Cisco CTL クライアントの設定後、Cisco CTL Provider サービスのセキュリティ モードは非セキュアから混合モードに変わり、サーバの証明書を CTL ファイルに伝送します。このサービスは、CTL ファイルをすべての Unified Communications Manager および Cisco TFTP サーバに伝送します。

このサービスを有効にし、Unified Communications Manager をアップグレードすると、Unified Communications Manager は、アップグレード後に自動的にサービスを再起動します。

ヒント	クラスタ内のすべてのサーバで Cisco CTL Provider サービスを有効化する必要があります。

このサービスを有効化するには、次の手順を実行します。

デフォルト ポートが現在使用中の場合、またはファイアウォールを使用していてファイアウォール内のポートを使用できない場合に、異なる TLS ポート番号の設定が必要になることがあります。

• Cisco CTL Provider の TLS 接続用のデフォルト ポートは 2444 です。Cisco CTL Provider ポートでは、Cisco CTL クライアントからの要求をモニタします。このポートでは、CTL ファイルの取得、クラスタ セキュリティ モードの設定、TFTP サーバへの CTL ファイルの保存などの、Cisco CTL クライアントの要求を処理します。

  （注）	クラスタ セキュリティ モードは、スタンドアロン サーバまたはクラスタのセキュリティ機能を設定します。

• イーサネット電話ポートでは、SCCP を実行中の電話からの登録要求をモニタします。非セキュア モードでは、電話はポート 2000 を介して接続されます。混合モードでは、TLS 接続用の Unified Communications Manager ポートは、Unified Communications Manager のポート番号に 443 を加算（+）した番号になるため、Unified Communications Manager のデフォルトの TLS 接続ポートは 2443 になります。この設定は、ポート番号が使用中の場合、またはファイアウォールを使用していてファイアウォール内のポートを使用できない場合にのみ更新します。
• SIP セキュア ポートを使用すると、Unified Communications Manager で、SIP を実行中の電話からの SIP メッセージをリッスンできます。デフォルト値は 5061 です。このポートを変更した場合は、[Cisco Unified Serviceability] で Cisco CallManager サービスを再起動して、SIP を実行中の電話をリセットする必要があります。

ヒント	ポートを更新した後、[Cisco Unified Serviceability] で Cisco CTL Provider サービスを再起動する必要があります。

ヒント	CTL ポートは、CTL クライアントが実行されている場所からデータ VLAN に対して開く必要があります。

デフォルト設定を変更するには、次の手順を実行します。

重要	utils ctl CLI コマンド セットを使用して、暗号化を設定することができます。このオプションの詳細については、『Command Line Interface Guide for Cisco Unified Communications Solutions』を参照してください。

（注）

CLI コマンド utils ctl set-cluster mixed-mode は、混合モードでクラスタを設定します。混合モードを有効にするには、Unified Communications Manager が Cisco Smart Software Manager または Cisco Smart Software Manager サテライトに登録されていること、およびスマート アカウントまたはバーチャル アカウントから受信した登録トークンでエクスポート制御機能の許可が有効になっており、そのトークンがこのクラスタに登録されていることを確認します。 CLI コマンド utils ctl update CTLFile は、CTL ファイルを更新します。混合モードで CTLFile を更新するには、Unified Communications Manager が Cisco Smart Software Manager または Cisco Smart Software Manager サテライトに登録されていること、およびスマート アカウントまたはバーチャル アカウントから受信した登録トークンでエクスポート制御機能の許可が有効になっており、そのトークンがこのクラスタに登録されていることを確認します。 エクスポート制御機能を許可するオプションが有効になっている登録トークンに Unified Communications Manager が登録されていない場合、utils ctl set-cluster mixed-mode コマンドまたは utils ctl update CTLFile コマンドを実行すると、次のエラー メッセージが表示されます。 Command cannot be executed because the Unified Communications Manager cluster is not registered to a Smart/Virtual Account with Allow export-controlled functionality.UCMクラスタを登録するときに、スマート/仮想アカウントから受信した製品トークンで[エクスポート制御機能を許可する]チェックボックスがオンになっていることを確認してください.

Cisco CTL CLI では、次のタスクが実行されます。

• クラスタまたはスタンドアロンサーバ用の Unified Communications Manager セキュリティ モードを設定します。

（注）	Unified Communications Manager Administration の [Enterprise Parameters Configuration] ウィンドウで、Unified Communications Manager のクラスタ セキュリティ パラメータを混合モードに設定することはできません。Cisco CTL クライアントまたは CLI コマンドセット utils ctl からクラスタ セキュリティモードを設定できます。

• 証明書信頼リスト（CTL）を作成します。これは、セキュリティ トークン、Unified Communications Manager、ASA ファイアウォール、および CAPF サーバ用の証明書エントリが含まれたファイルです。

  CTL ファイルによって、電話接続用の TLS をサポートするサーバが示されます。クライアントは自動的に Unified Communications Manager、Cisco CAPF、および ASA ファイアウォールを検出し、これらのサーバの証明書エントリを追加します。

  （注）

  Cisco CTL クライアントは、スーパークラスタ サポートも提供します。スーパークラスタには、最大 16 のコールを処理するサーバ、1 つのパブリッシャ、2 つの TFTP サーバ、および最大 9 つのメディア リソース サーバが含まれます。 ヒント CTL ファイルの更新は予定されたメンテナンス期間中に行うことができます。これは、クラスタ内で TFTP サービスおよび CallManager を実行するすべてのサーバでこれらのサービスを再起動する必要があるためです。 Cisco CTL の設定が完了すると、CTL は次のタスクを実行します。 CTL ファイルをUnified Communications Manager サーバに書き込みます。 CAPF capf.cer をクラスタ内のすべての Unified Communications Manager 後続ノード（最初のノード以外）に書き込みます。 PEM 形式の CAPF 証明書ファイルをクラスタ内のすべての Unified Communications Manager 後続ノード（最初のノード以外）に書き込みます。 すべての設定済み TFTP サーバにこのファイルを書き込みます。 すべての設定済み ASA ファイアウォールにこのファイルを書き込みます。 CTL ファイルを作成した時点で USB ポートに存在するセキュリティ トークンの秘密キーを使用して、CTL ファイルに署名します。

（注）	CLI コマンド セット utils ctl でクラスタ セキュリティを管理する場合は、この手順は必要ありません。

次の状況が発生したら CTL ファイルを更新する必要があります。

• 新しい Unified Communications Manager サーバをクラスタに追加する

  （注）	ノードをセキュア クラスタに追加するには、ノードの追加方法および新しいノード用のセキュリティの設定方法を説明している『Installing Unified Communications Manager』を参照してください。

• Unified Communications Manager サーバの名前または IP アドレスを変更する
• 設定されたすべての TFTP サーバの IP アドレスまたはホスト名を変更する
• 設定されたすべての ASA ファイアウォールの IP アドレスまたはホスト名を変更する
• [Cisco Unified Serviceability] で Cisco Certificate Authority Function サービスを有効にする
• セキュリティ トークンを追加または削除する必要がある
• TFTP サーバを追加または削除する必要がある
• Unified Communications Manager サーバを追加または削除する必要がある
• ASA ファイアウォールを追加または削除する必要がある
• Unified Communications Manager サーバまたは Unified Communications Manager データを復元する
• CTL ファイルを含む Cisco ユニファイドコミュニケーションマネージャークラスタのすべてのノード上で、CallManager、CAPF、または ITL 回復証明書を手動で再生成した場合は、[CTL] ウィザードを再実行する必要があります。この手順は、他の証明書の生成には必要ありません。
• Unified Communications Manaver を 7.1.5 以前のバージョンから 7.1.5 以降のバージョンに更新する
• バージョン 10.5 より前の Unified Communications Manager を 10.5 以降のバージョンに更新する場合は、移行に関する「ハードウェア eToken からトークンレスの解決策へ」のセクションを参照してください。
• サードパーティの CA 署名付き証明書をプラットフォームにアップロードした後。

（注）	混合モードの Unified Communications Manager クラスタでドメイン名が追加または変更された場合、その電話設定ファイルを有効にするには CTL ファイルを更新する必要があります。

ヒント	ファイルの更新は、呼処理中断がもっとも少ない時期に行うことが推奨されます。

クラスタ セキュリティ モードを設定するには、Cisco CTLを使用する必要があります。Unified Communications Manager のセキュリティ モードは、[Unified Communications Manager Administration] の [Enterprise Parameters Configuration] ウィンドウから変更することはできません。

（注）	クラスタ セキュリティ モードでは、スタンドアロン サーバまたはクラスタのセキュリティ機能の設定を行います。

Cisco CTL クライアントの初期設定後にクラスタ セキュリティ モードを変更するには、CTL ファイルを更新する必要があります。

クラスタ セキュリティ モードを確認するには、次の手順を実行します。

（注）	クラスタ セキュリティ モードでは、スタンドアロン サーバまたはクラスタのセキュリティ機能の設定を行います。

インストールされている Cisco CTL クライアントが Smart Card サービスの無効を検出した場合、Cisco CTL クライアント プラグインをインストールするサーバまたはワークステーションで SmartCard サービスを [automatic] と [started] に設定する必要があります。

ヒント	サービスが [started] および [automatic] に設定されていない限り、CTL ファイルにセキュリティ トークンを追加できません。

ヒント	オペレーティング システムのアップグレード、サービス リリースの適用、Cisco Unified Communications Manager のアップグレードなどの後には、Smart Card サービスが実行中で自動になっていることを確認します。

サービスを [started] および [automatic] に設定するには、次の手順を実行します。

Cisco CTL クライアントをアンインストールしても、CTL ファイルが削除されません。同様に、クライアントをアンインストールしても、クラスタ セキュリティ モードと CTL ファイルは変更されません。アンインストールする場合は、CLI オプションを使用して Cisco CTL をアンインストールすることができます。

Cisco CTL クライアントがインストールされていることを確認するは、次の手順を実行します。