Hvala na povratnim informacijama.

Možete dodati sertifikate iz lokalnog veb interfejsa uređaja. Alternativno, možete dodati sertifikate pokretanjem API komandi. Da biste videli koje komande omogućavaju dodavanje sertifikata, pogledajte roomos .cisco.com.

Servisni sertifikati i pouzdane CA

Validacija sertifikata može biti potrebna kada se koristi TLS (Transport Layer Securiti). Server ili klijent mogu zahtevati da im uređaj predoči važeći sertifikat pre podešavanja komunikacije.

Sertifikati su tekstualne datoteke koje potvrđuju autentičnost uređaja. Ovi sertifikati moraju biti potpisani od strane pouzdanog organa za sertifikate (CA). Da biste potvrdili potpis sertifikata, lista pouzdanih CA mora da se nalazi na uređaju. Lista mora sadržati sve CA potrebne da bi se verifikovali sertifikati i za evidentiranje revizije i za druge veze.

Sertifikati se koriste za sledeće usluge: HTTPS server, SIP, IEEE 802.1KS i evidentiranje revizije. Na uređaju možete da pohranite nekoliko sertifikata, ali za svaku uslugu je istovremeno omogućen samo jedan sertifikat.

Na RoomOS oktobru 2023. i kasnije, kada dodate CA sertifikat uređaju, primenjuje se i na Room Navigator ako je povezan. Da biste sinhronizovali prethodno dodate CA sertifikate sa povezanimRoom Navigator, morate ponovo pokrenuti uređaj. Ako ne želite da periferni uređaji dobiju iste sertifikate kao i uređaj na koji je povezan, podesite konfiguraciju Sigur nosni sertifikati perifernih uređaja SyncToPeripherals na False.

Za Vi-Fi vezu

Preporučujemo da dodate pouzdani CA sertifikat za svaki uređaj Board, Desk ili Room Series, ako vaša mreža koristi VPA-EAP autentifikaciju. To morate učiniti pojedinačno za svaki uređaj i pre nego što se povežete na Vi-Fi.

Podržani sertifikati i ključni formati

• Ovaj sistem prihvata datoteke sertifikata u PEM ili binarnim formatima.

• PEM datoteke mogu sadržati i sertifikat i privatni ključ unutar iste datoteke.

• Privatni ključ mora biti u istom formatu kao i sertifikat; to jest, oba moraju biti ili PEM ili binarna.

• Podržani formati binarnih sertifikata uključuju X.509 datoteke sa ekstenzijama .der, .cer ili .crt i PKCS7 datoteke sa ekstenzijom.p7b.

• Podržani formati binarnih privatnih ključeva uključuju RSA ili DSA šifrovane ključeve, obično sa ekstenzijama .kei, .der ili.p8.

Sertifikat i privatni ključ se čuvaju u istoj datoteci na uređaju. Ako autentifikacija ne uspe, veza neće biti uspostavljena.

Administratori moraju da generišu zahtev za potpisivanje sertifikata (CSR) iz kontrolnog čvorišta za uređaj registrovan u oblaku, Desk ili Room Series.

Sledite ove korake da biste generisali CSR i otpremili potpisani sertifikat na svoj uređaj:

1. Iz prikaza korisnika u Control Hub-u idite na stranicu Uređaji i izaberite svoj uređaj sa liste.
2. Idite na Akcije > Pokreni XCommand > Bezbednost > Sertifikati > CSR > Kreiraj.
3. Unesite potrebne detalje sertifikata i izaberite Izvrši.
4. Kopirajte sav tekst između ---- ZAPOČNI ZAHTEV ZA SERTIFIKAT---- i ----- ZAHTEV ZA KRAJ SERTIFIKATA----.
5. Koristite Certificate Authority (CA) po vašem izboru da biste potpisali CSR.
6. Izvezite potpisani sertifikat u PEM (Base64-kodirani) format.
7. Otvorite datoteku potpisanog sertifikata u uređivaču teksta (npr. Notepad) i kopirajte sav tekst između ----BEGIN CERTIFIKAT---- i ----END CERTIFICATE----.
8. U kontrolnom čvorištu idite na Uređaji > izaberite uređaj > Radnje > Pokreni kCommand > Bezbednost > Sertifikati > CSR > Link.
9. Nalepite kopirani sadržaj sertifikata u odeljak Telo i izaberite Izvrši.
10. Osvežite stranicu da biste proverili da li se sertifikat pojavljuje pod Postojeći sertifikat.

Simple Certificate Enrollment Protocol (SCEP) pruža automatizovani mehanizam za upis i osvežavanje sertifikata koji se koriste na primer 802.1X autentifikacija na uređajima. SCEP vam omogućava da održavate pristup uređaja sigurnim mrežama bez ručne intervencije.

• Kada je uređaj nov ili je resetovan na fabrička podešavanja, potreban mu je pristup mreži da bi došao do SCEP URL-a. Uređaj treba da bude povezan na mrežu bez 802.1Ks da bi se dobila IP adresa.

• Ako koristite SSID za bežični upis, prođite kroz ekrane za uključivanje da biste konfigurisali vezu sa mrežom.

• Jednom kada se povežete na mrežu za obezbeđivanje, uređaj ne mora da bude na određenom ekranu za uključivanje.

• Da bi odgovarali svim implementacijama, SCEP Enrollment XAPI-ji neće čuvati CA sertifikat koji se koristi za potpisivanje sertifikata uređaja. Za autentifikaciju servera, CA sertifikat koji se koristi za validaciju sertifikata servera mora biti dodan sa XCommand bezbednosnim sertifikatima CA Add.

Preduslovi

Potrebne su vam sledeće informacije:

• URL SCEP servera.

• Otisak prsta potpisnog CA (Certificate Authority) sertifikata.

• Informacije o sertifikatu za upis. Ovo čini naziv predmeta sertifikata.

  • Uobičajeno ime

  • Naziv države

  • Naziv države ili pokrajine

  • Naziv lokaliteta

  • Naziv organizacije

  • Organizaciona jedinica

• Naziv predmeta biće poredano kao /C = /ST = /L = /O = /OU = /CN =

• Lozinka za izazov SCEP servera ako ste konfigurisali SCEP server da primenjuje OTP ili deljenu tajnu.

Možete da podesite potrebnu veličinu ključa za par ključeva zahteva za sertifikat koristeći sledeću naredbu. Podrazumevano je 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Šaljemo zahtev za sertifikat koji važi godinu dana za istek sertifikata. Politika na strani servera može da promeni datum isteka tokom potpisivanja sertifikata.

Ethernet veza

Kada je uređaj povezan na mrežu, proverite da li može pristupiti SCEP serveru. Uređaj treba da bude povezan na mrežu bez 802.1k da bi se dobila IP adresa. MAC adresu uređaja možda će trebati dostaviti mreži za pružanje usluga da bi se dobila IP adresa. MAC adresa se može naći na korisničkom interfejsu ili na nalepnici na zadnjoj strani uređaja.

Nakon što je uređaj povezan na mrežu, možete SSH na uređaj kao administrator da biste pristupili TSH-u, a zatim pokrenite sledeću naredbu da biste poslali zahtev za registraciju SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Kada SCEP server vrati potpisani sertifikat uređaja, aktivirajte 802.1Ks.

Aktivirajte potpisani sertifikat:

xCommand Security Certificates Services Activate 

Ponovo pokrenite uređaj nakon aktiviranja sertifikata.

Bežična veza

Kada je uređaj povezan na bežičnu mrežu, proverite da li može pristupiti SCEP serveru.

Nakon što je uređaj povezan na mrežu, možete SSH na uređaj kao administrator da biste pristupili TSH-u, a zatim pokrenite sledeću naredbu da biste poslali zahtev za registraciju SCEP:

xCommand Security Certificates Services Enrollment SCEP Request 

Uređaj dobija potpisani sertifikat sa SCEP servera.

Aktivirajte potpisani sertifikat:

xCommand Security Certificates Services Activate

Nakon aktiviranja, potrebno je da konfigurišete Vi-Fi mrežu sa EAP-TLS autentifikacijom.

xCommand Network Wifi Configure 

Podrazumevano, Vi-Fi konfiguracija preskače provere validacije servera. Ako je potrebna samo jednosmerna autentifikacija, zadržite podrazumevanu vrednost AllovMissingCA na True.

Da biste prisilili validaciju servera, uverite se da je op cioni parametar AllovMissingCA postavljen na False. Ako veza ne može da se uspostavi zbog grešaka u validaciji usluge, proverite da li je dodata ispravna CA da biste verifikovali sertifikat servera koji se može razlikovati od sertifikata uređaja.

API opisi

Uloga: Administrator, Integrator

xCommand Security Certificates Services Enrollment SCEP Request

Šalje CSR datom SCEP serveru na potpisivanje. Parametri CSR SubjectName biće konstruisani sledećim redosledom: C, ST, L, O, OUS, CN.

Parametri:

• URL (r): <S: 0, 256>

  URL adresa SCEP servera.

• Otisak prsta (r): <S: 0, 128>

  CA sertifikat Otisak prsta koji će potpisati SCEP zahtev CSR.

• CommonName (r): <S: 0, 64>

  Dodaje „/CN=“ nazivu subjekta CSR.

• ChallengePassword: <S: 0, 256>

  OTP ili deljena tajna sa SCEP servera za pristup potpisivanju.

• Ime zemlje: <S: 0, 2>

  Dodaje „/C =“ nazivu subjekta CSR.

• Ime države ili provincije: <S: 0, 64>

  Dodaje „/ST=“ nazivu subjekta CSR.

• Lokalno ime: <S: 0, 64>

  Dodaje „/L =“ nazivu subjekta CSR.

• Naziv organizacije: <S: 0, 64>

  Dodaje „/O =“ nazivu subjekta CSR.

• Organizaciona jedinica [5]: <S: 0, 64>

  Dodaje do 5 parametara „/OU=“ u ime subjekta CSR.

• SANDNS [5]: <S: 0, 64>

  Dodaje do 5 DNS parametara alternativnom nazivu subjekta CSR.

• SanEmail [5]: <S: 0, 64>

  Dodaje do 5 parametara e-pošte alternativnom nazivu subjekta CSR.

• SANip [5]: <S: 0, 64>

  Dodaje do 5 Ip parametara alternativnom nazivu subjekta CSR.

• SanUri [5]: <S: 0, 64>

  Dodaje do 5 Uri parametara alternativnom nazivu subjekta CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Briše profil za upis da više ne obnavlja sertifikate.

Parametri:

• Otisak prsta (r): <S: 0, 128>

  Otisak prsta CA sertifikata koji identifikuje profil koji želite da uklonite. Dostupne profile za uklanjanje možete videti pokretanjem:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Navodi profile upisa za obnovu sertifikata.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Dodajte profil upisa za sertifikate koje izdaje CA otisak prsta da biste koristili dati SCEP URL za obnovu.

Obnova

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Da bi se sertifikat automatski obnovio, uređaj mora biti u mogućnosti da pristupi SCEP URL-u koji može da podnese ostavku na sertifikat.

Jednom dnevno uređaj će proveriti da li postoje sertifikati koji će istekati za 45 dana. U ređaj će zatim pokušati da obnovi ovaj sertifikat ako se njihov izdavalac podudara sa profilom.

NAPOMENA: Svi sertifikati uređaja biće provereni za obnovu, čak i ako sertifikat nije prvobitno upisan pomoću SCEP.

Navigator

1. Direktno upareni: Upisani sertifikati mogu se aktivirati kao sertifikat „Uparivanje“.

2. Daljinski upareni: Recite navigatoru da upiše novi SCEP sertifikat koristeći ID perifernog uređaja:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Profili za upis se automatski sinhronizuju sa uparenim navigatorom.

3. Samostalni navigator: Isto kao i upis kodeka

802.1k autentifikaciju možete podesiti direktno iz menija Room Navigator Podešavanja.

Standard za autentifikaciju 802.1k posebno je važan za Ethernet mreže i osigurava da samo ovlašćeni uređaji imaju pristup mrežnim resursima.

Dostupne su različite opcije prijave na osnovu EAP metode konfigurisane u vašoj mreži. Na primer:

• TLS: Korisničko ime i lozinka se ne koriste.
• PEAP: Sertifikati se ne koriste.
• TTLS: Potrebni su i korisničko ime/lozinka i sertifikati; nijedno nije opciono.

Postoji nekoliko načina za dobijanje klijentskog sertifikata na uređaju:

1. Otpremite PEM: Koristite funkciju Dodavanje usluga bezbednosnih sertifikata.
2. Kreirajte CSR: Generišite zahtev za potpisivanje sertifikata (CSR), potpišite ga i povežite ga pomoću bezbednosnih sertifikata CSR Create/Link.
3. SCEP: Koristite SCEP zahtev za upis usluga bezbednosnih sertifikata.
4. DHCP opcija 43: Konfigurišite isporuku sertifikata putem ove opcije.

Podešavanje i ažuriranje sertifikata za 802.1k trebalo bi da se uradi pre uparivanja sa sistem Room Navigator om ili nakon resetovanja na fabrička podešavanja. Room Navigator

Podrazumevane akreditive su admin i prazna lozinka. Za više informacija o tome kako da dodate sertifikate pristupom API-ju, pogledajte najnoviju verziju API vodiča.

1. Otvorite kontrolnu tablu na Navigatoru dodirom dugmeta u gornjem desnom uglu ili prevlačenjem sa desne strane. Zatim dodirnite Podešavanja uređaja.
2. Idite na Mrežna veza i izaberite Ethernet.
3. Uključite Koristi IEEE 802. 1Ks uključeno.
   • Ako je autentifikacija podešena pomoću akreditiva, unesite korisnički identitet i lozinku. Takođe možete da unesete anonimni identitet: ovo je opcionalno polje koje pruža način da se odvoji identitet stvarnog korisnika od početnog zahteva za autentifikaciju.
   • Možete isključiti ili uključ iti TLS Veri fy. Kada je TLS verifikacija uključena, klijent aktivno proverava autentičnost sertifikata servera tokom TLS rukovanja. Kada je TLS verifikacija ISKLjUČENA, klijent ne vrši aktivnu verifikaciju sertifikata servera.
   • Ako ste učitali klijentski sertifikat pristupanjem API-ju, uključite U potreba klijentskog sertifikata.
   • Uključite metode EAP protokola za proširivanje autentifikacije (EAP) koje želite da koristite. Izbor EAP metode zavisi od specifičnih bezbednosnih zahteva, infrastrukture i mogućnosti klijenta. EAP metode su ključne za omogućavanje sigurnog i autentifikovanog pristupa mreži.

Cisco sada podržava korišćenje ugrađenih sertifikata Secure Unique Device Identifier (SUDI) za bežičnu 802.1k auten tifikaciju. Ranije su SUDI sertifikati bili podržani samo za žičano/LAN 802.1k autentifikaciju.

Ova funkcija je dostupna počevši od RoOM OS 26.7.1.7. Svi uređaji koji koriste RooMOS 26 podržavaju ovu funkciju, dok ona nije podržana na RoOMOS 11.

Da biste omogućili ovu funkciju, Cisco Identity Services Engine (ISE) za Vi-Fi mrežu mora dodati sledeće CA sertifikate u ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

SUDI sertifikat možete aktivirati pomoću veb interfejsa uređaja odabirom opcije za korišćenje SUDI sertifikata za 802.1k autentifikaciju.

Alternativno, koristite sledeću komandu:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Da biste pronašli SUDI otisak prsta, pokrenite:

xCommand Security Certificates Services Show

Ako se otisak prsta uspešno aktivira, videćete unose slične sledećim u dnev niku događaja/ auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Nakon aktiviranja SUDI sertifikata, konfigurišite Vi-Fi mrežu da koristi EAP-TLS autentifikaciju. Ovo se može uraditi sa dodirnog panela uređaja ili ekrana odabirom metode autentifikacije kao EAP-TLS.