Certificaten regenereren in Unified Communications Manager

Inleiding

In dit document worden de procedures beschreven voor het regenereren van certificaten in Unified Communications Manager, de effecten en vereisten voor succes.  

Voorwaarden

Vereisten 

Cisco raadt kennis van de volgende onderwerpen aan:

• Realtime Monitoring Tool (RTMT)
• Beveiligingsgids voor Cisco Unified Communications Manager
• CUCM-certificaten
• in gemengde modus
• Certificate Authority-proxyfunctie

Gebruikte componenten

Cisco raadt u aan deze tools te installeren:

• Realtime Monitoring Tool (RTMT)
• Informatie gebaseerd op Cisco Unified Communications Manager (CUCM) releases 15.0+.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

In dit document wordt de stapsgewijze procedure beschreven voor het regenereren van certificaten in Cisco Unified Communications Manager (CUCM) versie 15.X en nieuwer. Raadpleeg de Beveiligingsgids voor uw specifieke release.

Legacy-versies die End-Of-Life zijn, worden niet beschouwd.

Communicatiemanager (CUCM) release 12.0+ het ITL is ondertekend door het ITLR Recovery Certificate.

Communications Manager (CUCM) brengt 12.0+ uit wanneer in de gemengde modus de CTL is ondertekend door het ITLR-herstelcertificaat.

Mixed-Mode is een modus die verbeterde beveiligingsfuncties mogelijk maakt, terwijl de compatibiliteit met bestaande of niet-beveiligde eindpunten behouden blijft.

De Cisco IP Phone vertrouwt op het CTL-bestand om meer te weten te komen over de beveiligingsmodus van het cluster (niet-beveiligde of gemengde modus). Het CTL-bestand volgt de beveiligingsmodus van het cluster door het certificaat van Unified Communications Manager op te nemen in het record van Unified Communications Manager.  De CTL wordt pas gegenereerd nadat het cluster in de Moxed-Mode is geplaatst.

Het ITL-bestand bevat ook de indicatie voor de beveiligingsmodus van het cluster.

Identiteitscertificaat: Een certificaat dat de identiteit van een gebruiker of apparaat (Applicatie/Server) vertegenwoordigt.  Het bevat de openbare sleutel van de certificeringsinstantie (CA) die het certificaat heeft afgegeven en bevat informatie zoals de gegevens van de certificaathouder en de geldigheidsduur van het certificaat.

ITL Signer-vergelijking

Realtime Monitoring Tool (RTMT) installeren

• Download en installeer RTMT Tool vanuit Call Manager.
  • Navigeer naar Call Manager (CM) Administration: Application > Plugins > Find > Cisco Unified Real-time Monitoring Tool - Windows > Download. Installeren en starten. 

Monitor eindpunten met RTMT

• Start RTMT en voer het IP-adres of de Fully Qualified Domain Name (FQDN) in, en vervolgens gebruikersnaam en wachtwoord om toegang te krijgen tot het hulpprogramma: 
  • Selecteer het tabblad Voice/Video.
  • Selecteer Apparaatoverzicht.
    • In dit gedeelte wordt het totale aantal geregistreerde eindpunten en het aantal verbindingen met elk knooppunt aangegeven.
    • Controleer tijdens het resetten van het eindpunt om te zorgen voor registratie voorafgaand aan de regeneratie van het volgende certificaat. 

 Tip: Het regeneratieproces van sommige certificaten kan van invloed zijn op eindpunten. Overweeg een actieplan na de reguliere kantooruren vanwege de vereiste om services opnieuw op te starten en telefoons opnieuw op te starten. Verifieer de telefoonregistratie via RTMT voor, tijdens en na het proces wordt sterk aanbevolen. U hoeft de services alleen opnieuw op te starten als de services op de server worden uitgevoerd.

 Waarschuwing: Eindpunten die momenteel een ITL-mismatch (Bad ITL) hebben, kunnen na dit proces registratieproblemen hebben.  Voor apparaten met een slechte ITL is het verwijderen van de ITL op het eindpunt een typische best practice-oplossing nadat het regeneratieproces is voltooid en alle andere telefoons zijn geregistreerd.  Bekijk specifieke telefoonmodellen over het verwijderen van ITL/CTL (Security)-certificaten.

 

Clusterbeveiligingsmodus identificeren

• Navigeer naar CM-beheer: Systeem > Bedrijfsparameters > Beveiligingsparameters > Clusterbeveiligingsmodus.

ITL en CTL

• De initiële vertrouwenslijst (ITL) bevat de certificeringsrol voor Call Manager TFTP, ITLRecovery en alle TVS-certificaten in het cluster. Het kan ook de Certificate Authority Proxy Function (CAPF) bevatten als de service actief is. Vanaf versie 12.0 wordt het ITL ondertekend door het ITLR-herstelcertificaat. U kunt dit zien door u aan te melden bij CLI en de opdracht show itl in te voeren. Voorafgaand aan versie 12.0 werd het ITL ondertekend door het Call Manager-certificaat.
• CTL bevat vermeldingen voor System Administrator Security Token (SAST), Cisco CallManager en Cisco TFTP-services die worden uitgevoerd op dezelfde server, CAPF, ITLRecovery, TFTP-server(s) en Adaptive Security Appliance (ASA)-firewall. TVS wordt niet vermeld in CTL. De CTL wordt geleverd aan eindpunten als de service, Cisco CTL Provider, actief is.
• Met ingang van CUCM 14SU(3) ondersteunt Cisco CTL Provider-service niet langer CTL-tokens en is Tokenless de standaard ondersteunde methode.

Impact van de certificaatwinkel

Het is voor een succesvolle systeemfunctionaliteit van cruciaal belang dat alle certificaten in het CUCM-cluster worden bijgewerkt. Als certificaten verlopen of ongeldig zijn, kunnen ze de normale functionaliteit van het systeem aanzienlijk beïnvloeden. De impact kan verschillen, afhankelijk van de installatie van het systeem. Een lijst met services voor de specifieke certificaten die ongeldig of verlopen zijn, wordt hier weergegeven: 

CallManager.pem/CallManager-ECDSA.pem

• Versleutelde/geverifieerde telefoons registreren zich niet.
• Trivial File Transfer Protocol (TFTP) is niet vertrouwd (telefoons accepteren geen ondertekende configuratiebestanden en / of ITL-bestanden).
• Telefoondiensten kunnen worden beïnvloed (automatische registratie, uitbreidingsmobiliteit, uitbreidingsmobiliteit, cross-cluster)
• Secure Session Initiation Protocol (SIP) trunks of mediabronnen (SIP TLS, Conference Bridges, Media Termination Point (MTP), Xcoders, enzovoort, Exp-C TLS Traversal Zone) registreren of werken niet.
• Het AXL-verzoek mislukt.

Tomcat.pem/Tomcat-ECDSA.pem

• Telefoons hebben geen toegang tot HTTP-services die worden gehost op de CUCM-node, zoals Corporate Directory.
• CUCM kan verschillende webproblemen hebben, zoals het niet kunnen openen van servicepagina's van andere knooppunten in het cluster.
• Uitbreidingsmobiliteit (EM) of Uitbreidingsmobiliteit Cross Cluster-kwesties.
• noodherstel
• Single Sign-On (SSO)
• Expressway Traversal Zone down (TLS Verify is ingeschakeld).
• Als Unified Contact Center Express (UCCX) is geïntegreerd, vanwege een beveiligingswijziging van CCX 12.5, moet het CUCM Tomcat-certificaat (zelfondertekend) of het Tomcat-root- en intermediair certificaat (voor CA ondertekend) in UCCX tomcat-trust store zijn geüpload, omdat het Finesse-desktopaanmeldingen beïnvloedt.

CAPF.pem

• Dit certificaat wordt gebruikt om LSC uit te geven aan de eindpunten (behalve online en offline CAPF-modus), Phone VPN, 802.1x, Phone Proxy, Application User CAPF Profiles.
• Vanaf Unified Communications Manager Release 11.5(1) SU1 zijn alle LSC-certificaten die door CAPF-service zijn uitgegeven, ondertekend met het SHA-256-algoritme.
• Instelling voor verificatie en codering voor CTI, JTAPI en TAPI.

IPSec.pem

• Het Disaster Recovery System (DRS)/Disaster Recovery Framework (DRF) kan niet goed functioneren.
• IPsec-tunnels naar Gateway (GW) of naar andere CUCM-clusters werken niet.

Trustverificatieservice (TVS)

Trust Verification Service (TVS) is het hoofdonderdeel van Security by Default. Met TVS kunnen Cisco Unified IP Phones toepassingsservers, zoals EM-services, directory en MIDlet, verifiëren wanneer HTTPS is ingesteld.

TVS biedt de volgende functies:

• Schaalbaarheid - Cisco Unified IP Phone-bronnen worden niet beïnvloed door het aantal certificaten dat u kunt vertrouwen.
• Flexibiliteit - Toevoeging of verwijdering van vertrouwenscertificaten wordt automatisch in het systeem weerspiegeld.
• Standaardbeveiliging - Niet-media- en signaalbeveiligingsfuncties maken deel uit van de standaardinstallatie en vereisen geen tussenkomst van de gebruiker.
• Telefonische serviceaanvragen en validatie via certificaatverificatie.

ITLR-herstel (vertrouwensverificatieservice)

• 8.X - 11.5 Herstel van telefoons met niet-overeenkomende ITL, Telefoonmigratie en EMCC naar CUCM 12.0+.
• 12.0+ Gebruikt in SSO, EMCC en primaire ondertekenaar van ITL/CTL.
• 12.5+ ITL Recovery wordt alleen gegenereerd door de Uitgever

Ondersteuning van ECDSA voor Certificate Manager

In Unified Communications Manager versie 11.0 ondersteunt de certificaatbeheerder zowel de generatie van zelfondertekende ECDSA-certificaten als de ECDSA-certificaatondertekeningsaanvraag (CSR). Eerdere versies van Unified Communications Manager ondersteunden alleen het RSA-certificaat. Na Unified Communications Manager versie 11.0 is het CallManager-ECDSA-certificaat toegevoegd, samen met het bestaande RSA-certificaat.

Zowel de CallManager- als de CallManager-ECDSA-certificaten delen de gemeenschappelijke certificaatvertrouwenswinkel - CallManager-Trust. Unified Communications Manager uploadt deze certificaten naar deze vertrouwenswinkel.

Door CA ondertekende identiteitscertificaat van derden

Opmerking: externe bronnen kunnen interne Certificate Authority (CA) of externe bronnen zoals Go-Daddy, Verisign en anderen zijn.  Identiteitscertificaat is het servercertificaat voor de specifieke rol (Tomcat, Call Manager, enzovoort). Ondertekende certificaten hebben ten minste een root-CA die het identiteitscertificaat heeft ondertekend.  In de meeste gevallen een intermediair of veelvoud. Certificaatpad kan er als volgt uitzien: Hoofdmap - Tussenliggend - Identiteitscertificaat.

1. Navigeer naar elke server in uw cluster (in afzonderlijke tabbladen van uw webbrowser, tenzij u Multi-SAN CSR maakt) en begin met de uitgever, die door elke abonnee wordt opgevolgd. Navigeer naar Cisco Unified OS Administration > Security > Certificate Management.
2. Selecteer CSR genereren.
3. Selecteer de vervolgkeuzelijst Certificaatdoel en selecteer het certificaat.
4. Selecteer het type Distributie. Single Server of Multi-Server (SAN).
   • Multi-server (SAN) omvat alle CUCM- en CUP-knooppunten in de sectie SAN's.
5. Selecteer Genereren.
6. Download de CSR en geef deze door aan uw certificeringsinstantie.
7. Na ontvangst van het ondertekende certificaat uploadt u de certificaten per kettingorder.
   • Upload de ROOT als een vertrouwenscertificaat.
   • Upload de tussenpersoon als een vertrouwenscertificaat.
   • Upload het ondertekende certificaat als certificaattype.
   • Start de juiste services die in het pop-upvenster zijn aangegeven opnieuw op.

certificaatregeneratieproces

Opmerking: alle eindpunten moeten worden ingeschakeld en geregistreerd voordat de certificaten worden geregenereerd. Anders, de niet aangesloten telefoons vereisen de verwijdering van de ITL.

Tomcat-certificaat

Het proces van het regenereren van Tomcat en Tomcat-ECDSA is identiek, inclusief het opnieuw starten van de service.

Identificeer of certificaten van derden in gebruik zijn:

1. Navigeer naar elke server in uw cluster (in afzonderlijke tabbladen van uw webbrowser) en begin met de uitgever, gevolgd door elke abonnee.  Navigeer naar Cisco Unified OS Administration > Security > Certificate Management > Find.
   
   • Observeer vanuit de kolom Beschrijving als Tomcat aangeeft dat het zelfondertekende certificaat is gegenereerd door het systeem. Als Tomcat door een derde partij is ondertekend, gebruikt u de verstrekte link en voert u deze stappen uit na de Tomcat-regeneratie.
   • Ondertekende certificaten van derden, raadpleeg CUCM Uploading CCMAdmin Web GUI Certificates. 
2. Selecteer Zoeken om alle certificaten weer te geven:
   • Selecteer de Find Tomcat Pem.
   • Selecteer Eenmaal geopend Regenereren en wacht tot u het pop-upvenster Succes ziet, sluit dan het pop-upvenster of ga terug en selecteer Zoeken/Lijst.
3. Ga door met elke volgende abonnee, voer dezelfde procedure uit in stap 2 en voltooi op alle abonnees in uw cluster.
4. Nadat alle Nodes het Tomcat-certificaat hebben geregenereerd, start u de tomcat-service op alle nodes opnieuw. Begin bij de uitgever, ga verder met de abonnees.
   • Als u Tomcat opnieuw wilt opstarten, moet u een CLI-sessie openen voor elk knooppunt en de opdrachthulpprogramma-service Cisco Tomcat opnieuw opstarten uitvoeren.
   • Als uw cluster is geconfigureerd voor SSO of OAuth gebruikt, moet u de SSOSP-service opnieuw starten. Hulpprogramma's voor het opnieuw opstarten van Cisco SSOSP Tomcat

5. Deze stappen worden gebruikt vanuit de CCX-omgeving, indien van toepassing:

• Als een zelfondertekend certificaat wordt gebruikt, uploadt u de Tomcat-certificaten van alle knooppunten van het CUCM-cluster naar de Unified CCX Tomcat-vertrouwenswinkel.
• Als een CA-ondertekend of een ondertekend certificaat met een eigen CA wordt gebruikt, uploadt u het root-CA-certificaat van CUCM naar de Unified CCX Tomcat-vertrouwenswinkel.
• Start de servers opnieuw op, zoals vermeld in het document voor het regenereren van certificaten voor CCX.

Aanvullende referenties:

• Gids voor het beheer van certificaten van de UCCX-oplossing
• Unified CCX Health Check Utility

 IPSEC-certificaat

Opmerking: CUCM/Instant Messaging and Presence (IM&P) vóór versie 10.X wordt de DRF Master Agent uitgevoerd op zowel CUCM Publisher als IM&P Publisher. De lokale DRF-service wordt uitgevoerd op de abonnees. Versies 10.X en hoger, DRF Master Agent draait alleen op de CUCM Publisher en DRF Lokale service op CUCM-abonnees en IM & P Publisher en abonnees.

Opmerking: het Disaster Recovery System gebruikt een SSL-communicatie (Secure Socket Layer) tussen de Master Agent en de lokale agent voor verificatie en codering van gegevens tussen de CUCM-clusterknooppunten. DRS maakt gebruik van de IPSec-certificaten voor zijn Public/Private Key-encryptie. Houd er rekening mee dat als u het IPSEC truststore-bestand (hostname.pem) verwijdert van de pagina Certificaatbeheer, DRS niet werkt zoals verwacht. Als u het IPSEC-vertrouwensbestand handmatig verwijdert, moet u ervoor zorgen dat u het IPSEC-certificaat uploadt naar de IPSEC-vertrouwenswinkel. Raadpleeg voor meer informatie de Help-pagina voor certificaatbeheer in de Cisco Unified Communications Manager-beveiligingshandleidingen.

1. Navigeer naar elke server in uw cluster (in afzonderlijke tabbladen van uw webbrowser) en begin met de uitgever, opgevolgd door elke abonnee. Navigeer naar Cisco Unified OS Administration > Security > Certificate Management > Find.
   
   • Selecteer het IPSEC PEM Certificaat.
   • Selecteer Eenmaal geopend Regenereren en wacht tot u het pop-upvenster Succes ziet, sluit pop-upvenster of ga terug en selecteer Zoeken/Lijst.
2. Ga door met volgende abonnees; voer dezelfde procedure uit in stap 1 en voltooi alle abonnees in uw cluster.
3. Nadat alle knooppunten het IPSEC-certificaat hebben geregenereerd, start u de services opnieuw op.
   
   • Navigeer naar de uitgever Cisco Unified Serviceability.
     1. Cisco Unified Serviceability > Tools > Control Center - Netwerkservices
     2. Selecteer Opnieuw starten op Cisco DRF Master Service.
     3. Nadat de service opnieuw is opgestart, selecteert u Opnieuw opstarten op de Cisco DRF Local Service op de uitgever, gaat u verder met de abonnees en selecteert u Opnieuw opstarten op de Cisco DRF Local.
     4. Start de Tomcat-service opnieuw op alle knooppunten. Begin bij de uitgever, ga verder met de abonnees.
        • Als u Tomcat opnieuw wilt opstarten, moet u een CLI-sessie openen voor elk knooppunt en de opdrachthulpprogramma-service Cisco Tomcat opnieuw opstarten uitvoeren.

CAPF-certificaat

Opmerking: Vanaf CUCM 14 is het CAPF-certificaat alleen te vinden op de Publisher.

Waarschuwing: Zorg ervoor dat u hebt vastgesteld of uw cluster zich in de gemengde modus bevindt voordat u verdergaat.  Raadpleeg de sectie Clusterbeveiligingsmodus identificeren.

1. Navigeer naar Cisco Unified CM Administration > System > Enterprise Parameters.
   
   • Controleer het gedeelte Beveiligingsparameters en controleer of de Clusterbeveiligingsmodus is ingesteld op 0 of 1. Als de waarde 0 is, bevindt het cluster zich in de modus Niet-beveiligd. Als het 1 is, bevindt het cluster zich in de gemengde modus en moet u het CTL-bestand bijwerken na het bijwerken van het certificaat en voorafgaand aan het opnieuw opstarten van services.
2. Navigeer naar de Publisher-server in uw cluster Navigeer naar Cisco Unified OS Administration > Security > Certificate Management > Find.
   
   • Selecteer hetCAPF PEM certificaat.
   • Selecteer Eenmaal geopend Regenereren en wacht tot u het pop-upvenster Succes ziet, sluit dan het pop-upvenster of ga terug en selecteer Zoeken/Lijst.
   • Als het cluster zich in de gemengde modus bevindt of de CTL wordt gebruikt voor 802.1X, moet u de CTL bijwerken voordat u verder gaat.
     • Meld u aan bij de CLI van de Publisher en voer de opdracht utils ctl update CTLFile in.
     • Reset alle gecodeerde en geverifieerde telefoons voor de CTL-bestandsupdate om effect te hebben.
3. Nadat de uitgever het CAPF-certificaat heeft geregenereerd, start u de services opnieuw op.
   
   • Navigeer naar uitgever Cisco Unified Serviceability.
     1. Cisco Unified Serviceability > Tools > Control Center - Feature Services.
     2. Selecteer de uitgever en selecteer Opnieuw starten in de Cisco Certificate Authority Proxy Function Service, alleen als deze actief is.
4. Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Network Services.
   • Begin met de uitgever, ga vervolgens verder met de abonnees en selecteer Opnieuw starten op Cisco Trust Verification Service.
   • Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Feature Services.
   • Begin met de uitgever en ga vervolgens verder met de abonnees, start de Cisco TFTP-service opnieuw op waar de status Begonnen wordt weergegeven.
5. Start alle telefoons opnieuw op:
   • Optie 1
   • Cisco Unified CM Administration > Systeem > Bedrijfsparameters
   • Selecteer Reset, dan ziet u een pop-up met de instructie "U staat op het punt om alle apparaten in het systeem te resetten. Deze actie kan niet ongedaan worden gemaakt. Doorgaan?", selecteert u OK en selecteert u vervolgens Reset.
     • Met deze methode worden ALLE componenten in Call Manager opnieuw ingesteld.
   • Optie 2
   •  Cisco Unified CM Administration > Bulkbeheer > Telefoons > Telefoons bijwerken > Query
     • Zoeken naar apparaatnaam begint met SEP > Volgende > Telefoons opnieuw instellen > Onmiddellijk uitvoeren.

De telefoons zijn nu gereset. Controleer hun acties via de RTMT-tool om ervoor te zorgen dat de reset succesvol was en dat apparaten zich opnieuw registreren bij CUCM. Wacht tot de telefoonregistratie is voltooid voordat u doorgaat naar het volgende certificaat. Dit proces van telefoonregistratie kan enige tijd duren. Houd er rekening mee dat apparaten die vóór het regeneratieproces slechte ITL's hadden, zich niet opnieuw registreren in het cluster totdat het is verwijderd.

 CallManager-certificaat

Het proces voor het regenereren van CallManager en CallManager-ECDSA is identiek, inclusief het opnieuw starten van de service.

Waarschuwing: Zorg ervoor dat u hebt vastgesteld of uw cluster zich in de gemengde modus bevindt voordat u verdergaat. Raadpleeg de sectie Clusterbeveiligingsmodus identificeren.

Waarschuwing: genereer niet tegelijkertijd CallManager.PEM- en TVS.PEM-certificaten in versie 8.x-11.5, of als het ITL is ondertekend door het Call Manager-certificaat.  Dit veroorzaakt een niet-herstelbare mismatch met de geïnstalleerde ITL op eindpunten waarvoor de verwijdering van de ITL van ALLE eindpunten in het cluster of het terugzetten van DRS vereist is om de certificaatupdates opnieuw te starten.

1. Navigeer naar de Cisco Unified CM Administration > System > Enterprise Parameters:
   • Controleer het gedeelte Beveiligingsparameters en controleer of de Clusterbeveiligingsmodus is ingesteld op 0 of 1. Als de waarde 0 is, bevindt het cluster zich in de modus Niet-beveiligd. Als het 1 is, bevindt het cluster zich in de gemengde modus en moet u het CTL-bestand bijwerken voordat u de services opnieuw start. Zie Token en Tokenless links.
2. Navigeer naar elke server in uw cluster (in afzonderlijke tabbladen van uw webbrowser) en begin bij de uitgever en vervolgens bij elke abonnee. Navigeer naar Cisco Unified OS Administration > Security > Certificate Management > Find.
   
   • Selecteer het CallManager PEM-certificaat.
   • Selecteer Eenmaal geopend Regenereren en wacht tot u het pop-upvenster Succes ziet, sluit dan het pop-upvenster of ga terug en selecteer Zoeken/Lijst.
3. Ga door met volgende abonnees; voer dezelfde procedure uit in stap 2 en voltooi alle abonnees in uw cluster.
   • Als het cluster zich in de gemengde modus bevindt of als de CTL wordt gebruikt voor 802.1X, moet u de CTL bijwerken voordat u verder gaat.
     • Meld u aan bij de CLI van de Publisher en voer de opdracht utils ctl update CTLFile in.
     • Reset alle gecodeerde en geverifieerde telefoons voor de CTL-bestandsupdate om effect te hebben.
4. Meld u aan bij Publisher Cisco Unified Serviceability:
   • Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Feature Services.
   • Begin met de uitgever en ga vervolgens verder met de abonnees. Start Cisco CallManager Service alleen opnieuw op waar de status Gestart wordt weergegeven.
5. Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Feature Services.
   
   • Begin met de Publisher, ga vervolgens verder met de abonnees en start de Cisco CTIManager-service opnieuw op waar de status Begonnen wordt weergegeven.
6. Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Network Service.
   
   • Begin met de Publisher, ga vervolgens verder met de abonnees en start de Cisco Trust Verification Service opnieuw.
7. Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Feature Services.
   
   • Begin met de Publisher, ga vervolgens verder met de abonnees en start de Cisco TFTP Service opnieuw op waar de status Begonnen wordt weergegeven.
8. Als uw cluster is geconfigureerd om SSO of OAuth te gebruiken, moet u de Cisco HAProxy-service opnieuw starten.
   • Als u Tomcat SSOSP opnieuw wilt starten, moet u voor elk knooppunt een CLI-sessie openen en de opdrachthulpprogramma-service Cisco HAProxy opnieuw opstarten.
9. Start alle telefoons opnieuw op:
   • Optie 1
   • Cisco Unified CM Administration > Systeem > Bedrijfsparameters
     • Selecteer Reset, dan ziet u een pop-up met de instructie "U staat op het punt om alle apparaten in het systeem te resetten. Deze actie kan niet ongedaan worden gemaakt. Doorgaan?", selecteert u OK en selecteert u vervolgens Reset.
     • Met deze methode worden ALLE componenten in Call Manager opnieuw ingesteld.
   • Optie 2
   •  Cisco Unified CM Administration > Bulkbeheer > Telefoons > Telefoons bijwerken > Query
     • Zoeken naar apparaatnaam begint met SEP > Volgende > Telefoons opnieuw instellen > Onmiddellijk uitvoeren

De telefoons zijn nu gereset. Controleer hun acties via de RTMT-tool om ervoor te zorgen dat de reset succesvol was en dat apparaten zich opnieuw registreren bij CUCM. Wacht tot de telefoonregistratie is voltooid voordat u doorgaat naar het volgende certificaat. Dit proces van telefoonregistratie kan enige tijd duren. Houd er rekening mee dat apparaten die vóór het regeneratieproces slechte ITL's hadden, zich niet opnieuw in het cluster registreren totdat ITL is verwijderd.

TVS-certificaat

Waarschuwing: genereer niet tegelijkertijd CallManager.PEM- en TVS.PEM-certificaten in versie 8.x-11.5, of als het ITL is ondertekend door het Call Manager-certificaat.  Dit veroorzaakt een niet-herstelbare mismatch met de geïnstalleerde ITL op eindpunten waarvoor de verwijdering van de ITL van ALLE eindpunten in het cluster of het terugzetten van DRS vereist is om de certificaatupdates opnieuw te starten.

Opmerking: TVS verifieert certificaten namens Call Manager. Regenereer dit certificaat als laatste.

Navigeer naar elke server in uw cluster (in afzonderlijke tabbladen van uw webbrowser) en begin bij de uitgever en vervolgens bij elke abonnee.  Navigeer naar Cisco Unified OS Administration > Security > Certificate Management > Find.

• Selecteer het TVS pem Certificaat.
• Selecteer Eenmaal geopend Regenereren en wacht tot u het pop-upvenster Succes ziet en sluit vervolgens het pop-upvenster of ga terug en selecteer Zoeken/Lijst.

1. Ga door met volgende abonnees; voer dezelfde procedure uit in stap 1 en voltooi op alle abonnees in uw cluster.
   • Nadat alle knooppunten het TVS-certificaat opnieuw hebben gegenereerd, start u de services opnieuw op:
     • Meld u aan bij uitgever Cisco Unified Serviceability.
       • Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Network Services
       • Selecteer op de uitgever Opnieuw starten op Cisco Trust Verification Service.
     • Nadat de service opnieuw is opgestart, gaat u verder met de abonnees en start u de Cisco Trust Verification Service opnieuw.
2. Begin met de Publisher, ga vervolgens verder met de abonnees, start de Cisco TFTP Service opnieuw op waar de status Gestart wordt weergegeven.
3. Start alle telefoons opnieuw op:
   • Optie 1
   • Cisco Unified CM Administration > Systeem > Bedrijfsparameters
     • Selecteer Reset, dan ziet u een pop-up met de instructie "U staat op het punt om alle apparaten in het systeem te resetten. Deze actie kan niet ongedaan worden gemaakt. Doorgaan?", selecteert u OK en selecteert u vervolgens Reset.
     • Met deze methode worden ALLE componenten in Call Manager opnieuw ingesteld.
   • Optie 2
   •  Cisco Unified CM Administration > Bulkbeheer > Telefoons > Telefoons bijwerken > Query
     • Zoeken naar apparaatnaam begint met SEP > Volgende > Telefoons opnieuw instellen > Onmiddellijk uitvoeren.

De telefoons zijn nu gereset. Controleer hun acties via de RTMT-tool om ervoor te zorgen dat de reset succesvol was en dat apparaten zich opnieuw registreren bij CUCM. Wacht tot de telefoonregistratie is voltooid voordat u doorgaat naar het volgende certificaat. Dit proces van telefoonregistratie kan enige tijd duren. Houd er rekening mee dat apparaten die vóór het regeneratieproces slechte ITL's hadden, zich niet opnieuw in het cluster registreren totdat ITL is verwijderd.

ITLR-herstelcertificaat

Opmerking: het ITLR-herstelcertificaat wordt gebruikt wanneer apparaten hun vertrouwde status verliezen. Het certificaat wordt weergegeven in zowel de ITL als CTL (wanneer CTL-provider actief is, Cisco bug ID CSCwf85275).
Vanaf 12,5+ is de ITLRecovery een enkel certificaat dat door de uitgever wordt gegenereerd en aan de abonnees wordt gedistribueerd.
Als apparaten hun vertrouwensstatus verliezen, kunt u de opdracht hulpprogramma's itl reset localkey gebruiken voor niet-beveiligde clusters en de opdracht hulpprogramma's ctl reset localkey voor mix-mode clusters. Lees de beveiligingsgids voor uw Call Manager-versie om bekend te raken met hoe het ITLR-herstelcertificaat wordt gebruikt en het proces dat nodig is om de vertrouwde status te herstellen.
Als het cluster is geüpgraded naar een versie die een sleutellengte van 2048 ondersteunt en de clusterservercertificaten zijn geregenereerd naar 2048 en de ITLR-herstelmethode niet is geregenereerd en momenteel 1024-sleutellengte heeft, mislukt de ITL-herstelopdracht en wordt de ITLR-herstelmethode niet gebruikt.

1. Navigeer naar de uitgever Cisco Unified OS Administration > Security > Certificate Management > Find.
   
   • Selecteer het PEM-certificaat voor ITLR-herstel.
   • Selecteer Eenmaal geopend Regenereren en wacht tot u het pop-upvenster Succes ziet en sluit vervolgens het pop-upvenster of ga terug en selecteer Zoeken/Lijst.
2. Nadat het ITLR-herstelcertificaat is geregenereerd, moeten de services opnieuw worden gestart.
   • Als het cluster zich in de gemengde modus bevindt of de CTL wordt gebruikt voor 802.1X, moet u de CTL bijwerken voordat u verder gaat.
     • Meld u aan bij de CLI van de Publisher en voer de opdracht utils ctl update CTLFile in.
   • Log in bij de uitgever Cisco Unified Serviceability.
     • Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Network Services.
     • Selecteer in de uitgever Opnieuw starten op Cisco Trust Verification Service.
   •  Nadat de service opnieuw is opgestart, gaat u verder met de abonnees en start u de Cisco Trust Verification Service opnieuw.
3. Begin met de Publisher, ga vervolgens verder met de abonnees en start de Cisco TFTP Service opnieuw op waar de status Gestart wordt weergegeven.
4. Start alle telefoons opnieuw op:
   • Optie 1
   • Cisco Unified CM Administration > Systeem > Bedrijfsparameters
     • Selecteer Reset, dan ziet u een pop-up met de instructie "U staat op het punt om alle apparaten in het systeem te resetten. Deze actie kan niet ongedaan worden gemaakt. Doorgaan?", selecteert u OK en selecteert u vervolgens Reset.
     • Met deze methode worden ALLE componenten in Call Manager opnieuw ingesteld.
   • Optie 2
   •  Cisco Unified CM Administration > Bulkbeheer > Telefoons > Telefoons bijwerken > Query
     • Zoeken naar apparaatnaam begint met SEP > Volgende > Telefoons opnieuw instellen > Onmiddellijk uitvoeren.

Verlopen vertrouwenscertificaten verwijderen

Waarschuwing: Het verwijderen van een certificaat kan van invloed zijn op de werking van uw systeem. Het kan ook een certificaatketen doorbreken als het certificaat deel uitmaakt van een bestaande keten. Controleer deze relatie aan de hand van de gebruikersnaam en onderwerpnaam van de relevante certificaten in het venster Certificaatlijst.

Opmerking: Een vertrouwd certificaat is het enige type certificaat dat u kunt verwijderen. U kunt een zelfondertekend certificaat dat door uw systeem wordt gegenereerd, niet verwijderen.  Identificeer de vertrouwenscertificaten die moeten worden verwijderd, niet langer vereist of verlopen zijn. Verwijder de vijf basiscertificaten die de CallManager.pem, tomcat.pem, ipsec.pem, CAPF.pem en TVS.pem bevatten niet. Vertrouwenscertificaten kunnen indien nodig worden verwijderd. De volgende service die opnieuw wordt opgestart, is ontworpen om informatie over legacycertificaten binnen die services te wissen.

1. Navigeer naar Cisco Unified Serviceability > Tools > Control Center - Network Services.
   • Selecteer in de vervolgkeuzelijst de CUCM Publisher.
     • Voor CUCM 11.5 en lager,
     • Selecteer Melding stoppen bij certificaatwijziging. Deze vereiste is niet nodig voor CUCM versie 12.0 en hoger.
     • Herhaal dit voor elk Call Manager-knooppunt in uw cluster.
   • Als u een IMP-server hebt:
     • Selecteer in het vervolgkeuzemenu uw IMP-servers één voor één en selecteer Webservices voor platformbeheer en Cisco Intercluster Sync Agent stoppen.  Deze vereiste is niet nodig voor IMP versie 12.0 en hoger.
2. Navigeer naar Cisco Unified OS Administration > Security > Certificate Management > Find.
   
   • Zoek de verlopen vertrouwenscertificaten. (Voor versies 10.X en hoger kunt u filteren op Vervaldatum. Voor versies die lager zijn dan 10.0, moet u de certificaten handmatig identificeren of de RTMT-waarschuwingen gebruiken als deze zijn ontvangen.)
   • Hetzelfde vertrouwenscertificaat kan in meerdere knooppunten worden weergegeven. Het moet afzonderlijk van elke node worden verwijderd.
   • Selecteer het te verwijderen vertrouwenscertificaat (afhankelijk van uw versie krijgt u een pop-up of navigeert u naar het certificaat op dezelfde pagina)
     • Selecteer Verwijderen. (U krijgt een pop-up die begint met "u staat op het punt om dit certificaat permanent te verwijderen".)
     • Selecteer OK.
3. Herhaal het proces voor elk te verwijderen vertrouwenscertificaat.
4. Na voltooiing moeten services opnieuw worden gestart die rechtstreeks verband houden met de verwijderde certificaten. U hoeft de telefoon niet opnieuw op te starten in deze sectie.  Call Manager en CAPF kunnen van invloed zijn op het eindpunt.
   • Tomcat-trust: start Tomcat Service opnieuw op via de opdrachtregel (zie Tomcat-sectie).
   • CAPF-trust: start de Cisco Certificate Authority-proxyfunctie opnieuw op (zie CAPF-sectie). Start de eindpunten niet opnieuw op.
   • CallManager-trust: CallManager-service/CTIManager (zie het gedeelte CallManager). Start de eindpunten niet opnieuw op.
     • Beïnvloedt eindpunten en veroorzaakt herstart.
   • IPSEC-trust: DRF Master/DRF Local (zie de sectie IPSEC).
   • TVS (Self-Signed) heeft geen vertrouwenscertificaten.
5. Opnieuw opstarten van services die eerder zijn gestopt in stap 1.

Verificatie

Gebruik de onderstaande opdrachtuitvoer om de certificaten op CUCM in de CLI weer te geven:

Voer SQL Select C.Servername, TCS.name, DIST.MONIKER, C.IPV4ADDRESS, C.CERTIFICATE uit Certificate as Cinner Join CertificateServiceCertificateMap als CSCM uit op C.Pkid = CSCM.FKertificate inner Join TypeCertificateService als TCS op CSCM.TKertificateService = TCS.ENUM inner Join TypeCertificateDistribution als DIST op C.TKertificateDistribution = DIST.ENUM

Problemen oplossen

Voor deze configuratie zijn geen procedures voor probleemoplossing beschikbaar.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
7.0	20-Jul-2026	Hercertificering - bijgewerkte technische inhoud en opmaak.
6.0	01-Jul-2026	hercertificering
4.0	30-Oct-2024	Bijgewerkte machinevertaling, stijlvereisten en opmaak.
3.0	28-Sep-2022	bijgewerkt
2.0	16-Sep-2022	Heruitgegeven.
1.0	03-Apr-2019	Eerste vrijgave