Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Informations générales

Configuration

Vérification

Dépannage

Introduction

Ce document décrit l'authentification des certificats sur le serveur de communication vidéo (VCS). Un certificat identifie le VCS et contient les noms par lesquels il est connu et vers lesquels le trafic est acheminé. Si le VCS est connu sous plusieurs noms à ces fins, par exemple s'il fait partie d'un cluster, il doit être représenté dans les données de sujet X.509. Le certificat doit contenir le nom de domaine complet (FQDN) du VCS lui-même et du cluster. Si un certificat est partagé entre homologues de cluster, il doit répertorier tous les noms de domaine complet homologues possibles.

Un VCS a besoin de certificats pour :

- Connectivité HTTP sécurisée avec TLS (Transport Layer Security) (HTTPS)

- Connectivité TLS pour la signalisation SIP (Session Initiation Protocol), les terminaux et les zones voisines

- Connexions à d'autres systèmes tels que Cisco Unified Communications Manager (CUCM), Cisco TelePresence Management Suite (TMS), les serveurs LDAP (Lightweight Directory Access Protocol) et les serveurs syslog

Il utilise sa liste de certificats d'autorité de certification (CA) de confiance et les listes de révocation de certificats (CRL) associées afin de valider les autres périphériques qui y sont connectés.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- VCS - Versions 8.1 et 8.1.1

- Autorité de certification - Microsoft Windows 2008 R2 Enterprise

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

VCS version 8.1.1 prend en charge la fonctionnalité Collab Edge Mobile Remote Access (MRA) et nécessite une connexion TLS entre VCS-Control et VCS-Expressway.

Pour configurer TLS, vous devez télécharger les certificats nécessaires sur le VCS. Vous pouvez effectuer cette opération avec les trois méthodes suivantes :

- OpenSSL

- Autorité de certification d'entreprise

- Autorité de certification tierce

La connexion TLS entre VCS-Control et VCS-Expressway nécessite les deux attributs suivants :

- Authentification du client TLS

- Authentification du serveur Web TLS

Ce document se concentre sur la méthode de l'autorité de certification d'entreprise, car OpenSSL est déjà abordé dans le Guide de déploiement des certificats VCS.

Lorsque vous installez l'autorité de certification, le certificat du serveur Web est fourni par défaut. Cependant, ce modèle ne peut pas être utilisé pour générer le certificat pour la connexion TLS entre VCS-Control et VCS-Expressway. Si vous essayez de télécharger le certificat vers VCS, qui est généré uniquement avec l'attribut serveur Web, vous recevez cette erreur.

Afin de vérifier cela, sélectionnez Maintenance > Server Certificate. Cliquez sur Décoder le certificat. Cochez la section « Utilisation étendue des clés ».

Configuration

Comme indiqué précédemment, pour la connexion TLS, vous avez besoin d'un attribut client et serveur Web. Comme il n'existe pas de modèle par défaut, vous pouvez en créer un. Complétez ces étapes afin de générer le nouveau modèle avec les attributs Authentification du client TLS et Authentification du serveur Web TLS :

1. Ouvrez l'autorité de certification ou accédez à la console MMC (Microsoft Management Console). Cliquez sur Add/Remove Snapin et sélectionnez Certificate Authority. Développez l'autorité de certification dans le volet gauche et sélectionnez Modèles de certificat. Cliquez avec le bouton droit sur le modèle de certificat et sélectionnez Gérer.

2. Cliquez avec le bouton droit sur le modèle de certificat Web Server et sélectionnez Modèle dupliqué.

3. Cliquez sur la case d'option Windows Server 2003 Enterprise (si vous souhaitez que le modèle soit disponible pour l'inscription Web). Click OK.

4. Saisissez le nom du modèle dans le champ Nom d'affichage du modèle. Nommez le modèle en fonction de vos besoins, par exemple « client de serveur Web 2003 ».

5. Cliquez sur l'onglet Extensions et sélectionnez la stratégie Application. Cliquez sur Edit.

6. Dans la boîte de dialogue Ajouter une stratégie d'application, sélectionnez Authentification du client. Click OK.

7. Dans la boîte de dialogue Modifier l'extension des stratégies d'application, cliquez sur OK.

8. Dans la console MMC ou la fenêtre CA, cliquez avec le bouton droit sur Modèle de certificat. Sélectionnez Nouveau > Modèle de certificat à émettre.

9. Sélectionnez votre nouveau modèle dans la boîte de dialogue Activer les modèles de certificat. Vérifiez le modèle dans la colonne Fonction prévue. Click OK.

Vérification

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

Procédez comme suit :

1. Vérifiez que le modèle de certificat demandé est disponible afin d'émettre de nouveaux certificats.

Note: Le modèle ne sera disponible pour l'inscription Web que si vous avez sélectionné le modèle sous Windows 2003 lorsque vous avez créé le modèle de certificat.

2. Suivez la procédure pour générer la demande de signature de certificat (CSR) à partir de VCS et obtenir le certificat signé avec le nouveau modèle.

3. Vérifiez que l'attribut client et serveur Web est disponible sur le certificat.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Si le modèle n'est pas disponible pour l'inscription Web, déterminez si l'utilisateur qui accède à certsrv dispose des autorisations nécessaires.

Comme indiqué précédemment, le modèle Windows 2008 ne sera pas disponible pour l'inscription Web. Pour plus de détails, consultez Modèles d'inscription Web et de version 3 2008.