既存のテレフォニー統合を備えた Cisco Unity Connection サーバーでは、FIPS モードを有効化または無効化した後、ルート証明書を手動で再生成する必要があります。 テレフォニー統合で認証済みまたは暗号化されたセキュリティ モードを使用する場合は、再生成されたルート証明書を、対応する Cisco Unified Communications Manager サーバーに再度アップロードする必要があります。 新規インストールの場合、テレフォニー統合を追加する前に FIPS モードを有効にすることで、ルート証明書の再生成を回避できます。

（注）	クラスターの場合は、すべてのノードで次の手順を実行します。

1. Cisco Unity Connection Administration にログインします。
2. [テレフォニー統合] > [セキュリティ] > [ルート証明書] を選択します。
3. [ルート証明書の表示] ページで、[新規生成] をクリックします。
4. テレフォニー統合で認証済みまたは暗号化されたセキュリティ モードが使用されている場合は手順 5 ～ 10 に進みます。それ以外の場合は手順 12 に進みます。
5. [ルート証明書の表示] ページで、[右クリックしてルート証明書をファイルとして保存] リンクを右クリックします。
6. [名前を付けて保存] を選択して、Cisco Unity Connection ルート証明書を .pem ファイルとして保存する場所を参照します。

   （注）	証明書は、.htm ではなく .pem 拡張子のファイルとして保存する必要があります。そうしないと、Cisco Unified CM は証明書を認識しません。

7. 次のサブステップを実行して、Cisco Unity Connection ルート証明書をすべての Cisco Unified CM サーバーにコピーします。
   1. Cisco Unified CM サーバーで、Cisco Unified Operating System Administration にログインします。
   2. [セキュリティ] メニューから [証明書管理] オプションを選択します。
   3. 証明書リストページで証明書/証明書チェーンのアップロードを選択します。
   4. [証明書/証明書チェーンのアップロード] ページで、[証明書名] ドロップダウンから [CallManager-trust] オプションを選択します。
   5. ルート証明書フィールドに Cisco Unity Connection ルート証明書を入力します。
   6. [ファイルのアップロード] フィールドで [参照] をクリックし、手順 5 で保存した Cisco Unity Connection ルート証明書を見つけて選択します。
   7. [ファイルのアップロード（Upload File）] をクリックします。
   8. [閉じる（Close）] をクリックします。
8. Cisco Unified CM サーバーで、Cisco Unified Serviceability にログインします。
9. [ツール] メニューから [サービス管理] を選択します。
10. [コントロール センター - 機能サービス] ページで、Cisco CallManager サービスを再起動します。
11. Cisco Unified CM クラスタ内の残りのすべての Cisco Unified CM サーバーで手順 5 ～ 10 を繰り返します。
12. 次の手順に従って、Unity Connection Conversation Manager サービスを再起動します。
    1. Cisco Unity Connection Serviceability にログインします。
    2. [ツール] メニューから [サービス管理] を選択します。
    3. [重要なサービス] セクションで、Unity Connection Conversation Manager サービスの [停止] を選択します。
    4. ステータス領域に Unity Connection Conversation Manager サービスが正常に停止されたことを示すメッセージが表示されたら、サービスの [開始] を選択します。
13. 新規および既存のテレフォニー統合ポートが Cisco Unified CM に正しく登録されるようになりました。

FIPS は、Cisco Unified Communications Manager と Cisco Unity Connection 間の SCCP と SIP の両方の統合でサポートされています。

証明書の管理の詳細については、『Cisco Unified Communications Operating System Administration Guide for Cisco Unity Connection』の「セキュリティ」の章の「証明書と証明書信頼リストの管理」セクションを参照してください。このガイドは、次の Web サイトで入手可能です。https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/os_administration/guide/b_15cucosagx/b_15cucosagx_chapter_0101.html#ID-2301-0000001ahttps://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/os_administration/guide/b_15cucosagx.html

Unity Connection は、SIP 統合を使用してセキュアな通話を構成するために、RSA キー ベースの Tomcat 証明書のみをサポートします。これにより、SIP セキュア通話に自己署名証明書とサードパーティの CA 署名証明書を使用できます。 既存のテレフォニー統合を備えた Cisco Unity Connection サーバーでは、FIPS モードを有効化または無効化した後、Tomcat 証明書を手動で再生成する必要があります。 テレフォニー統合で認証済みまたは暗号化されたセキュリティ モードを使用する場合は、再生成された Tomcat 証明書を、対応する Cisco Unified Communications Manager サーバーに再度アップロードする必要があります。 新規インストールの場合、テレフォニー統合を追加する前に FIPS モードを有効にすることで、Tomcat 証明書の再生成を回避できます。

証明書を再生成する方法については、次の Web サイトで入手可能な『Cisco Unified Communications Manager SIP Integration Guide for Cisco Unity Connection Release 15』の「Setting Up a Cisco Unified Communications Manager SIP Trunk Integration」の章の「Generating RSA Key Based Certificates」のセクションを参照してください。 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/integration/cucm_sip/b_15cucintcucmsip/b_15cucintcucmsip_chapter_010.html#id_18668https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/integration/cucm_sip/b_15cucintcucmsip.html

（注）	Cisco Unified Communication Manager の SIP トランク セキュリティ プロファイル設定ページの X.509 サブジェクト名 フィールドに入力した値が、Unity Connection サーバーの FQDN であることを確認します。

Cisco Unity Connection から別のサーバーへのネットワークは、IPsec ポリシーによって保護される必要があります。 これには、サイト間リンク、サイト内リンク、VPIM ロケーションが含まれます。 リモート サーバーは、自身の FIPS 準拠を保証する責任があります。

（注）	IPsec ポリシーが設定されていない限り、セキュア メッセージは FIPS 準拠の方法で送信されません。 下位バージョンから 15 SU2 以降にアップグレードする場合は、スムーズな操作を確保し、レプリケーションの問題を回避するために、ネットワーク内のすべてのノードをアップグレードする必要があります。

ユニファイド メッセージング サービスには次の構成が必要です。

• Cisco Unity Connection と Microsoft Exchange 間の IPsec ポリシーを設定します。

• Unity Connection Administration の [Unified Messaging Service の編集] ページで、[Web ベース認証モード] 設定を [基本] に設定します。 NTLM Web 認証モードは FIPS モードではサポートされません。

注意	基本 Web 認証のプレーン テキストの性質を保護するには、サーバー間の IPsec ポリシーが必要です。

IPsec ポリシーの設定方法については、『Cisco Unified Communications Operating System Administration Guide for Cisco Unity Connection』の「セキュリティ」の章の「IPSEC 管理」セクションを参照してください。 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/os_administration/guide/b_15cucosagx.html

Unity Connection での IPsec ポリシーの影響については、『Cisco Unity Connection Release 15 のインストール、アップグレード、およびメンテナンス ガイド』の「Cisco Unity Connection のアップグレード」の章を参照してください。このガイドは、 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/install_upgrade/guide/b_15cuciumg.html から入手できます。https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/install_upgrade/guide/b_15cuciumg.html

.

FIPS モードが有効になっている場合、次の Cisco Unity Connection 機能はサポートされません。

• SpeechView 文字起こしサービス。
• SIP ダイジェスト認証 (SIP テレフォニー統合用に構成)。
• SIP NTLM 認証 (SIP テレフォニー統合用に構成)。
• ビデオメッセージ。

FIPS が有効になっている場合、Cisco Unity Connection は、ユーザーのボイスメール PIN が MD5 または SHA-1 アルゴリズムでハッシュされているかどうかを判断するためにデータベースをチェックしなくなります。 Unity Connection は、SHA-1 を使用してすべてのボイスメール PIN をハッシュし、それを Unity Connection データベース内のハッシュされた PIN と比較します。 ユーザーが入力した MD5 ハッシュ化されたボイスメール PIN がデータベース内の SHA-1 ハッシュ化されたボイスメール PIN と一致しない場合、ユーザーはログインできません。