تكوين التسجيل والتجديد التلقائي للشهادات من خلال CAPF Online CA

خيارات التنزيل

  • PDF     (1.9 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (1.8 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (1.5 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١ أكتوبر ٢٠٢٦
معرّف المستند:214501

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يصف هذا المستند التسجيل والتجديد التلقائي للشهادة عبر ميزة CAPF Online ل Cisco Unified Communications Manager (CUCM).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • مدير الاتصالات الموحدة من Cisco
  • شهادات X.509
  • خادم Windows
  • Windows Active Directory (AD)
  • خدمات معلومات الإنترنت ل Windows (IIS)
  • مصادقة مدير LAN (NTLM) NT (التقنية الجديدة)

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

  • CUCM الإصدار 12.5.1.1000-22
  • نظام التشغيل Windows Server 2012 R2
  • هاتف IP طراز CP-8865 / البرامج الثابتة: SIP 12-1-1SR1-4 و 12-5-1SR2.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

يغطي هذا المستند تكوين الميزة والموارد ذات الصلة للحصول على أبحاث إضافية.

التحقق من صحة وقت الخادم وتاريخه

تأكد من أن خادم Windows به التاريخ والوقت والمنطقة الزمنية الصحيحة التي تم تكوينها لأنها تؤثر على أوقات الصلاحية لشهادة المرجع المصدق الجذر للخادم (CA) وكذلك الشهادات التي تم إصدارها.

تحديث اسم كمبيوتر الخادم

بشكل افتراضي، يحتوي اسم كمبيوتر الخادم على اسم عشوائي مثل WIN-730K65R6BSK. أول شيء يجب القيام به قبل تمكين خدمات مجال AD هو التأكد من تحديث اسم كمبيوتر الخادم إلى ما تريد أن يكون اسم مضيف الخادم واسم مصدر المرجع المصدق الجذر قبل نهاية التثبيت؛ وإلا فإنه يتطلب الكثير من الخطوات الإضافية لتغيير هذا بعد تثبيت خدمات AD.

  1. انتقل إلى الخادم المحلي، حدد اسم الكمبيوتر لفتح خصائص النظام
  2. حدد الزر تغيير واكتب اسم الكمبيوتر الجديد.
    Update Server Computer Name
  3. قم بإعادة تشغيل الخادم ليتم تطبيق التغييرات.

التكوين

خدمات الإعلانات، المستخدم وقالب الشهادة

تمكين خدمات Active Directory وتكوينها

  1. في مدير الخادم، حدد إضافة أدوار وميزات، حدد تثبيت مستند إلى دور أو مستند إلى ميزات.
  2. أختر الخادم من التجمع (يجب أن يكون هناك خادم واحد فقط في التجمع).
  3. حدد خدمات مجال خدمة Active Directory.
    Server Manager Dashboard
  4. تابع تحديد الزر التالي ثم تثبيت.
  5. حدد زر إغلاق بعد أن يتم التثبيت.
  6. تظهر علامة تبويب تحذير تحت Server Manager > AD DS مع تكوين العنوان المطلوب لخدمات مجال Active Directory. حدد المزيد من الارتباطات ثم الإجراء المتوفر لبدء معالج الإعداد.
    All Servers Task Details
  7. أكمل المطالبات في معالج إعداد المجال، ثم أضف غابة جديدة باسم المجال الجذر المطلوب وقم بإلغاء تحديد مربع DNS عند توفرها. قم بتعريف كلمة مرور DSRM.
    Deployment Configuration
    Domain Controller Options
  8. حدد اسم مجال NetBIOS (أستخدم MICHAMEN1 في هذا المختبر).
  9. أكمل المعالج. ثم يقوم الخادم بإعادة التشغيل لإكمال التثبيت.
  10. حدد اسم المجال الجديد في المرة التالية التي تقوم فيها بتسجيل الدخول. على سبيل المثال، MICHAMEN1\Administrator.
    Server Manager AD DS

تمكين خدمات الشهادات وتكوينها

  1. في مدير الخادم، حدد إضافة أدوار وميزات.
  2. حدد خدمات شهادات Active Directory وأضف الميزات المطلوبة (تم تحديد جميع الميزات المتاحة من خدمات الأدوار التي تم تمكينها لهذا المختبر).
  3. بالنسبة لخدمات الأدوار، تحقق من تسجيل ويب ل Certificate Authority.
    Select Role Services - Certificate Authority Web Enrollment
    Select Role Services - Web Server
  4. يجب أن تظهر علامة تبويب التحذير تحت مدير الخادم > AD DS مع تكوين العنوان المطلوب لخدمات شهادات Active Directory؛ حدد الارتباط الأكثر ثم الإجراء المتاح.
    All Servers Task Details AD CS

أتمت هذا steps في ال AD-CS Post Install تشكيل معالج:

  1. حدد أدوار التسجيل في ويب لهيئة الشهادات والمصادقة.
  2. أختر مرجع مصدق للمؤسسة مع خيارات:
  3. المرجع المصدق الجذر
  4. إنشاء مفتاح خاص جديد.
  5. أستخدم المفتاح الخاص - SHA1 بالإعدادات الافتراضية.
  6. قم بتعيين اسم مشترك ل CA (يجب أن يطابق اسم المضيف للخادم).
    Specify CA Name
  7. قم بتعيين الصلاحية لمدة 5 سنوات (أو أكثر إذا رغبت).
  8. حدد الزر التالي من خلال باقي المعالج.

إنشاء قالب الشهادة ل CiscoRA

  1. فتح MMC. حدد شعار بدء تشغيل Windows واكتب MMC من Run.
  2. افتح نافذة MMC، وقم بإضافة الأدوات الإضافية (المستخدمة في نقاط مختلفة من التكوين)، وحدد موافق.
    Select File
    Add or Remove Snap-Ins
  3. حدد ملف > حفظ وحفظ جلسة عمل وحدة التحكم هذه في سطح المكتب لإعادة الوصول السريع.
  4. من الأدوات الإضافية، حدد قوالب شهادات.
  5. قم بإنشاء قالب أو نسخه (ويفضل أن يكون قالب مرجع التصديق الجذر إن وجد) وقم بتسميته CiscoRA.
    Certificate Templates - Duplicate Templates
  6. انقر بزر الماوس الأيمن فوق القالب وحدد خصائص.
  7. حدد علامة التبويب عام وقم بتعيين فترة الصلاحية إلى 20 سنة (أو قيمة أخرى إذا رغبت). في علامة التبويب هذه، تأكد من مطابقة القالب واسم العرض والاسم والقيم.
    CiscoRA Properties
  8. حدد علامة التبويب الملحقات، قم بتمييز نهج التطبيق، وحدد تحرير.
    Application Policies
  9. قم بإزالة أي نهج تظهر في النافذة التي تظهر.
  10. حدد علامة التبويب اسم الموضوع وحدد زر التوريد في طلب لاسلكي.
  11. حدد علامة التبويب الأمان ومنح الأذونات وفقا لاحتياجاتك من المجموعات/أسماء المستخدمين.
    note-icon

    ملاحظة: في هذا المثال، تم منح أذونات كاملة عبر اللوحة من أجل البساطة، لكن لهذا تأثيرات أمنية. في بيئة الإنتاج، يجب منح أذونات الكتابة والتسجيل فقط إلى المستخدمين والمجموعات التي تتطلب ذلك. يرجى الرجوع إلى وثائق Microsoft للحصول على مزيد من المعلومات.

    Authenticated Users

إتاحة قالب الشهادة للإصدار

  1. في أدوات MMC الإضافية حدد مرجع مصدق ووسع شجرة المجلد لتحديد موقع مجلد قوالب الشهادات.
  2. انقر بالزر الأيمن للفضاء الأبيض في الإطار الذي يحتوي على الاسم والغرض المقصود.
  3. حدد قالب الشهادة الجديد لإصداره.
  4. حدد قالب CiscoRA الذي تم إنشاؤه وتحريره حديثا.
    Certificate Templates CiscoRA

إنشاء حساب CiscoRA لخدمة Active Directory

  1. انتقل إلى الأدوات الإضافية MMC وحدد مستخدمي Active Directory وأجهزة الكمبيوتر.
  2. حدد مجلد المستخدمين في الشجرة الموجودة في أقصى اليسار.
  3. انقر بزر الماوس الأيمن في المساحة البيضاء في الإطار الذي يحتوي على الاسم والنوع والوصف.
  4. حدد جديد ومستخدم.
  5. قم بإنشاء حساب CiscoRA باسم المستخدم/كلمة المرور (تم إستخدام Cisco123 لهذا المختبر) وحدد خانة الاختيار كلمة المرور لا تنتهي أبدا عند إظهارها.
    CiscoRA User

مصادقة IIS وتكوين ربط SSL

تمكين مصادقة NTLM

  1. انتقل إلى الأدوات الإضافية MMC وحدد الأداة الإضافية لإدارة خدمات معلومات الإنترنت (IIS) اسم الخادم.
  2. تظهر قائمة الميزات في الإطار التالي. انقر نقرا مزدوجا على المصادقة.
    Internet Information Services
  3. حدد مصادقة Windows ومن إطار الإجراءات (الجزء الأيمن) حدد تمكين.
    Windows Authentication
  4. حدد الإعدادات المتقدمة ومسح خانة الاختيار تمكين مصادقة وضع kernel.
    Enable Kernel-Mode Authentication
  5. حدد الموفرين، ثم أعد الأمر NTML، ثم تفاوض.
    Enabled Providers

إنشاء شهادة هوية لخادم ويب

إذا لم تكن قد انتهيت بعد، فأنشئ شهادة هوية لخدمة ويب التي تم توقيعها بواسطة CA لأن CiscoRA لا يمكن أن تتصل بها إذا كانت شهادة خادم الويب موقعة ذاتيا.

  1. حدد خادم الويب الخاص بك من الأداة الإضافية IIS وانقر نقرا مزدوجا فوق شهادات الخادم.
    Server Certificates
  2. بشكل افتراضي، يتم إدراج شهادة واحدة هناك، وهي شهادة المرجع المصدق (CA) الجذر الموقع ذاتيا. من قائمة الإجراءات، حدد إنشاء شهادة مجال. أدخل القيم في معالج التكوين لإنشاء الشهادة الجديدة. تأكد من أن الاسم الشائع هو اسم مجال مؤهل بالكامل (FQDN) قابل للحل وحدد التالي.
    Distinguished Name Properties
  3. حدد شهادة المرجع المصدق الجذر الخاص بك لتكون المصدر وحدد إنهاء.
    Online Certificate Authority

تم إدراج كل من شهادة المرجع المصدق وشهادة تعريف خادم الويب.
Server Certificates Issued

ربط SSL لخادم الويب

  1. حدد موقعا في طريقة عرض الشجرة (يمكنك إستخدام موقع ويب الافتراضي أو جعله أكثر دقة في مواقع محددة) وحدد روابط من جزء الإجراءات. يؤدي ذلك إلى إظهار محرر الارتباطات الذي يسمح لك بإنشاء روابط لموقع ويب الخاص بك وتحريرها وحذفها. حدد إضافة لإضافة ربط SSL الجديد إلى الموقع.
    Default Web Site
  2. يتم تعيين الإعدادات الافتراضية للربط الجديد على HTTP على المنفذ 80. بالنسبة إلى النوع ، حدد https. حدد الشهادة الموقعة ذاتيا التي أنشأتها في القسم السابق من القائمة المنسدلة لشهادة SSL ثم موافق.
    Add Site Binding
  3. الآن لديك ربط SSL جديد على موقعك وكل ما تبقى هو التحقق من أنه يعمل عن طريق تحديد خيار إستعراض *:443 (https) من القائمة وتأكد من أن صفحة ويب الافتراضية ل IIS تستخدم HTTPS.
    Site Bindings
    Browse Website
  4. تذكر إعادة تشغيل خدمة IIS بعد تغييرات التكوين. أستخدم خيار إعادة التشغيل من جزء الإجراءات.

تكوين CUCM

  1. انتقل إلى صفحة ويب AD CS (https://_server_fqdn/certsrv/) وتنزيل شهادة المرجع المصدق.
    Download a Certificate, Certificate Chain or CRL
  2. انتقل إلى الأمان > إدارة الشهادات من صفحة إدارة نظام التشغيل وحدد زر تحميل الشهادة/سلسلة الشهادات لتحميل شهادة CA مع تعيين الغرض على CAPF-trust.
    Upload Certificate or Certificate Chain

    قم بتحميل نفس شهادة CA مثل CallManager-trust لأنها مطلوبة في حالة تمكين تشفير الإشارات الآمن لنقاط النهاية، وهو ما يحتمل أن يكون إذا كان نظام المجموعة في الوضع المختلط.

  3. انتقل إلى النظام > معلمات الخدمة. حدد خادم Unified CM Publisher في حقل الخادم ووظيفة وكيل مرجع شهادات Cisco في حقل الخدمة.
  4. قم بتعيين قيمة مصدر الشهادة إلى نقطة النهاية إلى CA عبر الإنترنت وأدخل القيم لحقول معلمات CA عبر الإنترنت. تأكد من إستخدام FQDN الخاص بخادم الويب، واسم قالب الشهادة الذي تم إنشاؤه مسبقا (CiscoRA)، ونوع CA على أنه Microsoft CA واستخدم بيانات اعتماد حساب مستخدم CiscoRA الذي تم إنشاؤه مسبقا.
    Service Parameter Configuration
  5. تخبرك نافذة منبثقة بأنه يجب إعادة تشغيل خدمة CAPF. أولا، قم بتنشيط خدمة تسجيل الشهادات من Cisco من خلال Cisco Unified Service > Tools > Service Activation، وحدد Publisher في حقل الخادم، وحدد خانة الاختيار Cisco Certificate Enrollment Service، ثم حدد زر حفظ.
    Cisco Certificate Enrollment Service

التحقق من الصحة

التحقق من شهادات IIS

  1. من مستعرض ويب في جهاز كمبيوتر له اتصال بالخادم (يفضل أن يكون في نفس شبكة ناشر CUCM)، انتقل إلى FQDN الخاص بالخادم (https://Your_SERVER_FQDN/certsrv/).
  2. يتم عرض تنبيه غير موثوق به للشهادة. أضف الاستثناء وتحقق من الشهادة. تأكد من مطابقتها لشبكة FQDN المتوقعة.
    Connection not Secure
  3. بعد قبول الاستثناء، تحتاج إلى المصادقة؛ عند هذه النقطة، يلزمك إستخدام بيانات الاعتماد التي تم تكوينها لحساب CiscoRA في وقت سابق.
    Authentication Required
  4. بعد المصادقة يجب أن تكون قادرا على رؤية صفحة الترحيب ب AD CS (خدمات شهادات Active Directory).
    Welcome

التحقق من تكوين CUCM

قم بإجراء الخطوات لتثبيت شهادة LSC على أحد الهواتف.

  1. افتح صفحة إدارة CallManager، والجهاز، ثم الهاتف.
  2. حدد الزر بحث لعرض الهواتف.
  3. حدد الهاتف الذي ترغب في تثبيت LSC عليه.
  4. قم بالتمرير لأسفل إلى معلومات وظيفة وكيل المرجع المصدق (CAPF).
  5. حدد التثبيت/الترقية من عملية الشهادة.
  6. حدد وضع المصادقة. (حسب Null String جيد لأغراض الاختبار.)
  7. قم بالتمرير إلى أعلى الصفحة وحدد حفظ ثم تطبيق التكوين للهاتف.
  8. بعد إعادة تشغيل الهاتف وإعادة التسجيل، أستخدم عامل تصفية حالة LSC لتأكيد تثبيت LSC بنجاح.

وتابع:

  1. من جانب خادم AD، افتح MMC وقم بتوسيع الأداة الإضافية مرجع الاعتماد لتحديد مجلد الشهادات الصادرة.
  2. يتم عرض إدخال الهاتف داخل طريقة العرض الموجزة، بما في ذلك التفاصيل التالية:
    • معرف الطلب: رقم تسلسلي فريد
    • اسم الطالب: يجب عرض اسم المستخدم لحساب CiscoRA الذي تم تكوينه.
    • قالب الشهادة: يجب عرض اسم قالب CiscoRA الذي تم إنشاؤه.
    • الاسم الشائع الصادر: يجب عرض نموذج الهاتف المرفق باسم الجهاز.
    • تاريخ سريان الشهادة وتاريخ انتهاء صلاحية الشهادة

    Issued Certificates

روابط ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
3.0
01-Oct-2026
نص بديل مضاف. الارتباطات الهدف المحدثة ومتطلبات النمط والتنسيق للامتثال لإرشادات Cisco الخاصة بالتخزين الخارجي.
2.0
08-Jun-2023
تأكد مع BU أن kerbeos غير مدعوم لذلك إزالة أي تكوين مقترح متعلق به.
1.0
05-Jun-2019
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Michael Mendoza
    Technical Consulting Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات