podpis. Parametri CSR SubjectName bodo sestavljeni v naslednjem vrstnem redu: C, ST, L, O, Ous, CN.

Parametri:

• URL (r): <S: 0, 256>

  Naslov URL strežnika SCEP.

• Prstni odtis (r): <S: 0, 128>

  Prstni odtis certifikata CA, ki bo podpisal zahtevo SCEP CSR.

• Skupno ime (r): <S: 0, 64>

  Imenu subjekta CSR doda »/CN=«.

• ChallengeBeseda: <S: 0, 256>

  OTP ali skupna skrivnost s strežnika SCEP za dostop do podpisa.

• Ime države: <S: 0, 2>

  Imenu subjekta CSR doda »/C=«.

• DržavaIme pokrajine: <S: 0, 64>

  Imenu subjekta CSR doda »/ST=«.

• LokalityName: <S: 0, 64>

  Imenu subjekta CSR doda »/L =«.

• Ime organizacije: <S: 0, 64>

  Imenu subjekta CSR doda »/O=«.

• OrganizationalUnit [5]: <S: 0, 64>

  V ime subjekta CSR doda do 5 parametrov »/OU=«.

• SANDN [5]: <S: 0, 64>

  Alternativnemu imenu subjekta CSR doda do 5 parametrov DNS.

• SanE-pošta [5]: <S: 0, 64>

  Alternativnemu imenu subjekta CSR doda do 5 parametrov e-pošte.

• SanIP [5]: <S: 0, 64>

  Alternativnemu imenu subjekta CSR doda do 5 parametrov Ip.

• SanUri [5]: <S: 0, 64>

  Alternativnemu imenu subjekta CSR doda do 5 parametrov Uri.

xCommand Security Certificates Services Enrollment Profiles Delete

Izbriše vpisni profil, da potrdil ne podaljšuje več.

Parametri:

• Prstni odtis (r): <S: 0, 128>

  Prstni odtis certifikata CA, ki identificira profil, ki ga želite odstraniti. Razpoložljive profile, ki jih želite odstraniti, si lahko ogledate tako, da zaženete:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Navaja profile vpisa za podaljšanje potrdila.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Dodajte profil vpisa za potrdila, ki jih izda prstni odtis CA, da uporabite dani URL SCEP za podaljšanje.

Obnova

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Če želite potrdilo samodejno obnoviti, mora imeti naprava dostop do URL-ja SCEP, ki lahko odstopi od certifikata.

Enkrat na dan bo naprava preverila potrdila, ki bodo potekala po 45 dneh. Nap rava bo nato poskušala obnoviti ta certifikat, če se njihov izdajatelj ujema s profilom.

OPOMBA: Preverjeno bo podaljšanje vseh potrdil naprav, tudi če potrdilo ni bilo prvot no vpisano s programom SCEP.

Navigator

1. Neposredno parjenje: Vpisana potrdila lahko aktivirate kot potrdilo« Separiranje«.

2. Oddaljeno parjenje: navigatorju povejte, naj vpiše novo potrdilo SCEP z ID- jem periferne naprave:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Profili vpisa se samodejno sinhronizirajo s parnim navigatorjem.

3. Samostojni navigator: Enako kot vpis kodeka

Preverjanje pristnosti 802.1x lahko nastavite neposredno v men Room Navigator iju Nastavitve.

Standard za preverjanje pristnosti 802.1x je še posebej pomemben za omrežja Ethernet in zagotavlja dostop do omrežnih virov samo pooblaščenim napravam.

Na voljo so različne možnosti prijave glede na metodo EAP, konfigurirano v vašem omrežju. Na primer:

• TLS: Uporabniško ime in geslo se ne uporabljata.
• PEAP: Potrdila se ne uporabljajo.
• TTLS: Potrebna sta uporabniško ime/geslo in potrdila; nobeno ni neobvezno.

Obstaja več načinov za pridobitev potrdila odjemalca na napravi:

1. Naložite PEM: uporabite funkcijo Dodaj storitve varnostnih potrdil.
2. Ustvarite CSR: Ustvarite zahtevo za podpisovanje potrdil (CSR), jo podpišite in povežite z varnostnimi certifikati CSR Cre ate/Link.
3. SCEP: Uporabite zahteve za vpis storitev varnostnih potrdil SCEP.
4. DHCP možnost 43: Konfigurirajte dostavo potrdila s to možnostjo.

Nastavitev in posodobitev certifikatov za 802.1x je treba opraviti pred povezovanjem s sistem Room Navigator om ali po tovarniških ponastavitvi. Room Navigator

Privzete poverilnice sta skrbnik in prazno geslo. Če želite več informacij o dodajanju potrdil z dostopom do API-ja, glejte najnovejšo različico vodnika API.

1. Odprite nadzorno ploščo na Navigatorju tako, da tapnete gumb v zgornjem desnem kotu ali povlecite z desne strani. Nato tapnite Nastavitve naprave.
2. Pojdite na Omrežna povez ava in izberite Ethernet.
3. Preklopi Uporabi IEEE 802. 1X vklopljeno.
   • Če je preverjanje pristnosti nastavljeno s poverilnicami, vnesite uporabniško identiteto in geslo. Vnesete lahko tudi anonimno identiteto: to je neobvezno polje, ki omogoča ločevanje dejanske identitete uporabnika od začetne zahteve za preverjanje pristnosti.
   • Preverjanje TLS lahko izklopite ali v klopite. Ko je preverjanje TLS vklopljeno, odjemalec med stiskanjem roke TLS aktivno preveri pristnost potrdila strežnika. Ko je preverjanje TLS izklopljeno, odjemalec ne izvaja aktivnega preverjanja potrdila strežnika.
   • Če ste naložili potrdilo odjemalca z dostopom do API-ja, vklopite možnost Uporabi potrdilo odjemalca.
   • Preklopite metode EAP (Extensible Authentication Protocol), ki jih želite uporabiti. Izbira metode EAP je odvisna od posebnih varnostnih zahtev, infrastrukture in zmožnosti odjemalca. Metode EAP so ključnega pomena za zagotavljanje varnega in preverjenega dostopa do omrežja.

Cisco zdaj podpira uporabo vgrajenih certifikatov Secure Unique Device Identifier (SUDI) za brezžično preverjanje pristnosti 802.1x. Prej so bila potrdila SUDI podprta samo za preverjanje pristnosti žične/LAN 802.1x.

Ta funkcija je na voljo, začenši z RoomOS 26.7.1.7. Vse naprave z RoomOS 26 podpirajo to funkcijo, medtem ko v RoomOS 11 ni podprta.

Če želite omogočiti to funkcijo, mora Cisco Identity Services Engine (ISE) za omrežje Wi-Fi dodati naslednja potrdila CA v trgovino ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Potrdilo SUDI lahko aktivirate s spletnim vmesnikom naprave tako, da izberete možnost uporabe certifikata SUDI za preverjanje pristnosti 802.1x.

Lahko pa uporabite naslednji ukaz:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Če želite najti prstni odtis SUDI, zaženite:

xCommand Security Certificates Services Show

Če je pr stni odtis uspešno aktiviran, boste v dnevniku dogodkov/revizijskem dnevniku videli vnose, podobne nasled njim:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Ko aktivirate potrdilo SUDI, konfigurirajte omrežje Wi-Fi za uporabo preverjanja pristnosti EAP-TLS. To lahko storite s plošče na dotik naprave ali na zaslonu tako, da izberete način preverjanja pristnosti kot EAP-TLS.