感謝您的意見回饋。

您可以從裝置的本機 Web 介面新增憑證。 或者，您可以透過執行 API 命令來新增憑證。 若要查看哪些指令允許您新增憑證，請參閱 roomos .cisco.com。

服務憑證和信任的 CA

使用 TLS (傳輸層安全性) 時可能需要憑證驗證。 伺服器或用戶端可能會要求裝置在設定通訊之前向他們提供有效憑證。

憑證是驗證裝置真實性的文字檔案。 這些憑證必須由受信任的憑證授權單位 (CA) 簽署。 若要驗證憑證的簽名，必須位於裝置上有信任的 CA 清單。 清單必須包含所有需要的 CA，以驗證稽核記錄和其他連線的憑證。

憑證用於下列服務：HTTPS 伺服器、SIP、IEEE 802.1X 和稽核記錄。 您可以在裝置上儲存多個憑證，但一次只會針對每項服務啟用一個憑證。

在 RoomOS 2023 年 10 月及更高版本上，當您將 CA 憑證新增至裝置時，它也會套用至Room Navigator如果已連線。 若要將先前新增的 CA 憑證同步至連線Room Navigator，您必須重新啟動裝置。 如果您不希望周邊設備取得與連接的裝置相同的憑證，請將設定「周邊設備安全憑證同步至周邊設備」設定為 False。

用於無線網路連線

如果您的網路使用 WPA-EAP 驗證，建議您為每個主機板、桌面或房間系列裝置新增信任的 CA 憑證。 您必須在連線至 Wi-Fi 之前，您必須針對每個裝置個別執行此操作。

支援的憑證和金鑰格式

• 此系統接受 PEM 或二進位格式的憑證檔案。

• PEM 檔案可能包含相 同檔案中的憑證和私密金鑰。

• 私密金鑰必須與憑證相同的格式；也就是說，兩個金鑰都 必須是 PEM 或二進制。

• 支援的二進位憑證格式包括副檔名為 .der、.cer 或 .crt 的 X.509 檔案，以及副檔名為 .p7b 的 PKCS7 檔案。

• 支援的二進位私密金鑰格式包括 RSA 或 DSA 加密金鑰，通 常具有副檔名 .key、.der 或 .p8。

憑證和私密金鑰儲存在裝置上的相同檔案中。 如果驗證失敗，則無法建立連線。

管理員必須針對 雲端註冊主機板、桌面或房間系列裝置從 Control Hub 產生憑證簽署要求 (CSR)。

請依照下列步驟產生 CSR 並將已簽署的憑證上傳至您的裝置：

1. 從 Control Hub 的客戶檢視中，移至「裝置」頁面，然後 從清單中選取您的裝置。
2. 瀏覽至「動作」>「執行 XCommand」>「安全性」>「憑證」>「CSR」>「建立」。
3. 輸入所需的憑證明細，然後選取執行。
4. 複製----開始證書請求----和----結束證書請求----之間的所有文本。
5. 使用您Certificate Authority選擇的 (CA) 簽署企業社會責任。
6. 以 PEM (Base64 編碼) 格式匯出已簽署的憑證。
7. 在文字編輯器（例如記事本）中打開已簽署的憑證文件，並複製----BEGIN CERTIFICATE----和---- END CERTIFICATE----之間的所有文本。
8. 在控制中心中，導覽至「裝置」>「選取裝置」>「動作」>「執行 XCommand」>「 安全性」>「憑證」>「CSR」>「連結」。
9. 將複製的憑證內容貼到「本文」區段，然後選取「執行」。
10. 重新整理頁面以確認憑證是否出現在「現有憑證」下。

簡單憑證註冊通訊協定 (SCEP) 提供用於 註冊和重新整理憑證的自動機制，例如在裝置上使用的 802.1X 驗證。 SCEP 允許您維護設備對安全網絡的訪問權限，而 無需手動干預。

• 當設備是新的或已恢復出廠設置時，它需要網絡訪問才能訪問 SCEP URL。 裝置應連接至沒有 802.1X 的網路，才能取得 IP 位址。

• 如果使用無線註冊 SSID，請瀏覽入門畫面來設定與網路的連線。

• 一旦您連線到佈建網路，裝置就不需要在特定的上線畫面上。

• 為了配合所有部署，SCEP 註冊 XAPI 不會儲存用於簽署裝置憑證的 CA 憑證。 對於伺服器驗證，用於驗證伺服器憑證的 CA 憑證需要加入 XCommand 安全性憑證 CA 新增。

必要條件

您需要以下資訊：

• SCEP 伺服器的網址。

• 簽署 CA (Certificate Authority) 憑證的指紋。

• 要註冊的證書的信息。 這構成憑證的主旨名稱。

  • 普通名稱

  • 國家名稱

  • 州或省名稱

  • 地區名稱

  • 組織名稱

  • 組織單位

• 主題名稱將排序為 /C = /ST = /L = /O = /OU = /CN =

• 如果您已將 SCEP 伺服器設定為強制執行 OTP 或共用密碼，則 SCEP 伺服器的挑戰密碼。

您可以使用 下列指令設定憑證要求金鑰配對所需的金鑰大小。 預設值為 2048。

xConfiguration Security Enrollment KeySize: <2048, 3072, 4096>

我們會發送有效期一年的憑證請求，憑證到期。 伺服器端原則可以在憑證簽署期間變更到期日期。

乙太網路連線

當裝置連接到網路時，請確定裝置可以存取 SCEP 伺服器。 裝置應連接至沒有 802.1x 的網路，才能取得 IP 位址。 設備的 MAC 位址可能需要提供給佈建網路才能取得 IP 位址。 MAC 位址可以在 UI 或設備背面的標籤上找到。

裝置連接到網路之後，您可以以管理員身分 SSH 傳送至裝置以存取 TSH，然後執行下列命令以傳送註冊 SCEP 請求：

xCommand Security Certificates Services Enrollment SCEP Request 

SCEP 伺服器返回已簽署的裝置憑證後，請啟動 802.1X。

啟動已簽署的憑證：

xCommand Security Certificates Services Activate 

啟動憑證後重新啟動設備。

無線連線

當裝置連接至無線網路時，請確定裝置可以存取 SCEP 伺服器。

裝置連接到網路之後，您可以以管理員身分 SSH 傳送至裝置以存取 TSH，然後執行下列命令以傳送註冊 SCEP 請求：

xCommand Security Certificates Services Enrollment SCEP Request 

裝置會從 SCEP 伺服器接收已簽署的憑證。

啟動已簽署的憑證：

xCommand Security Certificates Services Activate

啟用後，您需要使用 EAP-TLS 驗證設定 Wi-Fi 網路。

xCommand Network Wifi Configure 

根據預設，Wi-Fi 組態會跳過伺服器驗證檢查。 如果只需要單向驗證，則將 AllowMissingCA 保持預設為 True。

若要強制伺服器驗證，請確定 AllowMissingCA 選用參數設定為 False。 如果由於服務驗證錯誤而無法建立連線，請檢查是否已新增正確的 CA，以驗證伺服器憑證可能與裝置憑證不同。

API 說明

角色:管理員、整合商

xCommand Security Certificates Services Enrollment SCEP Request

將 CSR 傳送至指定的 SCEP 伺服器以進行簽署。 企業社會責任主題名稱參數 將按以下順序構建：C、ST、L、O、OU、CN。

參數：

• 網址：<S: 0, 256>

  SCEP 伺服器的 URL 位址。

• 指紋 (r): <S: 0, 128>

  將簽署 SCEP 要求 CSR 的 CA 證書指紋。

• 共用名稱：<S: 0, 64>

  將「/CN=」新增至企業社會責任主旨名稱。

• 挑戰密碼：<S: 0, 256>

  來自 SCEP 伺服器的 OTP 或共用密碼，可存取簽署。

• 國家名稱:<S: 0, 2>

  將「/C=」新增至企業社會責任主旨名稱。

• 州或省名稱：<S: 0, 64>

  將「/ST=」新增至企業社會責任主旨名稱。

• 地區名稱：<S: 0, 64>

  將「/L=」新增至企業社會責任主旨名稱。

• 組織名稱：<S: 0, 64>

  將「/O=」新增至企業社會責任主旨名稱。

• 組織單位 [5]：<S: 0, 64>

  將最多 5 個「/OU=」參數加入至 CSR 主旨名稱。

• 桑德恩斯 [5]：<S: 0, 64>

  將最多 5 個 Dns 參數加入至 CSR 主旨替代名稱。

• 三郵箱 [5]: <S: 0, 64>

  將最多 5 個電子郵件參數加入至 CSR 主旨替代名稱。

• 沙尼普 [5]: <S: 0, 64>

  將最多 5 個 Ip 參數加入至 CSR 主旨替代名稱。

• 佐努里 [5]: <S: 0, 64>

  將最多 5 個 Uri 參數加入至 CSR 主旨替代名稱。

xCommand Security Certificates Services Enrollment Profiles Delete

刪除註冊設定檔以不再續約憑證。

參數：

• 指紋 (r): <S: 0, 128>

  識別您要移除的設定檔的 CA 憑證指 紋。 您可以透過執行以下步驟查看要移除的可用設定檔：

  xCommand Security Certificates Services Enrollment Profiles List

xCommand Security Certificates Services Enrollment Profiles List

列出用於憑證續訂的註冊設定檔。

xCommand Security Certificates Services Enrollment SCEP Profiles Set
    Fingerprint(r): <S: 0, 128>
    URL(r): <S: 0, 256>

新增由 CA 指紋發行的憑證的註冊設定檔，以使用指定 的 SCEP URL 進行續約。

續期

xCommand Security Certificates Services Enrollment SCEP Profiles Set

若要自動續訂憑證，裝置需要能夠存 取 SCEP 網址，以便取消憑證。

每天一次，設備將檢查是否有 45 天過期的憑證。 然後 ，如果設備的發行人符合設定檔，則該設備將嘗試續訂這些 憑證。

注意：即使憑證最初並未使用 SCEP 註冊，也會檢查所 有裝置憑證是否更新。

航海家

1. 直接配對：已註冊的憑證可以作為「配對」 憑證啟用。

2. 遠端配對：告訴導覽器使用周邊設備的 ID 註冊新 的 SCEP 憑證：

   xCommand Peripherals Security Certificates Services Enrollment SCEP Request 

   註冊設定檔會自動同步至配對導 覽器。

3. 獨立導覽器：與編解碼器註冊相同

您可以直接從「設定」功能表設定 802.1x 驗證。Room Navigator

802.1x 驗證標準對乙太網路特別重要，它確保只有授 權的裝置才能獲得對網路資源的存取權。

根據您網路中設定的 EAP 方法，可使用不同的登入選項。 例如：

• TLS：不使用使用者名稱和密碼。
• PEAP：不使用憑證。
• TTLS：使用者名稱/密碼和憑證都是必要的；這兩者都不是選擇性的。

有幾種方法可以在裝置上取得用戶端憑證：

1. 上傳 PEM：使用安全憑證服務新增功能。
2. 建立 CSR：產生憑證簽署請求 (CSR)，簽署並使用 安全憑證 CSR 建立/連結連結。
3. SCEP：使用安全憑證服務註冊 SCEP 請求。
4. DHCP 選項 43：透過此選項設定憑證傳遞。

在將 802.1x 憑證配對之前，或重設出廠設Room Navigator定和更新 802.1x 憑證。Room Navigator

預設認證是管理員和空白密碼。 如需如何透過存取 API 新增憑證的詳細資訊，請參閱最新版本的 API 指南。

1. 點擊右上角的按鈕或從右側滑動，開啟導航器上的控制面板。 然後點選裝置設定，
2. 前往網路連線，然後選取乙太網路。
3. 切換開啟「使用 IEEE 802.1X」。
   • 如果使用憑證設定驗證，請輸入使用者身分和密碼。 您也可以輸入匿名身份：這是一個選擇性欄位，可提供一種將實際使用者的身分與初始驗證請求分隔的方法。
   • 您可以將 TLS 驗證切換為關閉或開啟。 開啟 TLS 驗證時，用戶端會在 TLS 握手期間主動驗證伺服器憑證的真實性。 關閉 TLS 驗證時，用戶端不會對伺服器憑證執行作用中驗證。
   • 如果您透過存取 API 上傳用戶端憑證，請切換開啟「使用用戶端憑證」。
   • 切換您要使用的可擴充驗證通訊協定 (EAP) 方法。 EAP 方法的選擇取決於特定的安全性需求、基礎結構和用戶端功能。 EAP 方法對於啟用安全且經驗證的網路存取至關重要。

思科現在支援使用內建的安全唯一裝置識別碼 (SUDI) 憑證進行無線 802.1x 驗證。 以前，SUDI 憑證僅支援有線/ 局域網 802.1x 驗證。

此功能從 ROOMOS 26.7. 1.7 開始可用。 所有運行 RoomOS 26 的設備都支持此功能，而 RoomOS 11 不支持它。

若要啟用此功能，Wi-Fi 網路的思科身分識別服務引擎 (ISE) 必須將下列 CA 憑證新增至 ISE 信任存放區：

• https://www.cisco.com/security/pki/certs/ACT2SUDICA.cer
• https://www.cisco.com/security/pki/certs/hasudi.cer

您可以透過選取使用 SUDI 憑證進行 802.1x 驗證的選 項，使用裝置 Web 介面來啟用 SUDI 憑證。

或者，使用下列命令：

xCommand Security Certificates Services Activate Purpose: 802.1X fingerprint: <sudi_fingerprint>

要查 找 SUDI 指紋，請運行：

xCommand Security Certificates Services Show

如果 指紋成功激活，您將在事件日誌/稽核日誌中看到類似 下列 項目：

2026-07-15T18:52:18.245+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command about to execute '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.
2026-07-15T18:52:18.247+00:00 auditlog[2184]: user=remotesupport host=10.47.36.175/root/vega-xmlapi Command successfully executed '/Security/Certificates/Services/Activate Fingerprint: dff7c9bf506a0f73351b5f285ab759abc2c4ba6a Purpose: 802.1x'.

啟用 SUDI 憑證後，將 Wi-Fi 網路設定為使用 EAP-TLS 驗證。 您可以在裝置觸控面板或螢幕上選取驗證方法為 EAP-TLS 來 執行此操作。