感谢您的反馈。

您可以从设备的本地 Web 界面添加证书。 或者，您可以通过运行 API 命令来添加证书。 要查看哪些命令允许你添加证书，请参阅 roomos .cisco.com。

服务证书和可信 CA

使用 TLS（传输层安全）时可能需要进行证书验证。 在设置通信之前，服务器或客户端可能要求设备向其出示有效的证书。

证书是验证设备真实性的文本文件。 这些证书必须由可信证书颁发机构 (CA) 签署。 要验证证书的签名，设备上必须有可信 CA 的列表。 该列表必须包括验证审计日志记录和其他连接的证书所需的所有 CA。

证书用于以下服务：HTTPS 服务器、SIP、IEEE 802.1X 和审计日志。 您可以在设备上存储多个证书，但每次只能为每项服务启用一个证书。

在 2023 年 10 月及以后的 RoomOS 上，当您向设备添加 CA 证书时，Room Navigator如果设备已连接，该证书也将应用于该设备。 要将之前添加的 CA 证书同步到已连接的设备Room Navigator，必须重新启动设备。 如果您不希望外围设备获得与其连接的设备相同的证书，请将配置外围设备安全证书 synctoPeripher als 设置为 False。

用于 Wi-Fi 连接

如果您的网络使用 WPA-EAP 身份验证，我们建议您为每台 Board、Desk 或 Room 系列设备添加可信 CA 证书。 在连接到 Wi-Fi 之前，必须对每台设备单独执行此操作。

支持的证书和密钥格式

• 该系统接受 PEM 或二进制格式的证书文件。

• PEM 文件可以在同一个文件中 同时包含证书和私钥。

• 私钥必须采用与证书相同的格式；也就是说，两者都 必须是 PEM 或二进制。

• 支持的二进制证书格式包括扩展名为 .der、.c er 或 .crt 的 X.509 文件，以及扩展名为 .p7b 的 PKCS7 文件。

• 支持的二进制私钥格式包括 RSA 或 DSA 加密密钥， 通常扩展名为 .key、.der 或 .p8。

证书和私钥存储在设备上的同一个文件中。 如果身份验证失败，将无法建立连接。

管理员必须从 Control Hub 为 云注册的主板、桌面或房间系列设备生成证书签名请求 (CSR)。

按照以下步骤生成 CSR 并将签名证书上传到您的设备：

1. 从 Control Hub 的客户视图中，转到设备页面，然后 从列表中选择您的设备。
2. 导航到操作 > 运行 xCommand > 安全 > 证书 > CSR > 创建。
3. 输入所需的证书详细信息，然后选择执行。
4. 复制----BEGIN CERTIFICATE REQUEST----和----结束证书请求----之间的所有文本。
5. 使用您选择的 Certificate Authority (CA) 签署 CSR。
6. 以 PEM（Base64 编码）格式导出签名证书。
7. 在文本编辑器（例如记事本）中打开已签名的证书文件，然后复制----BEGIN CERTIFICATE----和----END CERTIFICATE---- 之间的所有文本。
8. 在 Control Hub 中，导航到设备 > 选择您的设备 > 操作 > 运行 xCommand > 安全 > 证书 > CSR > 链接。
9. 将复制的证书内容粘贴到正文部分，然后选择执行。
10. 刷新页面以验证证书是否显示在 “现有证书” 下。

简单证书注册协议 (SCEP) 为 注册和刷新设备上使用的 802.1X 身份验证等证书提供了一种自动机制。 SCEP 允许您在不进行人工干预的情况下保持设备对安全 网络的访问。

• 当设备是新设备或已恢复出厂设置时，它需要网络访问权限才能访问 SCEP URL。 设备应在没有 802.1X 的情况下连接到网络以获取 IP 地址。

• 如果使用无线注册 SSID，请浏览入门屏幕以配置与网络的连接。

• 连接到配置网络后，设备无需出现在特定的入门屏幕上。

• 为了适应所有部署，SCEP 注册 xAPI 不会存储用于签署设备证书的 CA 证书。 对于服务器身份验证，用于验证服务器证书的 CA 证书需要与 xCommand 安全证书 CA Add 一起添加。

必要条件

你需要以下信息：

• SCEP 服务器的 URL。

• 签名 CA (Certificate Authority) 证书的指纹。

• 要注册的证书信息。 这构成了证书的使用者名称。

  • 常用名

  • 国家名称

  • 州或省名称

  • 地方名称

  • 组织名称

  • 组织单位

• 主题名称将按照 /C = /ST = /L = /O = /OU = /CN = 排序

• 如果您已将 SCEP 服务器配置为强制执行 OTP 或共享密钥，则为 SCEP 服务器的质询密码。

您可以使用 以下命令设置证书请求密钥对所需的密钥大小。 默认为 2048。

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

我们发送的证书申请在证书到期后有效期为一年。 服务器端策略可以在证书签名期间更改到期日期。

以太网连接

当设备连接到网络时，请确保它可以访问 SCEP 服务器。 设备应连接到没有 802.1x 的网络以获取 IP 地址。 可能需要向配置网络提供设备的 MAC 地址才能获取 IP 地址。 MAC 地址可以在用户界面或设备背面的标签上找到。

设备连接到网络后，您可以以管理员身份通过 SSH 连接到设备以访问 TSH，然后运行以下命令发送注册 SCEP 请求：

xCommand Security Certificates Services Enrollment SCEP Request 

SCEP 服务器返回签名的设备证书后，激活 802.1X。

激活已签名的证书：

xCommand Security Certificates Services Activate 

激活证书后重启设备。

无线连接

当设备连接到无线网络时，请确保它可以访问 SCEP 服务器。

设备连接到网络后，您可以以管理员身份通过 SSH 连接到设备以访问 TSH，然后运行以下命令发送注册 SCEP 请求：

xCommand Security Certificates Services Enrollment SCEP Request 

设备从 SCEP 服务器接收签名证书。

激活已签名的证书：

xCommand Security Certificates Services Activate

激活后，您需要使用 EAP-TLS 身份验证配置 Wi-Fi 网络。

xCommand Network Wifi Configure 

默认情况下，Wi-Fi 配置会跳过服务器验证检查。 如果只需要单向身份验证，则保持 allowMissingCA 默认为 True。

要强制进行服务器验证，请确保将 allowMissingCA 可选参数设置为 False。 如果由于服务验证错误而无法建立连接，请检查是否添加了正确的 CA 以验证可能与设备证书不同的服务器证书。

API 描述

角色：管理员、集成商

xCommand Security Certificates Services Enrollment SCEP Request

将 CSR 发送到给定的 SCEP 服务器进行签名。 CSR subjectName 参数 将按以下顺序构造：C、ST、L、O、OU、CN。

参数：

• 网址 (r): <S: 0, 256>

  SCEP 服务器的 URL 地址。

• 指纹 (r): <S: 0, 128>

  用于签署 SCEP 请求 CSR 的 CA 证书指纹。

• 通用名称 (r): <S: 0, 64>

  在 CSR 主题名称中添加 “/CN=”。

• 挑战密码：<S: 0, 256>

  来自 SCEP 服务器的 OTP 或共享密钥，用于访问签名。

• 国家名称：<S: 0, 2>

  在 CSR 主题名称中添加 “/C=”。

• 州或省名称：<S: 0, 64>

  在 CSR 主题名称中添加 “/ST=”。

• 地方名称：<S: 0, 64>

  在 CSR 主题名称中添加 “/L=”。

• 组织名称：<S: 0, 64>

  在 CSR 主题名称中添加 “/O=”。

• 组织单位 [5]：<S: 0, 64>

  向 CSR 主题名称添加最多 5 个 “/OU=” 参数。

• sandNS [5]：<S: 0, 64>

  向 CSR 主题备用名称添加最多 5 个 Dns 参数。

• SanEmail [5]：<S: 0, 64>

  向 CSR 主题备用名称添加最多 5 个电子邮件参数。

• SaniP [5]：<S: 0, 64>

  向 CSR 主题备用名称添加最多 5 个 Ip 参数。

• SanUri [5]：<S: 0, 64>

  向 CSR 主题备用名称添加最多 5 个 Uri 参数。

xCommand Security Certificates Services Enrollment Profiles Delete

删除注册配置文件以不再续订证书。

参数：

• 指纹 (r): <S: 0, 128>

  用于识别您要 删除的配置文件的 CA 证书指纹。 您可以通过运行以下命令查看要删除的可用配置文件：

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

列出证书续订的注册配置文件。

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

为 CA 指纹颁发的证书添加注册配置文件，以使用 给定的 SCEP URL 进行续订。

续订

xCommand Security Certificates Services Enrollment SCEP Profiles Set

为了自动续订证书，设备需要能够 访问可以签发证书的 SCEP Url。

设备将每天检查一次将在45天后过期的证书。 如果其颁发者与 配置文件相匹配，则 设备将尝试续订这些证书。

注意：将检查所有设备证书是否续订，即使证书最初 不是使用 SCEP 注册的。

领航员

1. 直接配对：已注册的证书可以作为 “配对” 证书激活。

2. 远程配对：告诉导航器使用 外围设备的 ID 注册新的 SCEP 证书：

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   注册配置文件会自动同步到配对的 导航器。

3. 独立导航：与编解码器注册相同

您可以直接从的 “设置” 菜单设置 802.1x 身份验证。Room Navigator

802.1x 身份验证标准对以太网网络尤其重要，它 确保只有经过授权的设备才能访问网络资源。

根据网络中配置的 EAP 方法，有不同的登录选项可供选择。 例如：

• TLS：不使用用户名和密码。
• PEAP：未使用证书。
• TTLS：用户名/密码和证书都是必填项；两者都不是可选的。

有几种方法可以在设备上获取客户证书：

1. 上传 PEM：使用安全证书服务添加功能。
2. 创建 CSR：生成证书签名请求 (CSR)，对其进行签名，然后使用 安全证书 CSR 创建/链接将其关联。
3. SCEP：利用安全证书服务注册 SCEP 请求。
4. DHCP 选项 43：通过此选项配置证书交付。

应在将 802.1x 与系统配对之前或在恢复出厂设置之后设置和更新 802.1x 的证书。Room Navigator Room Navigator

默认凭据是管理员和空白密码。 有关如何通过访问 API 添加证书的更多信息，请参阅最新版本的 API 指南。

1. 点按右上角的按钮或从右侧滑动，在导航器上打开控制面板。 然后点击设备设置。
2. 转到 “网络连接” 并选择 “以太网”。
3. 开启使用 IEEE 802.1X。
   • 如果使用凭据设置身份验证，请输入用户身份和密码。 您也可以输入匿名身份：这是一个可选字段，它提供了一种将实际用户的身份与初始身份验证请求区分开来的方法。
   • 您可以关闭或打开 TLS 验证。 启用 TLS 验证后，客户端会在 TLS 握手期间主动验证服务器证书的真实性。 关闭 TLS 验证后，客户端不对服务器的证书执行主动验证。
   • 如果您通过访问 API 上传了客户端证书，请打开 “使用客户端证书”。
   • 切换要使用的可扩展身份验证协议 (EAP) 方法。 EAP 方法的选择取决于特定的安全要求、基础架构和客户端功能。 EAP 方法对于实现安全和经过身份验证的网络访问至关重要。

思科现在支持使用内置的安全唯一设备标识符 (SUDI) 证书进行无线 802.1x 身份验证。 以前，SUDI 证书仅 支持有线/局域网 802.1x 身份验证。

此功能从 RoomOS 26. 7.1.7 开始可用。 所有运行 RoomOS 26 的设备都支持此功能，而 RoomOS 11 不 支持此功能。

要启用此功能，Wi-Fi 网络的思科身份服务引擎 (ISE) 必须将以下 CA 证书添加到 ISE TrustStore：

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

通过选择使用 SUDI 证书进行 802.1x 身份验证的 选项，您可以使用设备 Web 界面激活 SUDI 证书。

或者，使用以下命令：

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

要 查找 SUDI 指纹，请运行：

xCommand Security Certificates Services Show

如果 成功激活指纹，您将在 事件日志/审计日志中看到类似以下内容 的条目：

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

激活 SUDI 证书后，将 Wi-Fi 网络配置为使用 EAP-TLS 身份验证。 这可以通过设备触摸屏或屏幕选择 EAP-TLS 身份验证 方法来完成。