Geri bildiriminiz için teşekkürler.

Cihazın yerel web arayüzünden sertifika ekleyebilirsiniz. Alternatif olarak, API komutlarını çalıştırarak sertifika ekleyebilirsiniz. Hangi komutların sertifika eklemenize izin verdiğini görmek için bkz. roomos .cisco.com.

Servis sertifikaları ve güvenilir CA'lar

TLS (Aktarım Katmanı Güvenliği) kullanılırken sertifika doğrulaması gerekebilir. Bir sunucu veya istemci, iletişim kurulmadan önce aygıtın kendilerine geçerli bir sertifika sunmasını isteyebilir.

Sertifikalar, cihazın orijinalliğini doğrulayan metin dosyalarıdır. Bu sertifikalar güvenilir sertifika yetkilisi (CA) tarafından imzalanmalıdır. Sertifikaların imzasını doğrulamak için, aygıtta güvenilir CA'ların bir listesi bulunmalıdır. Liste, hem denetim günlüğü hem de diğer bağlantılar için sertifikaları doğrulamak için gereken tüm CA'ları içermelidir.

Sertifikalar aşağıdaki hizmetler için kullanılır: HTTPS sunucusu, SIP, IEEE 802.1X ve denetim günlüğü. Cihazda birkaç sertifika depolayabilirsiniz, ancak her hizmet için aynı anda yalnızca bir sertifika etkinleştirilir.

RoomOS Ekim 2023 ve sonraki sürümlerinde, bir cihaza CA sertifikası eklediğinizde, bağlıysa bir serti Room Navigator fika da uygulanır. Daha önce eklenen CA sertifikalarını bağlı biriyle senkronize Room Navigator etmek için cihazı yeniden başlatmanız gerekir. Çevre birimlerinin bağlı olduğu cihazla aynı sertifikaları almasını istemiyorsanız Peripherals Security Certificates SynctoPeripherals yapılandırmasını Yanlış olarak ayarlayın.

Wi-Fi bağlantısı için

Ağınız WPA-EAP kimlik doğrulaması kullanıyorsa, her Board, Desk veya Room Series aygıtı için güvenilir bir CA sertifikası eklemenizi öneririz. Bunu her cihaz için ayrı ayrı ve Wi-Fi'ye bağlanmadan önce yapmanız gerekir.

Desteklenen Sertifika ve Anahtar Biçimleri

• Bu sistem sertifika dosyalarını PEM veya ikili biçimlerde kabul eder.

• PEM dosyaları aynı dosya içinde hem sertifikayı hem de özel anahtarı içerebilir.

• Özel anahtar sertifika ile aynı formatta olmalıdır; yani her ikisi de PEM veya ikili olmalıdır.

• Desteklenen ikili sertifika biçimleri, .der, .cer ve.crt uzantılı X.509 dosyaları ve.p7b uzantılı PKCS7 dosyalarını içerir.

• Desteklenen ikili özel anahtar biçimleri, genellikle .key, .der veya.p8 uzantılarına sahip RSA veya DSA şifreli anahtarları içerir.

Sertifika ve özel anahtar cihazdaki aynı dosyada saklanır. Kimlik doğrulama başarısız olursa, bağlantı kurulmaz.

Yöneticiler, bulutta kayıtlı bir Board, Desk veya Room Series aygıtı için Control Hub'dan Sertifika İmzalama İsteği (CSR) oluşturmalıdır.

Bir CSR oluşturmak ve cihazınıza imzalı bir sertifika yüklemek için şu adımları izleyin:

1. Control Hub'daki müşteri görünümünden, Cihazlar sayfasına gidin ve list eden cihazınızı seçin.
2. Eylemler > XCommand'ı Çalıştır> Güvenlik > Sertifikalar > CSR > Oluştur'a gidin.
3. Gerekli sertifika ayrıntılarını girin ve Yürüt'i seçin.
4. ----SERTIFIKA TALEBİ BAŞLAYIN ----- ve ----SERTIFIKA TALEBİ SONU ----- arasındaki tüm metni kopyalayın.
5. KSR'yi Certificate Authority imzalamak için seçtiğiniz bir (CA) kullanın.
6. İmzalanan sertifikayı PEM (Base64 kodlu) biçiminde dışa aktarın.
7. İmzalanan sertifika dosyasını bir metin düzenleyicide açın (örneğin, Not Defteri) ve ----BEGIN CERTIFICATE---- ve ---- END CERTIFICATE---- arasındaki tüm metni kopyalayın.
8. Control Hub'da Aygıtlar> cihazınızı seçin > Eylemler > XCommand'ı Çalıştır > Güvenlik > Sertifikalar > CSR > Bağlantı seçeneğine gidin.
9. Kopyalanan sertifika içeriğini Gövde bölümüne yapıştırın ve Yürüt'i seçin.
10. Sertifikanın Mevcut Sertifika altında göründüğünü doğrulamak için sayfayı yenileyin.

Basit Sertifika Kayıt Protokolü (SCEP), aygıtlarda 802.1X kimlik doğrulaması gibi kullanılan sertifikaların kaydedilmesi ve yenilenmesi için otomatik bir mekanizma sağlar. SCEP, cihazın güvenli ağlara erişimini manuel müdahale olmadan korumanıza olanak tanır.

• Cihaz yeni olduğunda veya fabrika ayarlarına sıfırlandığında, SCEP URL'sine ulaşmak için ağ erişimine ihtiyacı vardır. Cihaz, bir IP adresi almak için 802.1X olmadan ağa bağlanmalıdır.

• Kablosuz kayıt SSID'si kullanıyorsanız, ağ ile bağlantıyı yapılandırmak için giriş ekranlarından geçin.

• Hazırlık ağına bağlandıktan sonra, cihazın belirli bir başlangıç ekranında olması gerekmez.

• Tüm dağıtımlara uyması için SCEP Kayıt XAPI'leri, aygıt sertifikasını imzalamak için kullanılan CA sertifikasını depolamaz. Sunucu kimlik doğrulaması için, sunucunun sertifikasını doğrulamak için kullanılan CA sertifikasının XCommand Güvenlik Sertifikaları CA Add ile eklenmesi gerekir.

Ön Koşullar

Aşağıdaki bilgilere ihtiyacınız var:

• SCEP Sunucusunun URL'si.

• İmzalayan CA (Certificate Authority) sertifikasının parmak izi.

• Kaydolacak sertifika bilgileri. Bu, sertifikanın Konu Ad ını oluşturur.

  • Ortak isim

  • Ülke adı

  • Eyalet veya İl adı

  • Yer adı

  • Kuruluş adı

  • Organizasyon birimi

• Konu adı /C = /ST = /L = /O = /OU = /CN = olarak sıralanacaktır.

• SCEP Sunucusunu OTP veya Paylaşılan Gizli uygulayacak şekilde yapılandırdıysanız, SCEP Sunucusunun meydan okuma şifresi.

Aşağıdaki komutu kullanarak sertifika isteği anahtar çifti için gerekli anahtar boyutunu ayarlayabilirsiniz. Varsayılan 2048'dir.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Sertifikanın sona ermesi için bir yıl geçerli olan bir sertifika isteği gönderiyoruz. Sunucu tarafı ilkesi, sertifika imzalama sırasında son kullanma tarihini değiştirebilir.

Ethernet bağlantısı

Bir cihaz bir ağa bağlandığında, SCEP sunucusuna erişebildiğinden emin olun. Cihaz, bir IP adresi almak için 802.1x olmayan bir ağa bağlanmalıdır. Bir IP adresi elde etmek için cihazın MAC adresinin provizyon ağına verilmesi gerekebilir. MAC adresi kullanıcı arayüzünde veya cihazın arkasındaki etikette bulunabilir.

Cihaz ağa bağlandıktan sonra, TSH'ye erişmek için yönetici olarak cihaza SSH yapabilir, ardından Kayıt SCEP İsteğini göndermek için aşağıdaki komutu çalıştırabilirsiniz:

xCommand Security Certificates Services Enrollment SCEP Request 

SCEP Sunucusu imzalı aygıt sertifikasını döndürdüğünde, 802.1X'i etkinleştirin.

İmzalanan sertifikayı etkinleştirin:

xCommand Security Certificates Services Activate 

Sertifikayı etkinleştirdikten sonra cihazı yeniden başlatın.

Kablosuz bağlantı

Bir cihaz kablosuz bir ağa bağlandığında, SCEP sunucusuna erişebildiğinden emin olun.

Cihaz ağa bağlandıktan sonra, TSH'ye erişmek için yönetici olarak cihaza SSH yapabilir, ardından Kayıt SCEP İsteğini göndermek için aşağıdaki komutu çalıştırabilirsiniz:

xCommand Security Certificates Services Enrollment SCEP Request 

Cihaz imzalı sertifikayı SCEP sunucusundan alır.

İmzalanan sertifikayı etkinleştirin:

xCommand Security Certificates Services Activate

Etkinleştirdikten sonra, Wi-Fi ağını EAP-TLS kimlik doğrulaması ile yapılandırmanız gerekir.

xCommand Network Wifi Configure 

Varsayılan olarak, Wi-Fi yapılandırması sunucu doğrulama denetimlerini atlar. Yalnızca tek yönlü kimlik doğrulama gerekliyse, allowMissingCA 'yı varsayılan olarak True olarak tutun.

Sunucu doğrulamasını zorlamak için, isteğe bağlı allowMissingCA parametresinin False olarak ayarlandığından emin olun. Hizmet doğrulama hataları nedeniyle bağlantı kurulamıyorsa, aygıt sertifikasından farklı olabilecek sunucu sertifikasını doğrulamak için doğru CA'nın eklendiğini kontrol edin.

API açıklamaları

Rol: Yönetici, Entegratör

xCommand Security Certificates Services Enrollment SCEP Request

İmzalama için belirli bir SCEP sunucusuna bir CSR gönderir. CSR SubjectName parametreleri aşağıdaki sırayla oluşturulacaktır: C, ST, L, O, OU, CN.

Parametreler:

• URL (lar): <S: 0, 256>

  SCEP sunucusunun URL adresi.

• Parmak izi (r): <S: 0, 128>

  SCEP CSR'yi imzalayacak CA Sertifikası Parmak İzi.

• Ortak Adı (lar): <S: 0, 64>

  CSR Konu Adına “/CN =” ekler.

• ChallengeParola: <S: 0, 256>

  İmza erişimi için SCEP Sunucusundan OTP veya Paylaşılan Sır.

• ÜlkeAdı: <S: 0, 2>

  CSR Konu Adına “/C =” ekler.

• Eyalet veya Eyalet Adı: <S: 0, 64>

  CSR Konu Adına “/ST=” ekler.

• LocalityName: <S: 0, 64>

  CSR Konu Adına “/L =” ekler.

• Organizasyon Adı: <S: 0, 64>

  CSR Konu Adına “/O=” ekler.

• Organizasyonel Birim [5]: <S: 0, 64>

  CSR Konu Adına en fazla 5 “/OU =” parametresi ekler.

• SANDN [5]: <S: 0, 64>

  CSR Konu Alternatif Adına en fazla 5 Dns parametresi ekler.

• SanEmail [5]: <S: 0, 64>

  CSR Konu Alternatif Adına en fazla 5 E-posta parametresi ekler.

• SanIP [5]: <S: 0, 64>

  CSR Konu Alternatif Adına en fazla 5 Ip parametresi ekler.

• Sanuri [5]: <S: 0, 64>

  CSR Konu Alternatif Adına en fazla 5 Uri parametresi ekler.

xCommand Security Certificates Services Enrollment Profiles Delete

Artık sertifikaları yenilememek için bir kayıt profilini siler.

Parametreler:

• Parmak izi (r): <S: 0, 128>

  Kal dırmak istediğiniz profili tanımlayan CA sertifikası parmak izi. Aşağıdakileri çalıştırarak kaldırılacak mevcut profilleri görebilirsiniz:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Sertifika yenileme için Kayıt profillerini listeler.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Yenileme için verilen SCEP URL'sini kullanmak üzere CA parmak izi tarafından verilen sertifikalar için bir kayıt profili ekleyin.

Yenileme

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Sertifikayı otomatik olarak yenilemek için, cihazın sertifikayı istifa edebilecek SCEP Url'sine erişebilmesi gerekir.

Günde bir kez, cihaz 45 gün içinde süresi dolacak sertifikaları kontrol edecektir. Ci haz daha sonra, düzenleyicisi bir profille eşleşirse bu sertifikayı yenilemeye çalışacaktır.

NOT: Sertifika başlangıçta SCEP kullanılarak kaydedilmemiş olsa bile, tüm cihaz sertifikaları yenileme açısından kontrol edilir.

denizci

1. Doğrudan Eşleştirilmiş: Kayıtlı Sertifikalar “Eşleştirme” sertifikası olarak etkinleştirilebilir.

2. Uzaktan Eşleştirilmiş: Gezgine Çevre Birimi Kimliğini kullanarak yeni bir SCEP sertifikası kaydetmesini söyleyin:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Kayıt profilleri eşleştirilmiş gezginle otomatik olarak senkronize edilir.

3. Bağımsız Gezgin: Codec kaydı ile aynı

802.1x kimlik doğrulamasını doğrudan Ayarlar menüs Room Navigator ünden ayarlayabilirsiniz.

802.1x kimlik doğrulama standardı, Ethernet ağları için özellikle önemlidir ve ağ kaynaklarına yalnızca yetkili cihazlara erişim izni verilmesini sağlar.

Ağınızda yapılandırılan EAP yöntemine bağlı olarak farklı oturum açma seçenekleri mevcuttur. Örneğin:

• TLS: Kullanıcı adı ve şifre kullanılmaz.
• PEAP: Sertifikalar kullanılmaz.
• TTLS: Hem kullanıcı adı/şifre hem de sertifikalar gereklidir; ikisi de isteğe bağlı değildir.

Bir aygıtta istemci sertifikasını almanın birkaç yolu vardır:

1. PEM'i yükleyin: Güvenlik Sertifikaları Hizmetleri Ekle özelliğini kullanın.
2. CSR Oluşturma: Bir Sertifika İmzalama İsteği (CSR) oluşturun, imzalayın ve Güvenlik Sertifikaları CSR Oluştur/Bağlantı öğesini kullanarak bağlayın.
3. SCEP: Güvenlik Sertifikaları Hizmetleri Kayıt SCEP İsteğini Kullanın.
4. DHCP Seçeneği 43: Sertifika teslimatını bu seçenek aracılığıyla yapılandırın.

802.1x için sertifikaların ayarlanması ve güncellenmesi, bir sistemle eşleştirmeden önce veya fabrika ayar Room Navigator larına sıfırlandıktan sonra yapılmalıdır. Room Navigator

Varsayılan kimlik bilgileri yönetici ve boş şifredir. API'ye erişerek sertifika ekleme hakkında daha fazla bilgi için API kılavuzunun en son sürümüne bakın.

1. Sağ üst köşedeki düğmeye dokunarak veya sağ taraftan kaydırarak Navigator üzerindeki kontrol panelini açın. Ardından Ci haz ayarları'na dokunun.
2. Ağ bağlant ısına gidin ve Ethernet 'i seçin.
3. IEEE 802.1X Kullan seçeneğini açın.
   • Kimlik doğrulama kimlik bilgileriyle ayarlanmışsa, kullanıcı kimliğini ve parolasını girin. Ayrıca anonim bir kimlik de girebilirsiniz: Bu, gerçek kullanıcının kimliğini ilk kimlik doğrulama isteğinden ayırmanın bir yolunu sağlayan isteğe bağlı bir alandır.
   • TLS Doğrulamayı kapatabilir veya açabilirsiniz. TLS doğrulaması AÇIK olduğunda, istemci TLS el sıkışması sırasında sunucunun sertifikasının doğruluğunu aktif olarak doğrular. TLS doğrulaması KAPALI olduğunda, istemci sunucunun sertifikasının etkin doğrulamasını gerçekleştirmez.
   • API'ye erişerek bir istemci sertifikası yüklediyseniz İstemci Sertifikasını Kullan seçen eğini açın.
   • Kullanmak istediğiniz Genişletilebilir Kimlik Doğrulama Protokolü (EAP) yöntemlerini değiştirin. EAP yönteminin seçimi, belirli güvenlik gereksinimlerine, altyapıya ve istemci yeteneklerine bağlıdır. EAP yöntemleri, güvenli ve kimliği doğrulanmış ağ erişimini sağlamak için çok önemlidir.

Cisco artık Kablosuz 802.1x kimlik doğrulaması için yerleşik Güvenli Benzersiz Aygıt Tanımlayıcısı (SUDI) sertifikalarını kullanmayı desteklemektedir. Önceden, SUDI sertifikaları yalnızca kablolu/LAN 802.1x kimlik doğrulaması için destekleniyordu.

Bu özellik RoomOS 26.7. 1.7 ile başlayarak kullanılabilir. RoomOS 26 çalıştıran tüm cihazlar bu özelliği desteklerken, RoomOS 11'de desteklenmez.

Bu özelliği etkinleştirmek için, Wi-Fi ağı için Cisco Identity Services Engine (ISE) aşağıdaki CA sertifikalarını ISE TrustStore'a eklemelidir:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

802.1x kimlik doğrulaması için SUDI sertifikasını kullanma seçeneğini belirleyerek aygıt web arabirimini kullanarak SUDI sertifikasını etkinleştirebilirsiniz.

Alternatif olarak, aşağıdaki komutu kullanın:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

SUDI parmak izini bulmak için şunu çalıştırın:

xCommand Security Certificates Services Show

Parmak izi başarıyla etkinleştirilirse, eventlog/auditlog'da aşağıdakilere benzer giriş ler göreceksiniz:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

SUDI sertifik asını etkinleştirdikten sonra, Wi-Fi ağını EAP-TLS kimlik doğrulamasını kullanacak şekilde yapılandırın. Bu, Kimlik Doğrulama yöntemini EAP-TLS olarak seçerek cihazın dokunmatik panelinden veya ekranından yapılabilir.