感謝您的意見回饋。

特此通知您即將發生的 Google Chrome 瀏覽器政策變更 ，該變更將影響公共 TLS 憑證的頒發，並概述 Cisco 將採取的措施，以確保繼續支援 Cisco Webex Calling Dedicated Instance 和 UCM 雲端環境中的相互 TLS (mTLS) 連線。

從 2027年 2 月^{1日開始，Google Chrome Trust 計畫中包含的公共憑證授權單位 (CA) 將停止簽署包含用戶端身分驗證 (clientAuth) 擴充金鑰用法 (EKU) 的憑證。}

自 2027年 3 月^{15日起，Google 將強制執行一項政策，要求 Chrome 根商店中的公共根 CA 頒發的憑證僅包含伺服器驗證 (serverAuth) EKU。因此，Chrome 根商店中的公共根 CA 將不再被允許頒發將伺服器驗證和用戶端身份驗證 EKU 組合在單一憑證中的憑證。}

專用實例 UC 應用程式目前使用包含伺服器驗證和用戶端驗證 EKU 的單一憑證來建立 mTLS 連線的信任。 UC 應用程式版本 V15su5 現在可支援單獨 的伺服器和用戶端憑證。

目前，專用實例使用 Google Chrome Root Store 的一部分 IdenTrust Commercial Root CA 1 來簽署這些憑證。然而，由於 Chrome 即將實施政策變更，從 2027 年 2 月 1 日^st開始，該 CA 將不再被允許頒發包含兩個 EKU 的憑證。

受影響的證書

以下UC應用程式憑證使用公共根CA簽名，通常用於mTLS連線：

加州大學申請	憑證類型	常見的 mTLS 連接
Cisco Unified CM / 中小企業	湯姆貓 / Tomcat-ECDSA	LDAP、Filebeat、Logstash、基於 MRA 的 SIP OAuth、遠端 Syslog
	呼叫管理器 / CallManager-ECDSA	SIP 中繼、節點間和群集間連接
Cisco Unity Connection	湯姆貓 / Tomcat-ECDSA	SIP代理，SIP中繼
Cisco IM and Presence	湯姆貓 / Tomcat-ECDSA	—
	杯子 / 杯狀 ECDSA	使用 CUCM、第三方用戶端和 SIP 代理程式保護 SIP 連接
	杯-xmpp / cup-xmpp-ECDSA	XMPP 同盟
Cisco Emergency Responder	湯姆貓 / Tomcat-ECDSA	—
Cisco Expressway	伺服器憑證	Mobile and Remote Access (MRA)

證書不受影響。

專用實例中所有剩餘的憑證均為自簽名憑證。有關更多信息，請參閱 專用實例證書管理。

為了因應 Chrome 策略變更並保持 mTLS 功能的不間斷運行，思科將採取以下措施：

• 自 2026 年 6 月 1 日^{日起，思科將把用於}簽署專用實例 UC 應用程式憑證的公共根 CA 從 IdenTrust Commercial Root CA 1 切換到 IdenTrust Public Sector Root CA 1，用於所有憑證續約。

  證書續約流程保持不變，控制中心警報中心會在續期安排後透過「維護和中斷」警報通知客戶。有關更多信息，請參閱 維護警報。

• 憑證將繼續包含伺服器和用戶端身份驗證 EKU。

在客戶環境中任何使用 TLS 或 mTLS 連線將專用實例中的 UC 應用程式連接到客戶的第三方應用程式或服務，都必須使用與專用實例中的 UC 應用程式相同的憑證鏈。如果客戶系統或應用程式的信任庫中尚未包含所需的 IdentTrust 憑證授權機構，則必須匯入新的根憑證以防止問題。 TLS/mTLS 連線失敗。

1. 審核目前 mTLS 連接
   1. 識別使用 TLS 或 mTLS 連接到專用實例中的 UC 應用程式的應用程式、第三方服務或整合。
   2. 驗證這些應用程式是否信任新的公共根憑證授權單位：IdentTrust 公共部門根 CA 1。
2. 新增的公共根憑證授權單位（如果需要）
   1. 如果 IdenTrust 公共部門根 CA 1 尚未在客戶應用程式或系統信任儲存中受到信任，則必須將其新增。
   2. 也可以透過以下連結下載：

      根 CA:IdenTrust Public Sector Root CA 1

      備用下載頁面:IdentTrust 支援下載

      Issuing/Sub CA:IdenTrust 公共部門伺服器 CA 1。

   對於大多數應用程式來說，如果伺服器提供完整的憑證鏈，信任根 CA 就足夠了。這 Issuing/Sub 對於需要單獨匯入中間憑證的應用程式來說，包含 CA 是有益的。

IdenTrust 公共部門根 CA 1 預設受以下作業系統和平台的標準信任儲存的信任：

• Microsoft Windows
• macOS
• iOS / iPadOS
• Android

因此，客戶只需驗證這些平台的信任存放區， 以確認已列出新的公用 CA 的根憑證。 這適用於使用 這些平台上預設信任存放區的端點/用戶端或第三方系統。 以下各節提供更新每個平台上信任存放區的說明。 執行這些更新的責任由客戶或合作夥伴負責；以下連結和 步驟參考各個平台供應商的線上文章，而思科會以最大的 努力為基礎提供協助。 為了進一步澄清，您必須直接與相應的平台 供應商合作。

Android 信任商店筆記

IdenTrust 公共部門根 CA 1 已包含在 Android 系統 CA 儲存中，並且在目前支援的 Android 版本上預設受信任。Android 沒有提供針對各個根憑證引入日期的公開的、特定於版本的映射關係。信任是透過 Android 系統 CA 商店進行管理，並透過作業系統更新和 Google Play 系統更新進行分發。

除非 Android 系統信任儲存已被裝置策略、企業管理控製或應用程式特定的信任限制明確修改，否則無需客戶採取任何行動。

IdenTrust 公共部門根 CA 1 未包含在 Google Chrome 根商店中。

為確保 Google Chrome 信任在此根 CA 下頒發的證書，客戶必須確保在 Chrome 用於本地信任決策的作業系統層級上明確信任根證書。

Windows – 需要信任配置

為確保根 CA 受 Windows 上的 Google Chrome 信任，必須將 IdenTrust 公共部門根 CA 1 匯入至下列位置之一：

• 本機 → 受信任的根憑證授權單位

  （推薦用於企業管理系統）

或

• 目前使用者 → 受信任的根憑證授權單位

  （針對使用者級信任）

使用 Windows 憑證匯入精靈匯入到這些位置（包括透過群組原則）的憑證受 Google Chrome 信任。

僅存在於 Windows 第三方程式庫中的根憑證不會被 Chrome 自動信任，除非按照上述說明顯式匯入。

Mac OS – 需要信任配置

為確保 macOS 上的 Google Chrome 信任根 CA，必須將 IdenTrust 公共部門根 CA 1 新增至 macOS 鑰匙圈並明確信任：

1. 將證書匯入系統鑰匙圈（建議）或登入鑰匙圈。

2. 開啟證書並設定：

   • 使用此證書時：永遠信任

     （或至少使用 SSL：）始終信任）

一旦系統或使用者層級信任該證書，Google Chrome 就會將該證書視為受信任的證書。

管理員可以透過存取以下路徑來驗證 Chrome 信任哪些平台憑證：chrome://certificate-manager/localcerts/platformcerts

有關更多信息，請參閱 Google 常見問題。

第三方整合需要先獲得客戶的驗證。

對於任何建立的第三方應用程式或服務 TLS/mTLS 與專用實例 UC 應用程式的連接，客戶必須遵循 影響專用實例的公共 CA 憑證變更中提到的操作。

如果需要更新信任庫，您需要直接與第三方供應商或 IT 管理員合作。修改第三方信任儲存或憑證驗證行為不在思科的職責範圍內，思科無法協助進行第三方憑證信任設定或故障排除。

客戶可以使用 IdenTrust 測試憑證來驗證新的公用根 CA。

如果頁面成功開啟，則會在您的 環境中受信任「IdenTrust 公共部門根 CA 1」。

如果您對本次變更、Google Chrome 瀏覽器原則或專用實例中的憑證更新有任何疑問，請在 Control Hub 的 UC 應用程式生命週期下開啟服務要求。

擁有自己的網域名稱並自行管理 UC 應用程式憑證續約，且未將網域權限委託給 Cisco 以簽署 UC 應用程式憑證的 UCM Cloud (UCMC) 客戶，將負責直接與他們選擇的公共憑證授權單位合作以解決此變更。 

這些客戶還應遵循適用的統一通訊應用產品（ Cisco 本地呼叫產品 和 Cisco Expressway）關於憑證使用和與即將推出的公共 CA 和瀏覽器政策變更相關的補救措施的建議。更多信息，請參閱 角色和職責。 

隨著 UC 應用程式對獨立伺服器和用戶端憑證的支援逐步推出，思科將繼續提供更新。請參閱此文件以獲取最新資訊。

EKU憑證變更：Cisco 本地協作客戶現在必須採取的行動