Cisco CTL クライアントを設定すると、Cisco CTL プロバイダサービスによりセキュリティモードがノンセキュアから混合モードに変更され、サーバー証明書が CTL ファイルに転送されます。 その後、サービスは CTL ファイルをすべての Unified Communications Manager および CiscoTFTP サーバーに転送します。

このサービスを有効にしてから Unified Communications Manager をアップグレードすると、Unified Communications Manager はアップグレード後に自動的にサービスを再有効化します。

ヒント	クラスタ内のすべてのサーバーで CiscoCTL プロバイダサービスを有効にする必要があります。

サービスを有効にするには、次の手順を実行します。

デフォルトのポートが現在使用されている場合、またはファイアウォールを使用しており、ファイアウォール内のポートを使用できない場合は、別の TLS ポート番号を設定する必要があります。

• TLS 接続のための Cisco CTL プロバイダのデフォルトポートは 2444 です。Cisco CTL Provider ポートは Cisco CTL クライアントからのリクエストを監視します。 このポートは、CTL ファイルの取得、クラスタセキュリティモードの設定、TFTP サーバへの CTL ファイルの保存など、Cisco CTL クライアントの要求を処理します。

  （注）	クラスタセキュリティモードでは、スタンドアロンサーバまたはクラスタのセキュリティ機能を設定します。

• イーサネット電話ポートは、SCCP を実行している電話からの登録要求を監視します。 非セキュアモードでは、電話はポート 2000 を通して接続します。混合モードでは、TLS 接続用の Unified Communications Manager ポートは、Unified Communications Manager ポート番号に443を加えた値となります。このため、Unified Communications Manager のデフォルトの TLS 接続は 2443 となります。ポート番号が使用中であるか、ファイアウォールを使用していてその中でポートを使用できない場合にのみ、この設定を更新します。

• SIP セキュアポートにより、 Unified Communications Manager は、SIP を実行している電話からの SIP メッセージをリッスンすることができます。 デフォルト値は 5061 です。このポートを変更する場合、Cisco Unified Serviceability で Cisco CallManager サービスを再起動し、SIP を実行している電話機をリセットする必要があります。

ヒント	ポートを更新したら、Cisco Unified Serviceability で Cisco CTL Provider サービスを再起動する必要があります。

ヒント	CTL クライアントが実行されているデータ VLAN に対して CTL ポートを開く必要があります。

デフォルト設定を変更するには、以下の手順を実行します。

重要	utils ctl CLI コマンドセットを使用して、暗号化をセットアップできます。 CLI の使用の詳細については、『Command Line Interface Guide for Cisco Unified Communications Solutions』を参照してください。

（注）

CLI コマンド utils ctl set-cluster mixed-mode は、クラスタを混合モードに設定します。 混合モードを有効にするには、Unified Communications Manager が Cisco Smart Software Manager または Cisco Smart Software Manager サテライトに登録されていること、およびスマートアカウントまたはバーチャルアカウントから受信した登録トークンで [輸出規制による機能限定の許可（Allow export-controlled functionality）] が有効になっており、そのトークンがこのクラスタに登録されていることを確認します。 CLI コマンド utils ctl update CTLFile は、CTLFile を更新します。 CTLFIle を混合モードで更新するには、Unified Communications Manager が Cisco Smart Software Manager または Cisco Smart Software Manager サテライトに登録されていること、およびスマートアカウントまたはバーチャルアカウントから受信した登録トークンで [輸出規制による機能限定の許可（Allow export-controlled functionality）] が有効になっており、そのトークンがこのクラスタに登録されていることを確認します。 Unified Communications Manager が、[輸出規制による機能限定の許可（Allow export-controlled functionality）] が有効になっている登録トークンで登録されておらず、さらに utils ctl set-cluster mixed-mode および utils ctl update CTLFile コマンドを実行すると、次のエラーメッセージが表示されます。 Unified Communications Manager クラスタが [輸出規制による機能限定の許可（Allow export-controlled functionality）] でスマート/仮想アカウントに登録されていないため、コマンドを実行できません。 UCM クラスターの登録時に、スマート/仮想アカウントから受け取った製品トークンで [輸出規制による機能限定の許可（Allow export-controlled functionality）] にチェックが入っていることを確認します。

Cisco CTL CLI は以下のタスクを実行します。

• クラスタサーバまたはスタンドアロンサーバの Unified Communications Manager セキュリティモードを設定します。

（注）	Unified Communications Manager クラスタ セキュリティ パラメータを、Unified Communications Manager Administration の [エンタープライズパラメータの設定（Enterprise Parameters Configuration）] ウィンドウから混合モードに設定することはできません。 クラスタセキュリティモードは、Cisco CTL クライアントまたは CLI コマンド set utils ctl で設定できます。

• 証明書信頼リスト（CTL）を作成します。これは、セキュリティトークン、Unified Communications Manager、ASA ファイアウォール、CAPF サーバーの証明書エントリを含むファイルです。

  CTL ファイルは、電話接続の TLS をサポートするサーバを示します。 クライアントは、Unified Communications Manager、Cisco CAPF、および ASA ファイアウォールを自動的に検出し、これらのサーバーの証明書エントリを追加します。

  （注）

  Cisco CTL クライアントは、スーパークラスタサポートも提供：最大 16 台のコール処理サーバー、1 台のパブリッシャ、2 台の TFTP サーバー、そして最大 9 台のメディアリソースサーバーをサポートします。 ヒント TFTP サービスを再起動してから、クラスタ内でこれらのサービスを実行するすべてのサーバー上で CallManager を再起動する必要があるため、スケジュールされたメンテナンス期間中に CTL ファイルを更新できます。 Cisco CTL の設定が完了した後、CTL は以下のタスクを実行します。 CTL ファイルを Unified Communications Manager サーバー（複数可）に書き込みます。 CAPF capf.cer をクラスタ内のすべての Unified Communications Manager 後続ノード (最初のノードではない) に書き込みます。 クラスタ内のすべての Unified Communications Manager の後続ノード (最初のノードではない) に PEM 形式の CAPF 証明書ファイルを書き込みます。 すべての設定済み TFTP サーバにファイルを書き込みます。 設定済みのすべての ASA ファイアウォールにファイルを書き込みます。 CTL ファイルの作成時に USB ポート内に存在していたセキュリティトークンの秘密鍵を使って、CTL ファイルに署名します。

（注）	CLI コマンドの set utils ctl でクラスターのセキュリティを管理する場合、この手順は必要ありません。

次のシナリオが発生した場合、CTL ファイルを更新する必要があります。 以下を行った場合：

• 新しい Unified Communications Manager サーバーをクラスタに追加した場合

  （注）	セキュアなクラスタにノードを追加するには、「Unified Communications Manager をインストールする」を参照してください。新しいノードの追加方法と新しいノードのセキュリティ設定方法について説明しています。

• Unified Communications Manager サーバーの名前または IP アドレスを変更した場合

• 設定済みの TFTP サーバーの IP アドレスまたはホスト名を変更した場合

• 設定済みの ASA ファイアウォールの IP アドレスまたはホスト名を変更した場合

• Cisco 認証局機能サービスを Cisco Unified Serviceability で有効にした場合

• セキュリティトークンを追加または削除した場合

• TFTP サーバーを追加または削除した場合

• Unified Communications Manager サーバーを追加または削除した場合

• ASA ファイアウォールを追加または削除した場合

• CTL ファイルを含む Cisco Unified Communications Manager クラスタ上の任意のノードで、CallManager、CAPF、または ITL 回復証明書を手動で再生成する場合は、CTL ウィザードを再実行する必要があります。 この手順は、他の証明書の生成には必要ありません。

• 7.1.5 以前の Unified Communications Manager バージョンを 7.1.5 またはそれ以降のバージョンに更新した場合。

• 10.5 より前の Unified Communications Manager バージョンを 10.5 以降に更新した場合は、「ハードウェア eToken からトークンレス ソリューションへの移行」の項を参照してください。

• サードパーティの CA 署名付き証明書をプラットフォームにアップロードした場合。

（注）	混合モードの Unified Communications Manager クラスタでドメイン名が追加または変更された場合、電話構成ファイルを有効にするために CTL ファイルを更新する必要があります。

ヒント	最小限のコール処理の中断が発生するときにファイルを更新することを強くお勧めします。

注意

Unified Communications Manager が安全な SIP または SCCP を使用して Unity Connection 10.5 以降と統合されている場合、セキュアコールが Unity Connection で機能しなくなる場合があります。 この問題を解決するには、Unity Connection の対応するポート グループをリセットする必要があります。 Unity Connection Administration インターフェイスからポートグループをリセットするには、リセットするポートグループを選択し、[ポートグループの基本（Port Group Basics）] ページで [リセット（Reset）] をクリックした後、[テレフォニー統合（Telephony Integrations）] > [ポートグループ（Port Group）] に移動します。

クラスタ セキュリティ モードを設定するには、Cisco CTL を使用する必要があります。 Unified Communications Manager Administration の [エンタープライズパラメータの設定（Enterprise Parameters Configuration）] ウィンドウから Unified Communications Manager セキュリティモードを変更することはできません。

（注）	クラスタセキュリティモードは、スタンドアロンサーバまたはクラスタのセキュリティ機能を設定します。

Cisco CTL クライアントの初期設定後にクラスタ セキュリティ モードを変更するには、CTL ファイルを更新する必要があります。

クラスタセキュリティモードを確認するには、以下の手順を実行します。

（注）	クラスタセキュリティモードは、スタンドアロンサーバまたはクラスタのセキュリティ機能を設定します。

Cisco CTL クライアントのインストールにより、Smart Card サービスが無効になっていることが検出された場合、Cisco CTL クライアントプラグインをインストールするサーバーまたはワークステーションで、Smart Card サービスを自動および開始に設定する必要があります。

ヒント	サービスが開始済みおよび自動に設定されていない場合、CTL ファイルにセキュリティトークンを追加できません。

ヒント	オペレーティングシステムのアップグレード、サービスリリースの適用、Cisco Unified Communications Manager のアップグレードなどの処理を行った後は、Smart Card サービスが自動的に開始されることを確認します。

サービスを開始および自動に設定するには、以下の手順を実行します。

Cisco CTL クライアントをアンインストールしても、CTL ファイルは削除されません。 同様に、クライアントをアンインストールしても、クラスタ セキュリティ モードと CTL ファイルは変更されません。 そうしたい場合は、CLI オプションを使用して Cisco CTL をアンインストールできます。

Cisco CTL クライアントがインストールされていることを確認するには、以下の手順を実行します。