CallManagerでのマルチSAN Tomcat証明書の再利用の実装

はじめに

このドキュメントでは、CUCMのCallManagerでマルチSAN Tomcat証明書を再利用する手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco Unified Communications Manager（CUCM）
• CUCM証明書
• ID信頼リスト(ITL)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• CUCMリリース15 SU1

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

CUCMの以前のバージョンでは、クラスタ全体でサービスごとに異なる証明書が使用されていたため、証明書の数が増加し、コストが増加しました。これには、それぞれのID証明書を持つCUCMで実行されている重要なサービスであるCisco TomcatおよびCisco CallManagerが含まれます。

CUCMバージョン14以降では、CallManagerサービスでマルチSAN Tomcat証明書を再利用するための新機能が追加されました。

この機能を使用する利点は、CAから1つの証明書を取得し、それを複数のアプリケーションで使用できることです。これにより、コストの最適化と管理の削減が実現し、ITLファイルのサイズが小さくなるため、オーバーヘッドが削減されます。

注意：再使用の設定に進む前に、Tomcat証明書がマルチサーバSAN証明書であることを確認してください。TomcatマルチSAN証明書は、自己署名またはCA署名にすることができます。

設定

CallManagerでのTomcat証明書の再使用

警告：続行する前に、クラスタが混合モードか非セキュアモードかを特定してください。

ステップ 1：Cisco Unified CM Administration > System > Enterprise Parametersの順に移動します。

セクションSecurity Parametersを確認し、Cluster Security Modeが0または1に設定されているかどうかを確認します。値が0の場合、クラスタは非セキュアモードです。1の場合、クラスタは混合モードであり、サービスを再起動する前にCTLファイルを更新する必要があります。

ステップ 2：CUCMパブリッシャに移動し、Cisco Unified OS Administration > Security > Certificate Managementに移動します。

ステップ 3：Multi-SAN Tomcat CA証明書チェーンをCallManager信頼ストアにアップロードします。

ヒント: Tomcat用の自己署名マルチサーバSAN証明書を使用する場合は、このステップを省略できます。

証明書を再使用する前に、（tomcat ID証明書に署名した）CA証明書チェーンをCallManager信頼ストアに手動でアップロードしたことを確認します。

CallManager信頼にtomcat証明書チェーンをアップロードするときに、これらのサービスを再起動します。

• CallManager:Cisco HAProxyサービス
• CallManager-ECDSA:Cisco CallManagerサービスおよびCisco HAProxyサービス

ステップ 4：Reuse Certificateをクリックします。「Use Tomcat Certificates For Other Services」ページが表示されます。

ステップ 5：Tomcat typeドロップダウンリストから、TomcatまたはTomcat-ECDSAを選択します。

手順 6：Replace Certificate for the following purposeペインで、前のステップで選択した証明書に基づいてCallManagerまたはCallManager-ECDSAチェックボックスのいずれかにチェックマークを付けます。

注：証明書タイプとしてTomcatを選択した場合、CallManagerが置き換え用に有効になります。証明書タイプとしてtomcat-ECDSAを選択した場合、CallManager-ECDSAが置き換え用として有効になります。

手順 7：Finishをクリックして、CallManager証明書をtomcatマルチサーバSAN証明書で置き換えます。

ステップ 8：CLIでutils service restart Cisco HAProxyコマンドを実行して、クラスタのすべてのノードでCisco HAProxyサービスを再起動します。

ステップ 9：クラスタが混合モードの場合、CUCMパブリッシャのCLIからutils ctl update CTLFileコマンドを実行してCTLファイルを更新し、電話機のリセットに進んで新しいCTLファイルを取得します。

確認

注：証明書を再利用する場合、CallManager証明書はGUIに表示されません。

CLIからコマンドを実行して、CallManagerがTomcat証明書を再利用することを確認できます。

• show cert list own（オプション）