Unified Communications Manager : Installez un certificat (SSL) de confiance

Transcription

1 Unified Communications Manager : Installez un certificat (SSL) de confiance Contenu Introduction Conditions préalables Conditions requises Composants utilisés Conventions Certificat HTTPS (tomcat_cert) Installez le certificat signé d'autorité de certification pour Tomcat Demande de signature de certificat de téléchargement (CSR) Obtenez le certificat signé pour le CSR du CA Téléchargez le certificat à Cisco Unified Communications Manager Reprise Tomcat Dépannez Informations connexes Introduction Ce document décrit comment créer et installer un certificat ssl de confiance de sorte que les utilisateurs qui accèdent à <node>/ccmuser ne reçoivent pas une erreur de certificat. Conditions préalables Conditions requises Cisco recommande que vous ayez la connaissance de Cisco Unified Communications Manager 7.x. Composants utilisés Les informations dans ce document sont basées sur Cisco Unified Communications Manager 7.x. Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande. Conventions Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco. Certificat HTTPS (tomcat_cert) Cisco utilise les Certificats auto-signés dans des serveurs de Cisco Unified Communications Manager par défaut. À moins que ce certificat autosigné soit chargé dans le navigateur utilisé pour visualiser la page Web de Cisco Unified Communications Manager, un message de Sécurité de certificat apparaît dans le navigateur. Afin d'empêcher l'erreur provoquée par ce comportement par défaut, vous pouvez changer d'un certificat auto-signé en un certificat signé d'autorité de certification. Tant que le certificat racine d'autorité de certification utilisé pour signer le nouveau certificat de chat de gestionnaire de Cisco Unified Ccommunications est de confiance par le navigateur Web, aucun message de Sécurité n'apparaît. En outre, besoin de l'utilisateur de les assurer accèdent au serveur avec le même nom d'hôte qui est présent dans le certificat signé CA. Les étapes dans ce document expliquent comment changer d'un certificat auto-signé en un certificat signé CA.

2 Installez le certificat signé d'autorité de certification pour Tomcat Des Certificats sont basés sur des noms. Vous devez s'assurer que les noms sont corrects avant que vous génériez une demande de signature de certificat (CSR). Du SSH CLI, utilisez l' admin : affichez la commande de sécurité Web. Cette commande affiche le contenu du certificat en cours de sécurité Web. Vérifiez l' adresse Internet et le nom secondaire soumis de sorte que le nom correct soit donné quand vous générez le CSR. Référez-vous à CUCM téléchargeant le pour en savoir plus de Certificats GUI de Web de CCMAdmin. Maintenant, vous devez générer une demande de signature de certificat (CSR) de Cisco Unified Communications Manager. Procédez comme suit : Connectez-vous dans la page de gestion de SYSTÈME D'EXPLOITATION de Cisco Unified Communications Manager. Choisissez la Gestion de Sécurité > de certificat. Les affichages de fenêtre de liste de certificat. Cliquez sur le bouton CSR de générer. La boîte de dialogue de demande de signature de certificat de générer apparaît. Choisissez le service de chat de la liste déroulante de nom de certificat, et cliquez sur le bouton CSR de générer. Une fois le certificat est généré, le succès d'expositions de message d'état : Demande de signature de certificat générée. Demande de signature de certificat de téléchargement (CSR) Ensuite, de la même fenêtre du navigateur que vous avez généré la demande de signature de certificat (CSR), téléchargez le certificat. Procédez comme suit : Cliquez sur Download le CSR. La boîte de dialogue de demande de signature de certificat de téléchargement apparaît. Choisissez le chat pour le télécharger, et cliquez sur Download le CSR. Sauvegardez ce fichier à votre ordinateur local. Vous devez envoyer ce fichier aux autorités qui peuvent signer votre certificat. Si voulez que le certificat soit émis par Microsoft CA, terminez-vous ces étapes. Autrement, vous pouvez obtenir le CSR signé par votre Autorité de certification (CA) qui te fournit les Certificats. Obtenez le certificat signé pour le CSR du CA Vous devez prendre le CSR, le charger dans Microsoft CA, et le faire signer comme certificat d'internet. Une fois que vous faites ceci, vous obtenez un nouveau fichier *.csr qui affiche à un chemin où Microsoft CA est la racine de confiance et pas le Cisco Unified Communications Manager. Terminez-vous ces étapes afin de soumettre le CSR au CA si votre CA est un serveur Windows 200 Ouvrez le fichier CSR que vous avez téléchargé dans l'étape précédente dans Notepad et copiez le contenu entier comprenant COMMENCEZ LA DEMANDE DE CERTIFICAT et DEMANDE DE CERTIFICAT D'EXTRÉMITÉ-- lignes. Allez au serveur address>/certsrv de <certificate de afin d'ouvrir la page Web de serveur de Certificats. Demande de clic un certificat. La demande une page Web de certificat apparaît. Cliquez sur le lien avancé de demande de certificat. La page Web avancée de demande de certificat paraît. Cliquez sur la soumission une demande de certificat à l'aide d'un base-64-encoded CMC ou du fichier PKCS #10, ou soumettez une demande de renouvellement à l'aide d'un lien de fichier base-64-encoded PKCS #7.

3 La soumission une page Web de demande de certificat ou de demande de renouvellement apparaît. Collez le contenu que vous avez copié dans step1 dans le champ enregistré de demande, choisissez le serveur Web dans la liste déroulante de modèle de certificat, et cliquez sur Submit. La page Web émise par certificat paraît Sur le certificat délivré la page Web, cliquent sur le DER case d'option encodée, et puis cliquent sur Download le certificat. Sauvegardez le fichier à votre ordinateur local. Remarque: Répétez ces étapes afin de demander et télécharger les autres Certificats. Une fois que vous vous terminez ces étapes, tous les Certificats sont enregistrés sur votre ordinateur local. Téléchargez le certificat à Cisco Unified Communications Manager Afin d'établir une chaîne de certificat, obtenez et installez la racine/certificats intermédiaires pour le CA et le certificat ssl pour le chat. Terminez-vous ces étapes afin de télécharger le certificat à Cisco Unified Communications Manager : Connectez-vous dans la page de gestion de SYSTÈME D'EXPLOITATION de Cisco Unified Communications Manager. Choisissez la Gestion de Sécurité > de certificat. Les affichages de fenêtre de liste de certificat. Cliquez sur le bouton de certificat de téléchargement. Assurez-vous que le type de certificat est Tomcat-confiance. Cliquez sur le bouton Parcourir afin de localiser le certificat racine. Remarque: Le nom du fichier téléchargé est UC-DC_PEM.cer. C'est un fichier PEM encodé par Base6 Une fois qu'il obtient téléchargé à Cisco Unified Communications Manager, le nom du fichier est UC-DC.pem. Le gestionnaire de Cisco Unified Communicatoins change le nom du fichier à <SUBJECT CN>.pem Cliquez sur le bouton de fichier de téléchargement afin de télécharger le certificat. À la même page de certificat de téléchargement, choisissez le chat pour le nom de certificat. Écrivez UC-DC.pem dans le domaine de certificat racine. Remarque: C'est le certificat d'identité délivré par le CA spécifient le certificat racine.pem afin de se terminer la chaîne de certificat. Vous devez écrire UC-DC.pem parce que le certificat racine que vous vous êtes enregistré est nommé UC-DC_PEM.cer 9. Cliquez sur le bouton de fichier de téléchargement. Remarque: Si vous ne pouvez pas mettre à jour la Tomcat-confiance de certificat ssl, référez-vous à l'id de bogue Cisco CSCsv32209 (clients enregistrés seulement). Reprise Tomcat Redémarrez Tomcat du SSH CLI avec cette commande : admin: utils service restart Cisco Tomcat Quand les reprises de Tomcat, vous peuvent accéder au GUI de CCMAdmin ou de CCMUser afin de vérifier votre certificat nouvellement ajouté

4 est en service. Dépannez Ce message d'erreur est reçu en téléchargeant le nouveau certificat de Tomcat : Unable to read CA certificate Ce problème est provoqué par quand vous téléchargez le certificat après avoir changé l'extension de fichier de.crt à.pem. En conséquence, assurez-vous que le fichier que vous téléchargez a l'extension de.cer. Par exemple, le nom du fichier téléchargé est UC-DC_PEM.cer. C'est un fichier PEM encodé par Base6 Une fois qu'il obtient téléchargé à Cisco Unified Communications Manager, le nom du fichier est UC-DC.pem. Les nouveaux fichiers ITL échouent car les fichiers régénérés ne sélectionnent pas le fichier contenu sur les téléphones et l'authentification de périphérique des fichiers de configuration. Afin de supprimer les fichiers ITL manuellement, référez-vous au fichier ITL d'effacement. Un autre contournement possible est d'activer la Sécurité de batterie utilisant les fichiers CTL et des etokens USB. Avec la sécurité activée de batterie, aucun des contournements au-dessous du besoin d'être appliqué comme confiance n'est mis à jour par les etokens. Ceux-ci ne sont pas changés pendant une modification d'adresse Internet. Si la Sécurité de batterie n'est pas activée, exécutez les étapes suivantes basées sur le nombre de serveurs dans votre batterie. Scénario de batterie de serveur unique Repositionnement d'enable avant que vous apportiez la modification IP/Hostname. Procédez comme suit : Placez le cm préparent la batterie pour le repositionnement au paramètre de l'entreprise pre-8.0 pour rectifier. Reprise TV et TFTP. Remettez à l'état initial tous les téléphones. Les téléphones téléchargent un fichier ITL d'offre spéciale qui contient les sections vides de certificat TVS/TFTP. Le fichier vide ITL peut être vérifié en vérifiant des configurations > la Sécurité > rectifient la liste > l'itl sur le téléphone, les TV et le TFTP. Les sections devraient être vides. Exécutez la modification IP/Hostname et permettez les téléphones configurés pour le registre de repositionnement à la batterie. Une fois que tous les téléphones se sont avec succès enregistrés, le positionnement préparent la batterie pour le repositionnement à pre-8.0 à faux. Puis, reprise TV et TFTP, et remis à l'état initial tous les téléphones. Scénario multiserveur Principalement une question seulement quand tous les serveurs sont changés immédiatement sans remises de téléphone et transaction réussie TFTP. Les téléphones doivent avoir les serveurs primaires et secondaires TV dans un déploiement multiserveur pour valider les Certificats nouvellement régénérés/itl. Si un téléphone ne peut pas contacter le serveur primaire TV (dû à une modification de configuration récente), il retombe au secondaire. Les serveurs TV sont identifiés par le groupe cm assigné au téléphone. Assurez-vous que la modification IP/Hostname est exécutée sur seulement un serveur à la fois. Remarque: Si utilisant des fichiers CTL/jetons dans l'un ou l'autre de ces scénarios, vous devez réexécuter le client CTL après avoir apporté la modification au nom de domaine IP/Hostname/DNS. Référez-vous au pour en savoir plus de l'id de bogue Cisco CSCto59461 (clients enregistrés seulement). Informations connexes Exemple de configuration des certificats de domaine Unified Communications Manager 7.X Unified Communications Manager : Supprimer et régénérer un certificat de sécurité Exemples et notes techniques de configuration Cisco Systems Inc. Tous droits réservés.

5 Date du fichier PDF généré: 19 octobre