Introduction
Ce document décrit un processus de génération de certificats auto-signés à l'aide de l'algorithme de signature de certificat SHA-256 pour les services Web Cisco Unified Contact Center Enterprise (UCCE) tels que la configuration Web ou l'administration CCE.
Problème
Cisco UCCE dispose de plusieurs services Web hébergés par le serveur Microsoft Internet Information Services (IIS). Par défaut, Microsoft IIS dans le déploiement UCCE utilise des certificats auto-signés avec l'algorithme de signature de certificat SHA-1.
L'algorithme SHA-1 est considéré comme non sécurisé par la plupart des navigateurs. Par conséquent, à un certain point, des outils critiques tels que l'administration CCE utilisée par les superviseurs pour la requalification des agents peuvent devenir indisponibles.
Solution
La solution à ce problème est de générer des certificats SHA-256 pour le serveur IIS à utiliser.
Avertissement : Il est recommandé d'utiliser des certificats signés par une autorité de certification. La génération de certificats auto-signés décrite ici doit donc être considérée comme une solution de contournement temporaire pour restaurer rapidement le service.
Remarque : Si l'application ICM Internet Script Editor est utilisée pour la gestion des scripts à distance, il est nécessaire d'utiliser l'utilitaire de chiffrement SSL pour générer un certificat.
Solution pour WebSetup et l'administration CCE
1. Démarrez l'outil Windows PowerShell sur le serveur UCCE.
2. Dans PowerShell, tapez la commande
New-SelfSignedCertificate -DnsName "pgb.allevich.local" -CertStoreLocation "cert:\LocalMachine\My"
Où le paramètre après DnsName spécifiera le nom commun (CN) du certificat. Remplacez le paramètre après DnsName par le paramètre approprié pour le serveur. Le certificat sera généré avec une validité d'un an.
Remarque : Le nom commun dans le certificat doit correspondre au nom de domaine complet (FQDN) du serveur.
3. Ouvrez l'outil Microsoft Management Console (MMC). Sélectionnez Fichier -> Ajouter/Supprimer un composant logiciel enfichable... -> Certificats, choisissez Compte d'ordinateur et ajoutez-le aux composants logiciels enfichables sélectionnés. Appuyez sur OK, puis accédez à Console Root -> Certificates (Local Computer) -> Personal -> Certificates.
Vérifiez que le certificat nouvellement créé est présent ici. Le certificat n'aura pas de nom convivial configuré, de sorte qu'il peut être reconnu en fonction de son CN et de sa date d'expiration.
Un nom convivial peut être attribué au certificat en sélectionnant les propriétés du certificat et en remplissant la zone de texte Nom convivial avec le nom approprié.
4. Démarrez le Gestionnaire des services Internet (IIS). Sélectionnez Site Web IIS par défaut et, dans le volet de droite, sélectionnez Liaisons. Sélectionnez HTTPS -> Edit et, dans la liste SSL certificate, sélectionnez self-signed SHA-256 generate certificate.
5. Redémarrez le service « World Wide Web Publishing Service ».
Solution pour Portique de cadre de diagnostic
1. Répétez les étapes 1 à 3.
Un nouveau certificat auto-signé sera généré. Pour l'outil Portico, il existe une autre façon de lier le certificat.
2. Supprimez la liaison de certificat actuelle pour l'outil Portico.
cd c:\icm\serviceability\diagnostics\bin
DiagFwCertMgr /task:UnbindCert
3. Liez le certificat auto-signé généré pour Portico.
Ouvrez le certificat auto-signé généré pour l'outil Portico et sélectionnez l'onglet Détails. Copiez la valeur de l'empreinte numérique dans l'éditeur de texte.
Remarque : Dans certains éditeurs de texte, l'empreinte numérique est automatiquement précédée d'un point d'interrogation. Enlevez-le.
Supprimez tous les espaces de l'empreinte numérique et utilisez-la dans la commande suivante.
DiagFwCertMgr /task:BindCertFromStore /certhash:
4. Assurez-vous que la liaison de certificat a réussi à l'aide de cette commande.
DiagFwCertMgr /task:ValidateCertBinding
Un message similaire doit être affiché dans le résultat.
"La liaison du certificat est VALIDE"
5. Redémarrez le service Diagnostic Framework.
sc stop "diagfwsvc"
sc start "diagfwsvc"
Vérification
Effacer le cache et l'historique du navigateur. Accédez à la page Web du service Administration CCE et vous devriez obtenir un avertissement de certificat auto-signé.
Affichez les détails du certificat et assurez-vous que le certificat dispose de l'algorithme de signature de certificat SHA-256.
Articles associés
Générer un certificat CA signé pour l'outil Portique de diagnostic UCCE
Générer un certificat signé par l'autorité de certification pour la configuration Web UCCE
Générer un certificat CA signé pour le serveur VOS à l'aide de CLI
Générer un certificat CA signé pour le serveur CVP OAMP
Commentaires