Configuración de la inscripción y renovación automáticas de certificados a través de CAPF Online CA

Introducción

Este documento describe la inscripción y renovación automática de certificados mediante la función CAPF Online para Cisco Unified Communications Manager (CUCM).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco Unified Communications Manager
• Certificados X.509
• Servidor Windows
• Active Directory (AD) de Windows
• Servicios de Windows Internet Information Server (IIS)
• Autenticación NT (nueva tecnología) LAN Manager (NTLM)

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• CUCM, versión 12.5.1.10000-22
• Windows Server 2012 R2
• Teléfono IP CP-8865 / Firmware: SIP 12-1-1SR1-4 y 12-5-1SR2.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Este documento trata la configuración de la función y los recursos relacionados para una investigación adicional.

Validar la fecha y hora del servidor

Asegúrese de que el servidor de Windows tiene la fecha, hora y zona horaria correctas configuradas, ya que afectan a las horas de validez del certificado de la autoridad de certificación (CA) raíz del servidor, así como a los certificados emitidos por él.

Actualizar nombre de equipo del servidor

De forma predeterminada, el nombre del equipo servidor tiene un nombre aleatorio como WIN-730K65R6BSK. Lo primero que debe hacer antes de habilitar los Servicios de dominio de AD es asegurarse de actualizar el nombre del equipo servidor con el nombre de host del servidor y el nombre del emisor de la CA raíz al final de la instalación; de lo contrario, se necesitan muchos pasos adicionales para cambiarlo después de instalar los servicios de AD.

1. Vaya a Servidor local, seleccione el Nombre del equipo para abrir las Propiedades del sistema
2. Seleccione el botón Change y escriba el nuevo nombre de equipo.
   
3. Reinicie el servidor para que se apliquen los cambios.

Configurar

Servicios AD, plantilla de usuario y certificado

Habilitar y configurar servicios de Active Directory

1. En Administrador del servidor, seleccione Agregar funciones y características, seleccione Instalación basada en funciones o basada en funciones.
2. Elija el servidor del conjunto (sólo debe haber uno en el conjunto).
3. Seleccione Servicios de dominio de Active Directory.
   
4. Continúe seleccionando el botón Next y, a continuación, Install.
5. Seleccione el botón Close después de completar la instalación.
6. Aparecerá una ficha de advertencia en Administrador del servidor > AD DS con el título Configuración necesaria para los Servicios de dominio de Active Directory. Seleccione el enlace more y, a continuación, la acción disponible para iniciar el asistente de configuración.
   
7. Complete las indicaciones en el asistente de configuración de dominio, agregue un nuevo bosque con el nombre de dominio raíz deseado y desmarque la casilla DNS cuando esté disponible. Defina la contraseña de DSRM.
   
   
8. Especifique un nombre de dominio NetBIOS (MICHAMEN1 usado en este laboratorio).
9. Complete el asistente. A continuación, el servidor se reinicia para completar la instalación.
10. Especifique el nuevo nombre de dominio la próxima vez que inicie sesión. Por ejemplo, MICHAMEN1\Administrator.
    

Habilitar y configurar Servicios de Certificate Server

1. En Administrador del servidor, seleccione Agregar funciones y características.
2. Seleccione Servicios de certificados de Active Directory y agregue las características necesarias (todas las características disponibles se seleccionaron de los servicios de rol que se habilitaron para este laboratorio).
3. Para Servicios de rol, active Inscripción web de entidad emisora de certificados.
   
   
4. Debe aparecer una ficha de advertencia en Administrador del servidor > AD DS con el título Configuración necesaria para los Servicios de certificados de Active Directory; Seleccione el vínculo más y, a continuación, la acción disponible.
   

Complete estos pasos en el Asistente para configuración posterior a la instalación de AD-CS:

1. Seleccione las funciones de inscripción en Web Entidad de certificación y Entidad de certificación.
2. Elija Enterprise CA con las opciones:
3. CA raíz
4. Cree una nueva clave privada.
5. Utilice la clave privada SHA1 con la configuración predeterminada.
6. Establezca un nombre común para la CA (debe coincidir con el nombre de host del servidor).
   
7. Establezca Validez para 5 años (o más si lo desea).
8. Seleccione el botón Next en el resto del asistente.

Creación de plantillas de certificados para CiscoRA

1. Abra MMC. Seleccione el logotipo de inicio de Windows y escriba mmc en Ejecutar.
2. Abra una ventana de MMC, agregue los complementos (utilizados en diferentes puntos de la configuración) y seleccione Aceptar.
   
   
3. Seleccione File > Save y guarde esta sesión de la consola en el escritorio para tener un acceso rápido.
4. En los complementos, seleccione Plantillas de certificado.
5. Cree o clone una plantilla (preferiblemente la plantilla de la entidad emisora de certificados raíz, si está disponible) y asígnele el nombre CiscoRA.
   
6. Haga clic con el botón derecho del ratón en la plantilla y seleccione Propiedades.
7. Seleccione la pestaña General y establezca el período de validez en 20 años (o cualquier otro valor si lo desea). En esta ficha, asegúrese de que la plantilla, el nombre para mostrar y el nombre y los valores coinciden.
   
8. Seleccione la pestaña Extensions, resalte Application Policies y seleccione Edit.
   
9. Elimine las directivas que se muestran en la ventana que aparece.
10. Seleccione la pestaña Nombre del Asunto y el botón de opción Aprovisionar en Solicitud.
11. Seleccione la ficha Seguridad y conceda permisos en función de sus necesidades de grupos o nombres de usuario.
    

    Nota: En este ejemplo, se concedieron permisos completos de forma generalizada para simplificar el proceso, pero esto tiene implicaciones de seguridad. En un entorno de producción, los permisos de escritura e inscripción sólo se deben conceder a los usuarios y grupos que lo requieran. Consulte la documentación de Microsoft para obtener más información.

    

Hacer que la plantilla de certificado esté disponible para su emisión

1. En los complementos de MMC, seleccione Entidad emisora de certificados y expanda el árbol de carpetas para localizar la carpeta Plantillas de certificados.
2. Haga clic con el botón secundario en el espacio en blanco del marco que contiene Nombre y Propósito esperado.
3. Seleccione New y Certificate Template para emitir.
4. Seleccione la plantilla CiscoRA recién creada y editada.
   

Creación de cuenta CiscoRA de Active Directory

1. Vaya a complementos MMC y seleccione Usuarios y equipos de Active Directory.
2. Seleccione la carpeta Users en el árbol del panel situado más a la izquierda.
3. Haga clic con el botón secundario en el espacio en blanco del marco que contiene Nombre, Tipo y Descripción.
4. Seleccione Nuevo y Usuario.
5. Cree la cuenta CiscoRA con nombre de usuario/contraseña (ciscora/Cisco123 se utilizó para este laboratorio) y seleccione la casilla de verificación La contraseña nunca caduca cuando se muestre.
   

Configuración de Autenticación IIS y Enlace SSL

Habilitar autenticación NTLM

1. Vaya a los complementos MMC y, en el complemento Administrador de Internet Information Services (IIS), seleccione el nombre del servidor.
2. La lista de funciones se muestra en el siguiente fotograma. Haga doble clic en Authentication.
   
3. Seleccione Autenticación de Windows y en el marco Acciones (panel derecho) seleccione Habilitar.
   
4. Seleccione Advanced Settings y desactive la casilla de verificación Enable Kernel-mode authentication.
   
5. Seleccione Providers y ponga en orden NTML, luego Negotiate.
   

Generar el certificado de identidad para el servidor Web

Si aún no lo ha hecho, genere un certificado y un certificado de identidad para su servicio web que esté firmado por la CA porque CiscoRA no puede conectarse a él si el certificado del servidor web está autofirmado.

1. Seleccione el servidor Web en el complemento IIS y haga doble clic en Certificados de servidor.
   
2. De forma predeterminada, se muestra un certificado, que es el certificado de CA raíz autofirmado. En el menú Acciones, seleccione Crear certificado de dominio. Ingrese los valores en el asistente de configuración para crear su nuevo certificado. Asegúrese de que el nombre común es un nombre de dominio completo (FQDN) que se pueda resolver y seleccione Siguiente.
   
3. Seleccione el certificado de la CA raíz para que sea el emisor y seleccione Finalizar.
   

Aparecen el certificado de CA y el certificado de identidad del servidor web.

Enlace SSL de servidor web

1. Seleccione un sitio en la vista de árbol (puede utilizar el Sitio Web predeterminado o hacerlo más granular para sitios específicos) y seleccione Enlaces en el panel Acciones. De este modo, aparece el editor de enlaces que permite crear, editar y eliminar enlaces para el sitio Web. Seleccione Agregar para agregar el nuevo enlace SSL al sitio.
   
2. Los valores predeterminados para un nuevo enlace se establecen en HTTP en el puerto 80. Para Type , seleccione https. Seleccione el certificado autofirmado que creó en la sección anterior de la lista desplegable Certificado SSL y, a continuación, haga clic en Aceptar.
   
3. Ahora tiene un nuevo enlace SSL en su sitio y todo lo que queda es comprobar que funciona seleccionando la opción Browse *:443 (https) del menú y asegúrese de que la página Web de IIS predeterminada utiliza HTTPS.
   
   
4. Recuerde reiniciar el servicio IIS después de los cambios de configuración. Utilice la opción Reiniciar del panel Acciones.

Configuración de CUCM

1. Vaya a la página web de AD CS (https://)YOUR_SERVER_FQDN/certsrv/) y descargue el certificado de la CA.
   
2. Navegue hasta Seguridad > Administración de certificados desde la página Administración del SO y seleccione el botón Cargar certificado/cadena de certificados para cargar el certificado de CA con el propósito establecido en CAPF-trust.
   

   Cargue el mismo certificado de CA como CallManager-trust porque es necesario si se habilita el cifrado de señalización segura para los terminales, lo que es probable si el clúster está en modo mixto.

3. Vaya a System > Service Parameters. Seleccione el servidor del Publicador de Unified CM en el campo del servidor y Cisco Certificate Authority Proxy Function en el campo Servicio.
4. Establezca el valor de Emisor del certificado en Terminal en CA en línea e introduzca los valores para los campos Parámetros de CA en línea. Asegúrese de utilizar el FQDN del servidor web, el nombre de la plantilla de certificado creada anteriormente (CiscoRA), el tipo de CA como CA de Microsoft y utilice las credenciales de la cuenta de usuario de CiscoRA creada anteriormente.
   
5. Una ventana emergente le informa de que es necesario reiniciar el servicio CAPF. En primer lugar, active el Servicio de inscripción de certificados de Cisco a través de Serviciabilidad de Cisco Unified > Herramientas > Activación de servicios, seleccione el publicador en el campo servidor, seleccione la casilla de verificación Servicio de inscripción de certificados de Cisco y, a continuación, seleccione el botón Guardar.
   

Verificación

Verificar certificados IIS

1. Desde un explorador web en un PC con conectividad al servidor (preferiblemente en la misma red que el publicador de CUCM), navegue hasta el FQDN del servidor (https://SU_FQDN_SERVIDOR/certsrv/).
2. Se muestra la alerta de certificado no fiable. Agregue la excepción y compruebe el certificado. Asegúrese de que coincide con el FQDN esperado.
   
3. Después de aceptar la excepción, debe autenticarse; en este punto, debe utilizar las credenciales configuradas para la cuenta CiscoRA anteriormente.
   
4. Después de la autenticación, debe poder ver la página de bienvenida de AD CS (Servicios de certificados de Active Directory).
   

Verificar configuración de CUCM

Realice los pasos para instalar un certificado LSC en uno de los teléfonos.

1. Abra la página CallManager Administration, Device y luego Phone.
2. Seleccione el botón Find para mostrar los teléfonos.
3. Seleccione el teléfono en el que desea instalar el LSC.
4. Desplácese hacia abajo hasta Información de función proxy de entidad emisora de certificados (CAPF).
5. Seleccione Install/Upgrade de Certificate Operation.
6. Seleccione el Modo de autenticación. (By Null String está bien para fines de prueba.)
7. Desplácese hasta la parte superior de la página y seleccione guardar y Aplicar configuración para el teléfono.
8. Después de que el teléfono se reinicie y vuelva a registrarse, utilice el filtro Estado de LSC para confirmar que el LSC se ha instalado correctamente.

Y continúe:

1. Desde el lado del servidor de AD, abra MMC y expanda el complemento Entidad de certificación para seleccionar la carpeta Certificados emitidos.
2. La entrada correspondiente al teléfono se muestra en la vista de resumen, incluidos estos detalles:
   • ID de solicitud: Número de secuencia único
   • Nombre del solicitante: Se debe mostrar el nombre de usuario de la cuenta CiscoRA configurada.
   • Plantilla de certificado: Se debe mostrar el nombre de la plantilla CiscoRA creada.
   • Nombre común emitido: Se debe mostrar el modelo del teléfono junto al nombre del dispositivo.
   • Fecha en Vigor del Certificado y Fecha de Vencimiento del Certificado
   
   

Enlaces relacionados

• Troubleshooting de CAPF Online CA
• Asistencia técnica y documentación

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
3.0	01-Oct-2026	Texto alternativo agregado. Enlaces objetivo, requisitos de estilo y formato actualizados para cumplir con las directrices de Cisco para la externalización.
2.0	08-Jun-2023	Confirmada con BU que el kerbeos no es soportado, por lo que se elimina cualquier configuración sugerida relacionada con él.
1.0	05-Jun-2019	Versión inicial