この章では、証明書署名要求の作成、SSL 証明書の発行（または外部認証局による発行）、および Cisco Unity Connection サーバーへの証明書のインストールに関する情報を記載し、Cisco Personal Communications Assistant（Cisco PCA）および IMAP 電子メール クライアントから Cisco Unity Connection へのアクセスを保護します。

Cisco PCA Web サイトでは、ユーザーが Unity Connection を使用してメッセージや個人設定を管理するために使用する Web ツールにアクセスできます。 Unity Connection 音声メッセージへの IMAP クライアント アクセスはライセンス機能であることに注意してください。

Unity Connection をインストールすると、Cisco PCA と Unity Connection 間の通信、IMAP 電子メール クライアントと Unity Connection 間の通信、および Unity Connection SRSV と中央 Unity Connection サーバー間の通信を保護するために、ローカルの自己署名証明書が自動的に作成され、インストールされます。 つまり、Cisco PCA と Unity Connection 間のすべてのネットワーク トラフィック（ユーザー名、パスワード、その他のテキスト データ、音声メッセージを含む）が自動的に暗号化され、IMAP クライアントで暗号化を有効にすると IMAP 電子メール クライアントと Unity Connection 間のネットワーク トラフィックが自動的に暗号化され、Unity Connection SRSV と中央 Unity Connection サーバー間のネットワーク トラフィックが自動的に暗号化されます。 ただし、中間者攻撃のリスクを軽減したい場合は、この章の手順を実行してください。

SSL 証明書をインストールする場合は、証明機関の信頼証明書をユーザーのワークステーションの信頼されたルート ストアに追加することも検討することをお勧めします。 追加しないと、Web ブラウザに、Cisco PCA にアクセスするユーザーと、一部の IMAP 電子メール クライアントを使用して Unity Connection ボイス メッセージにアクセスするユーザーに対してセキュリティ警告が表示されます。

セキュリティ アラートの管理については、次の Web サイトで入手可能な『User Workstation Setup Guide for Cisco Unity Connection Release 15』の「Setting Up Access to the Cisco Personal Communications Assistant」の章にある「Managing Security Alerts Using Self-Signed Certificates with SSL Connections」の項を参照してください。https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/user_setup/guide/b_15cucuwsx/b_15cucuwsx_chapter_0101.html#concept_4FDAC1D616954D638A8E3E484BC75D7Dhttps://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/user_setup/guide/b_15cucuwsx.html

自己署名証明書の詳細については、https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/connection/15/srsv/guide/b_15cucsrsvx.html で入手可能な『Complete Reference Guide for Cisco Unity Connection Survivable Remote Site Voicemail (SRSV), Release 15』の「Security in Cisco Unity Connection Survivable Remote Site Voicemail」の章を参照してください。

Cisco Unity Connection Administration、Cisco Personal Communications Assistant、Unity Connection SRSV、および IMAP 電子メール クライアントから Cisco Unity Connection へのアクセスを保護するために、SSL サーバー証明書を作成してインストールするには、次のタスクを実行します。

1. Microsoft 証明書サービスを使用して証明書を発行する場合は、Microsoft 証明書サービスをインストールします。

2. 別のアプリケーションを使用して証明書を発行する場合は、そのアプリケーションをインストールします。 インストール手順については、製造元のドキュメントを参照してください。 次に、タスク 3に進みます。

   外部の証明機関を使用して証明書を発行する場合は、タスク 3 に進みます。

   （注）	Microsoft 証明書サービスまたは証明書署名リクエストを作成できる別のアプリケーションがすでにインストールされている場合は、タスク 3 に進みます。

3. Unity Connection クラスタが設定されている場合は、クラスタ内の両方の Unity Connection サーバーに対して set web-security CLI コマンドを実行するか、マルチサーバー SAN 証明書（SIP 統合のみ）を生成し、両方のサーバーに同じ代替名を割り当てます。代替名は、証明書署名要求と証明書に自動的に含まれます。 set web-security CLI コマンドの詳細については、 『Command Line Interface Reference Guide for Cisco Unified Communications Solutions』 （ https://www.cisco.com/c/en/us/support/unified-communications/unified-communications-manager-callmanager/products-maintenance-guides-list.html）を参照してください。

4. Unity Connection クラスタが設定されている場合は、タスク 3 で割り当てた代替名を含む DNS A レコードを設定します。 最初にパブリッシャー サーバーをリストします。 これにより、すべての IMAP 電子メール アプリケーション、Cisco Personal Communications Assistant、および Unity Connection SRSV が同じ Unity Connection サーバー名を使用して Unity Connection 音声メッセージにアクセスできるようになります。

5. 証明書署名要求を作成します。 次に、Microsoft 証明書サービスまたは証明書を発行する別のアプリケーションがインストールされているサーバーに証明書署名要求をダウンロードするか、証明書署名要求を外部 CA に送信するために使用できるサーバーに要求をダウンロードします。

   Unity Connection クラスタが単一サーバー証明書署名要求を使用して設定されている場合、Unity Connection クラスタ内の両方のサーバーに対してこのタスクを実行します。

6. Microsoft 証明書サービスを使用してルート証明書をエクスポートし、サーバー証明書を発行する場合は、

   別のアプリケーションを使用して証明書を発行する場合は、証明書の発行に関する情報についてはアプリケーションのドキュメントを参照してください。

   外部 CA を利用して証明書を発行する場合は、証明書署名要求を外部 CA に送信します。外部 CA から証明書が返送されたら、タスク 7 に進みます。

   Unity Connection にアップロードできるのは、PEM 形式 (Base-64 エンコード DER とも呼ばれます) の証明書のみです。 証明書には .pem ファイル名拡張子が必要です。 証明書がこの形式ではない場合は、通常、OpenSSL などの無料で利用できるユーティリティを使用して、証明書を PEM 形式に変換できます。

   Unity Connection クラスタが単一サーバー証明書署名要求を使用して構成されている場合は、Unity Connection クラスタの両方のサーバーに対してこのタスクを実行します。

7. ルート証明書とサーバー証明書を Unity Connection サーバーにアップロードします。

   Unity Connection クラスタが単一サーバー証明書署名要求を使用して設定されている場合、Unity Connection クラスタ内の両方のサーバーに対してこのタスクを実行します。

8. Unity Connection と IMAP 電子メール クライアントが新しい SSL 証明書を使用するように、Unity Connection IMAP サーバー サービスを再起動します。 接続 IMAP サーバーサービスの再起動を行ってください。

   Unity Connection クラスタが設定されている場合は、Unity Connection クラスタ内の両方のサーバーに対してこのタスクを実行します。

9. ユーザーが Connection Administration、Cisco PCA、または IMAP 電子メール クライアントを使用して Unity Connection にアクセスするたびにセキュリティ警告が表示されないようにするには、ユーザーが Unity Connection にアクセスするすべてのコンピュータで次のタスクを実行します。

   タスク 7 で Unity Connection サーバーにアップロードしたサーバー証明書を証明書ストアにインポートします。 手順はブラウザまたは IMAP 電子メール クライアントによって異なります。 詳細については、ブラウザまたは IMAP 電子メール クライアントのドキュメントを参照してください。

   タスク 7 で Unity Connection サーバーにアップロードしたサーバー証明書を Java ストアにインポートします。 手順は、クライアント コンピュータで実行されているオペレーティング システムによって異なります。 詳細については、オペレーティング システムのドキュメントおよび Java ランタイム環境のドキュメントを参照してください。

MeetingPlace へのアクセスをセキュリティで保護するには、次のタスクを実行します。

1. MeetingPlace の SSL を設定します。 詳細については、https://www.cisco.com/c/en/us/support/conferencing/unified-meetingplace/products-maintenance-guides-list.html の『Administration Documentation for Cisco Unified MeetingPlace Release 8.0』の「Configuring SSL for the Cisco Unified MeetingPlace Application Server」の章を参照してください。

2. Unity Connection を MeetingPlace と統合します。 MeetingPlace カレンダー統合用に Unity Connection を設定する場合は、セキュリティ トランスポートとして SSL を指定します。

3. Unity Connection サーバーで、タスク 1 で MeetingPlace サーバーにインストールしたサーバー証明書を取得した証明機関のルート証明書をアップロードします。 次の点に注意してください。　

4. ルート証明書は、MeetingPlace サーバーにインストールされた証明書と同じものではありません。 証明機関のルート証明書には、MeetingPlace サーバーにアップロードされた証明書の信頼性を検証するために使用できる公開キーが含まれています。

• ルート証明書は、MeetingPlace サーバーにインストールされた証明書と同じものではありません。 証明機関のルート証明書には、MeetingPlace サーバーにアップロードされた証明書の信頼性を検証するために使用できる公開キーが含まれています。

• Unity Connection にアップロードできるのは、PEM 形式 (Base-64 エンコード DER とも呼ばれます) の証明書のみです。 証明書には .pem ファイル名拡張子が必要です。 証明書がこの形式ではない場合は、通常、OpenSSL などの無料で利用できるユーティリティを使用して、証明書を PEM 形式に変換できます。

• ルート証明書のファイル名にはスペースを含めることはできません。

Unity Connection でネットワークが設定されている場合、Connection Administration、Cisco Personal Communications Assistant、および IMAP 電子メール クライアントから Unity Connection へのアクセスを保護するために、次のタスクを実行して SSL サーバー証明書を作成し、インストールします。

1. Microsoft 証明書サービスを使用して証明書を発行する場合は、Microsoft 証明書サービスをインストールします。 新しいバージョンの Windows Server を実行しているサーバーに Microsoft 証明書サービスをインストールする方法については、Microsoft のドキュメントを参照してください。

   別のアプリケーションを使用して証明書を発行する場合は、そのアプリケーションをインストールします。 インストール手順については、製造元のドキュメントを参照してください。 次に、タスク 2 に進みます。

   外部の証明機関を使用して証明書を発行する場合は、タスク 2 に進みます。

   （注）	Microsoft 証明書サービスまたは証明書署名リクエストを作成できる別のアプリケーションがすでにインストールされている場合は、タスク 2 に進みます。

2. Unity Connection ゲートウェイサーバー用に Unity Connection クラスタが設定されている場合は、クラスタ内の両方の Unity Connection サーバーで set web-security CLI コマンドを実行し、両方のサーバーに同じ代替名を割り当てます。代替名は、証明書署名要求と証明書に自動的に含まれます。 set web-security CLI コマンドの詳細については、http://www.cisco.com/c/en/us/support/unified-communications/unity-connection/products-maintenance-guides-list.html の該当する『Command Line Interface Reference Guide for Cisco Unified Communications Solutions』を参照してください。

3. Unity Connection ゲートウェイ サーバー用に Unity Connection クラスタが設定されている場合は、タスク 2 で割り当てた代替名を含む DNS A レコードを設定します。 最初にパブリッシャサーバーを一覧表示します。 これにより、Cisco Unity は同じ Unity Connection サーバー名を使用して Unity Connection 音声メッセージにアクセスできるようになります。

   （注）	Unity Connection ゲートウェイ サーバーで、証明書署名要求を作成します。 次に、証明書署名要求を、Microsoft 証明書サービスまたは証明書を発行する他のアプリケーションがインストールされているサーバーにダウンロードするか、証明書署名要求を外部 CA に送信できるサーバーにダウンロードします。Unity Connection クラスタが設定されている場合は、Unity Connection クラスタ内の両方のサーバーに対してこのタスクを実行します。

   （注）	Cisco Unity ゲートウェイ サーバーで、証明書署名要求を作成します。 次に、Microsoft 証明書サービスまたは証明書を発行する他のアプリケーションがインストールされているサーバーに証明書署名要求をダウンロードするか、証明書署名要求を外部 CA に送信できるサーバーに要求をダウンロードします。Cisco Unity フェールオーバーが設定されている場合は、プライマリ サーバーとセカンダリ サーバーの両方でこのタスクを実行してください。

4. Microsoft 証明書サービスを使用してルート証明書をエクスポートし、サーバー証明書を発行する場合は、「ルート証明書のエクスポートとサーバー証明書の発行 (Microsoft 証明書サービスのみ)」の手順を実行してください。

   別のアプリケーションを使用して証明書を発行する場合は、証明書の発行に関する情報についてはアプリケーションのドキュメントを参照してください。

   外部 CA を利用して証明書を発行する場合は、証明書署名要求を外部 CA に送信します。外部 CA から証明書が返送されたら、タスク 7 に進みます。

   Unity Connection にアップロードできるのは、PEM 形式 (Base-64 エンコード DER とも呼ばれます) の証明書のみです。 証明書には pem ファイル名拡張子が必要です。 証明書がこの形式ではない場合は、通常、OpenSSL などの無料で利用できるユーティリティを使用して、証明書を PEM 形式に変換できます。

   このタスクは、Unity Connection サーバー（Unity Connection クラスタが設定されている場合は両方のサーバー）と Cisco Unity サーバー（フェールオーバーが設定されている場合は両方のサーバー）に対して実行します。

5. ルート証明書とサーバー証明書を Unity Connection サーバーにアップロードします。

   （注）	Unity Connection クラスタが設定されている場合は、Unity Connection クラスタ内の両方のサーバーに対してこのタスクを実行します。

6. Unity Connection と IMAP 電子メール クライアントが新しい SSL 証明書を使用するように、Unity Connection IMAP サーバー サービスを再起動します。 「IMAP サーバー サービスの再起動」を実行します。

   Unity Connection クラスタが設定されている場合は、Unity Connection クラスタ内の両方のサーバーに対してこのタスクを実行します。

7. ルート証明書とサーバー証明書を Cisco Unity サーバーにアップロードします。

   （注）	フェールオーバーが構成されている場合は、プライマリ サーバーとセカンダリ サーバーに対してこのタスクを実行します。