Дякуємо за відгук.

Додавати сертифікати можна з локального веб-інтерфейсу пристрою. Крім того, ви можете додати сертифікати, запустивши команди API. Щоб дізнатися, які команди дозволяють додавати сертифікати, див. roomos .cisco.com.

Сервісні сертифікати та довірені сертифікати

Перевірка сертифіката може знадобитися при використанні TLS (Transport Layer Security). Сервер або клієнт може вимагати, щоб пристрій представив їм дійсний сертифікат перед налаштуванням зв'язку.

Сертифікати - це текстові файли, які перевіряють справжність пристрою. Ці сертифікати повинні бути підписані довіреним органом сертифікатів (CA). Щоб підтвердити підпис сертифікатів, на пристрої повинен знаходитися список довірених сертифікатів. Список повинен містити всі сертифікати сертифікатів, необхідні для перевірки сертифікатів як для журналу аудиту, так і для інших підключень.

Сертифікати використовуються для наступних служб: HTTPS-сервер, SIP, IEEE 802.1X та журналювання аудиту. На пристрої можна зберігати кілька сертифікатів, але для кожної служби одночасно включений лише один сертифікат.

У RoomOS жовтня 2023 року і пізніших версій, коли ви додаєте сертифікат CA до пристрою, він також застосовується до пристрою, Room Navigator якщо він підключений. Щоб синхронізувати раніше додані сертифікати CA з підклю Room Navigator ченим, необхідно перезавантажити пристрій. Якщо ви не хочете, щоб периферійні пристрої отримували ті ж сертифікати, що й пристрій, до якого підключено, встановіть параметр «Синхронізація сертифікатів безпеки периферійних пристроїв» на значення Fal se.

Для підключення Wi-Fi

Рекомендуємо додати надійний сертифікат CA для кожного пристрою Board, Desk або Room Series, якщо ваша мережа використовує автентифікацію WPA-EAP. Робити це потрібно індивідуально для кожного пристрою, і перед тим як підключитися до Wi-Fi.

Підтримувані формати сертифікатів і ключів

• Ця система приймає файли сертифікатів у PEM або бінарних форматах.

• Файли PEM можуть містити як сертифікат, так і приватний ключ в одному файлі.

• Приватний ключ повинен бути в тому ж форматі, що і сертифікат; тобто обидва повинні бути або PEM, або двійковими.

• Підтримувані формати бінарних сертифікатів включають файли X.509 з розширен нями.der, .cer або .crt та файли PKCS7 з розширенням.p7b.

• Підтримувані бінарні формати приватних ключів включають зашифровані ключі RSA або DSA, як правило, з розширеннями.key, .der або .p8.

Сертифікат і приватний ключ зберігаються в одному файлі на пристрої. Якщо аутентифікація не вдається, з'єднання не буде встановлено.

Адміністратори повинні створити запит на підписання сертифікатів (CSR) з Центру керування для зареєстрованих у хмарі пристрою Board, Desk або Room Series.

Виконайте наступні дії, щоб створити CSR та завантажити підписаний сертифікат на свій пристрій:

1. У поданні клієнта в Control Hub перейдіть на сторінку Пристрої та виберіть свій пристрій зі списку.
2. Перейдіть до Дії > Виконати XCommand > Безпека > Сертифікати > CSR > Створити.
3. Введіть необхідні дані сертифіката та виберіть Виконати.
4. Скопіюйте весь текст між ----ПОЧАТИ ЗАПИТ НА СЕРТИФІКАТ---- та ----ЗАКІНЧИТИ ЗАПИТ СЕРТИФІКАТА----.
5. Використовуйте Certificate Authority (CA) за вашим вибором для підписання КСВ.
6. Експортуйте підписаний сертифікат у форматі PEM (кодований Base64).
7. Відкрийте підписаний файл сертифіката в текстовому редакторі (наприклад, Блокноті) і скопіюйте весь текст між ----BEGIN CERTIFICATE---- та ----END CERTIFICATE----.
8. У Центрі керування перейдіть до Пристрої> виберіть пристрій > Дії > Виконати XCommand > Безпека > Серти фікати > CSR > Посилання.
9. Вставте скопійований вміст сертифіката в розділ Тіло і виберіть Виконати.
10. Оновіть сторінку, щоб переконатися, що сертифікат відображається в розділі «Існуючий сертифікат».

Протокол реєстрації сертифікатів (SCEP) забезпечує автоматизований механізм реєстрації та оновлення сертифікатів, які використовуються, наприклад, ау тентифікація 802.1X на пристроях. SCEP дозволяє підтримувати доступ пристрою до захищених мереж без ручного втручання.

• Коли пристрій новий або було скинуто до заводських налаштувань, йому потрібен доступ до мережі, щоб отримати URL-адресу SCEP. Пристрій повинен бути підключений до мережі без 802.1X для отримання IP-адреси.

• Якщо ви використовуєте SSID бездротової реєстрації, перейдіть через екрани інбордингу, щоб налаштувати з'єднання з мережею.

• Після підключення до мережі забезпечення пристрою не потрібно перебувати на певному екрані інбордингу.

• Щоб відповідати всім розгортанням, XAPI для реєстрації SCEP не зберігатимуть сертифікат CA, який використовується для підписання сертифіката пристрою. Для автентифікації сервера сертифікат CA, який використовується для перевірки сертифіката сервера, потрібно додати разом із сертифікатами безпеки XCommand CA Add.

передумови

Вам потрібна наступна інформація:

• URL-адреса сервера SCEP.

• Відбиток підписуючого сертифіката CA (Certificate Authority).

• Інформація про сертифікат для зарахування. Це складає Те матичну назву сертифіката.

  • Загальна назва

  • Назва країни

  • Назва штату або провінції

  • Назва місцевості

  • Назва організації

  • Організаційний підрозділ

• Ім'я теми буде впорядковано як /C = /ST = /L = /O = /OU = /CN =

• Пароль виклику сервера SCEP, якщо ви налаштували сервер SCEP для забезпечення OTP або спільного секрету.

Ви можете встановити необхідний розмір ключа для пари ключів запиту сертифіката за допомогою наступної команди. Типовим значенням є 2048.

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

Ми надсилаємо запит на сертифікат, який діє протягом одного року для закінчення терміну дії сертифіката. Політика на стороні сервера може змінювати дату закінчення терміну дії під час підписання сертифіката.

Підключення до мережі Ethernet

Коли пристрій підключено до мережі, переконайтеся, що він може отримати доступ до сервера SCEP. Пристрій повинен бути підключений до мережі без 802.1x для отримання IP-адреси. MAC-адресу пристрою може знадобитися надати мережі забезпечення, щоб отримати IP-адресу. MAC-адресу можна знайти в інтерфейсі користувача або на етикетці на задній панелі пристрою.

Після того, як пристрій підключено до мережі, ви можете SSH на пристрій як адміністр атор для доступу до TSH, а потім запустіть наступну команду, щоб надіслати запит SCEP про реєстрацію:

xCommand Security Certificates Services Enrollment SCEP Request 

Після того, як сервер SCEP повертає підписаний сертифікат пристрою, активуйте 802.1X.

Активуйте підписаний сертифікат:

xCommand Security Certificates Services Activate 

Перезавантажте пристрій після активації сертифіката.

Бездротове підключення

Коли пристрій підключено до бездротової мережі, переконайтеся, що він може отримати доступ до сервера SCEP.

Після того, як пристрій підключено до мережі, ви можете SSH на пристрій як адміністр атор для доступу до TSH, а потім запустіть наступну команду, щоб надіслати запит SCEP про реєстрацію:

xCommand Security Certificates Services Enrollment SCEP Request 

Пристрій отримує підписаний сертифікат від сервера SCEP.

Активуйте підписаний сертифікат:

xCommand Security Certificates Services Activate

Після активації потрібно налаштувати мережу Wi-Fi з аутентифікацією EAP-TLS.

xCommand Network Wifi Configure 

За замовчуванням конфігурація Wi-Fi пропускає перевірку перевірки сервера. Якщо потрібна лише одностороння автентифікація, залиште Al lowMissingCA за замовчуванням значення True.

Щоб примусити перевірку сервера, переконайтеся, що необов'язковий параметр allowMissingCA встановлено значення False. Якщо з'єднання неможливо встановити через помилки перевірки служби, перевірте, чи додано правильну сертифікацію сертифіката сервера, який може відрізнятися від сертифіката пристрою.

Описи API

Роль: Адміністратор, Інтегратор

xCommand Security Certificates Services Enrollment SCEP Request

Надсилає CSR на заданий сервер SCEP для підписання. Параметри CSR SubjectName будуть побудовані в наступному порядку: C, ST, L, O, OU, CN.

Параметри:

• URL-адреса (и): <S: 0, 256>

  URL-адреса сервера SCEP.

• Відбиток пальця (r): <S: 0, 128>

  Відбиток пальця сертифіката CA, який підпише запит SCEP CSR.

• Загальне ім'я (r): <S: 0, 64>

  Додає «/CN =» до назви теми КСВ.

• ПроблемПароль: <S: 0, 256>

  OTP або спільний секрет від сервера SCEP для доступу до підписання.

• Назва країни:<S: 0, 2>

  Додає «/C =» до назви теми КСВ.

• Назва штату або провінції: <S: 0, 64>

  Додає «/ST =» до назви теми КСВ.

• Назва місцевості: <S: 0, 64>

  Додає «/L =» до назви теми КСВ.

• Назва організації: <S: 0, 64>

  Додає «/O =» до назви теми КСВ.

• Організаційний підрозділ [5]: <S: 0, 64>

  Додає до 5 параметрів «/OU =» до назви теми КСВ.

• СандН [5]: <S: 0, 64>

  Додає до 5 параметрів Dns до альтернативної назви суб'єкта CSR.

• СанЕлектронна пошта [5]: <S: 0, 64>

  Додає до 5 параметрів електронної пошти до альтернативної назви теми КСВ.

• СаніП [5]: <S: 0, 64>

  Додає до 5 параметрів Ip до альтернативної назви суб'єкта CSR.

• СанУрі [5]: <S: 0, 64>

  Додає до 5 параметрів Uri до альтернативної назви суб'єкта CSR.

xCommand Security Certificates Services Enrollment Profiles Delete

Видаляє профіль реєстрації, щоб більше не поновлювати сертифікати.

Параметри:

• Відбиток пальця (r): <S: 0, 128>

  Відбиток пальця сертифіката CA, який ідентифікує профіль, який потрібно видалити. Ви можете побачити доступні профілі для видалення, запустивши:

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

Перелічує профілі реєстрації для продовження сертифіката.

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

Додайте профіль реєстрації для сертифікатів, виданих відбитком пальця CA, щоб використовувати вказану URL-адресу SCEP для продовження.

поновлення

xCommand Security Certificates Services Enrollment SCEP Profiles Set

Щоб автоматично поновити сертифікат, пристрій повинен мати доступ до URL-адреси SCEP, яка може відмовитися від сертифіката.

Один раз на день пристрій перевірятиме наявність сертифікатів, термін дії яких закінчується через 45 днів. Потім пристрій спробує поновити цей сертифікат, якщо його емітент відповідає профілю.

ПРИМІТКА. Усі сертифікати пристроїв перевірятимуться на продовження, навіть якщо сертифікат спочатку не був зареєстрований за допомогою SCEP.

Навігатор

1. Пряма пара: Зареєстровані сертифікати можна активувати як серти фікат «Спарювання».

2. Віддалене сполучення: повідомте навігатору зареєструвати новий сертифікат SCEP за допомогою ідентифікат ора периферійного пристрою:

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   Профілі реєстрації автоматично синхронізуються з парним навігатором.

3. Автономний навігатор: Те саме, що і реєстрація кодеків

Ви можете налаштувати автентифікацію 802.1x безпосередньо з меню «Н Room Navigator алаштування».

Стандарт аутентифікації 802.1x особливо важливий для мереж Ethernet, і він гарантує, що лише авторизовані пристрої отримують доступ до мережевих ресурсів.

На основі методу EAP, налаштованого у вашій мережі, доступні різні варіанти входу. Наприклад:

• TLS: Ім'я користувача та пароль не використовуються.
• PEAP: Сертифікати не використовуються.
• TTLS: Потрібні як ім'я користувача/пароль, так і сертифікати; жоден з них не є необов'язковим.

Отримати клієнтський сертифікат на пристрій можна декількома способами:

1. Завантаження PEM: Використовуйте функцію Додати служби сертифікатів безпеки.
2. Створіть CSR: Створіть запит на підписання сертифіката (CSR), підпишіть його та зв'яжіть його за допомогою сертифікатів безпеки CSR Create/Link.
3. SCEP: Використовуйте запит SCEP для реєстрації послуг сертифікатів безпеки.
4. DHCP Варіант 43: Налаштуйте доставку сертифікатів за допомогою цієї опції.

Налаштування та оновлення сертифікатів для 802.1x слід проводити перед сполученням із системою або після скидання Room Navigator до заводських налаштувань. Room Navigator

Облікові дані за замовчуванням - адміністратор та порожній пароль. Для отримання додаткової інформації про те, як додати сертифікати за допомогою доступу до API, перегляньте останню версію посібника з API.

1. Відкрийте панель управління на Навігаторі, торкнувшись кнопки у верхньому правому куті або проведіть пальцем з правого боку. Потім торкніться Налаштування пристрою.
2. Перейдіть до Мережевого підключення та виберіть Ethernet.
3. Увімк нути параметр Використовувати IEEE 802.1X.
   • Якщо автентифікацію налаштовано за допомогою облікових даних, введіть ідентифікацію користувача та парольну фразу. Ви також можете ввести анонімну особу: це необов'язкове поле, яке надає спосіб відокремити особу фактичного користувача від початкового запиту автентифікації.
   • Перевірка TLS можна вимкнути або увімкнути. Коли перевірка TLS увімкнено, клієнт активно перевіряє справжність сертифіката сервера під час рукостискання TLS. Коли перевірка TLS вимкнена, клієнт не виконує активну перевірку сертифіката сервера.
   • Якщо ви завантажили клієнтський сертифікат за допомогою доступу до API, увімкніть параметр Використовувати клієнтський сертифікат.
   • Увімкніть методи протоколу розширюваної автентифікації (EAP), які потрібно використовувати. Вибір методу EAP залежить від конкретних вимог безпеки, інфраструктури та можливостей клієнта. Методи EAP мають вирішальне значення для забезпечення безпечного та автентифікованого доступу до мережі.

Cisco тепер підтримує використання вбудованих сертифікатів Secure Unique Device Identifier (SUDI) для бездротової аутентифікації 802.1x. Раніше сертифікати SUDI підтримувалися лише для аутентифікації дротової/LAN 802.1x.

Ця функція доступна починаючи з RoomOS 26.7.1.7. Усі пристрої під управлінням RoomOS 26 підтримують цю функцію, тоді як вона не підтримується на RoomOS 11.

Щоб увімкнути цю функцію, Cisco Identity Services Engine (ISE) для мережі Wi-Fi повинен додати наступні сертифікати CA до ISE TrustStore:

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

Активувати сертифікат SUDI можна за допомогою веб-інтерфейсу пристрою, вибравши опцію використання сертифіката SUDI для аутентифікації 802.1x.

Крім того, скористайтеся наступною командою:

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

Щоб знайти відбиток пальця SUDI, запустіть:

xCommand Security Certificates Services Show

Якщо відбиток пальця активовано успішно, ви побачите записи, подібні до наступних у журналі eventlog /auditlog:

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

Після активації сертифіката SUDI налаштуйте мережу Wi-Fi на використання аутентифікації EAP-TLS. Це можна зробити з сенсорної панелі пристрою або екрану, вибравши метод аутентифікації як EAP-TLS.