Exemplo de Configuração de Autoridade de Certificado do Servidor de Comunicação por Vídeo

Introduction

Este documento descreve a autenticação de certificado no VCS (Video Communication Server, Servidor de comunicação de vídeo). Um certificado identifica o VCS e contém nomes pelos quais ele é conhecido e para os quais o tráfego é roteado. Se o VCS for conhecido por vários nomes para esses fins, como se ele fizesse parte de um cluster, ele deverá ser representado nos dados de assunto do X.509. O certificado deve conter o Nome de domínio totalmente qualificado (FQDN) do próprio VCS e do cluster. Se um certificado for compartilhado entre os peers do cluster, ele deverá listar todos os FQDNs de peer possíveis.

Um VCS precisa de certificados para:

• HTTP seguro com conectividade TLS (Transport Layer Security) (HTTPS)
• Conectividade TLS para sinalização, endpoints e zonas vizinhas do Session Initiation Protocol (SIP)
• Conexões a outros sistemas, como Cisco Unified Communications Manager (CUCM), Cisco TelePresence Management Suite (TMS), servidores Lightweight Diretory Access Protocol (LDAP) e servidores syslog

Ele usa sua lista de certificados de autoridade de certificação (CA) confiáveis e listas de revogação de certificados (CRLs) associadas para validar outros dispositivos que se conectam a ele.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• VCS - Versões 8.1 e 8.1.1
• Autoridade de certificação - Microsoft Windows 2008 R2 Enterprise

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

O VCS versão 8.1.1 suporta o recurso Collab Edge Mobile Remote Access (MRA) e exige uma conexão TLS entre o VCS-Control e o VCS-Expressway.

Para configurar o TLS, você precisa carregar os certificados necessários no VCS. Você pode concluir isso com estes três métodos:

• OpenSSL
• AC empresarial
• CA de terceiros

A conexão TLS entre o VCS-Control e o VCS-Expressway exige estes dois atributos:

• Autenticação de cliente TLS
• Autenticação de Servidor Web TLS

Este documento concentra-se no método de CA empresarial, pois o OpenSSL já é discutido no Guia de implantação de certificado do VCS.

Quando você instala a CA, o certificado do servidor Web vem por padrão. No entanto, esse modelo não pode ser usado para gerar o certificado para a conexão TLS entre VCS-Control e VCS-Expressway. Se você tentar carregar o certificado para o VCS, que é gerado apenas com o atributo do servidor web, você receberá esse erro.

Para verificar isso, selecione Manutenção > Certificado do servidor. Clique em Decodificar certificado. Verifique a seção "Extended Key Usage" (Uso estendido de chave).

Configurar

Como mencionado anteriormente, para a conexão TLS você precisa de um atributo cliente e servidor Web. Como não há um modelo padrão, você pode criar um. Conclua estes passos para gerar o novo modelo com os atributos de Autenticação de Cliente TLS e Autenticação de Servidor Web TLS:

1. Abra a Autoridade de certificação ou vá para o console do Microsoft Management Console (MMC). Clique em Adicionar/remover instantâneo e selecione Autoridade de certificado. Expanda a CA no painel esquerdo e selecione Modelos de certificado. Clique com o botão direito do mouse no modelo de certificado e selecione Gerenciar.

   

2. Clique com o botão direito do mouse no modelo de certificado do Servidor Web e selecione Modelo Duplicado.

   

3. Clique no botão de opção Windows Server 2003 Enterprise (se desejar que o modelo esteja disponível para inscrição na Web). Click OK.

   

4. Insira o nome do modelo no campo Nome de exibição do Modelo. Nomeie o modelo de acordo com seus requisitos, por exemplo, "cliente de servidor web 2003".

   

5. Clique na guia Extensions e selecione a diretiva Application. Clique em Editar.

   

6. Na caixa de diálogo Adicionar política de aplicação, selecione Autenticação de cliente. Click OK.

   

7. Na caixa de diálogo Editar extensão de políticas de aplicação, clique em OK.

   

8. No console do MMC ou na janela CA, clique com o botão direito do mouse em Modelo de certificado. Selecione Novo > Modelo de certificado a ser emitido.

   

9. Selecione o modelo recém-criado na caixa de diálogo Ativar modelos de certificado. Verifique o modelo na coluna Finalidade. Click OK.

   

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Conclua estes passos:

1. Verifique se o modelo de certificado solicitado está disponível para emitir novos certificados.

   

   Note: O modelo só estará disponível para inscrição na Web se você tiver selecionado o modelo como Windows 2003 quando você tiver criado o modelo de certificado.

   

2. Siga o procedimento para gerar a solicitação de assinatura de certificado (CSR) do VCS e obter o certificado assinado com o novo modelo.
3. Verifique se o certificado tem o atributo cliente e servidor Web disponível.

   

Troubleshoot

Esta seção disponibiliza informações para a solução de problemas de configuração.

Se o modelo não estiver disponível para inscrição na Web, determine se o usuário que acessa o certsrv tem as permissões necessárias.

Como mencionado anteriormente, o modelo do Windows 2008 não estará disponível para inscrição na Web. Para obter mais detalhes, consulte Modelos de inscrição na Web e versão 3 de 2008.

Histórico de revisões