目录

简介

先决条件

要求

使用的组件

背景信息

下载并安装RTMT

使用RTMT监控终端

在混合模式或非安全模式下识别集群

证书存储的影响

证书再生过程

ITL和CTL解释

非安全群集

安全集群（混合模式）

验证

故障排除

简介

本文档提供了有关如何在Cisco Unified Communications Manager(CUCM)12.X及更高版本中重新生成证书的推荐分步过程。此过程不使用回退到8.0功能之前的版本，并按功能更新证书。默认情况下，安全功能是身份信任列表(ITL)，混合模式功能是证书信任列表(CTL)，以避免注册问题。

先决条件

要求

Cisco 建议您了解以下主题：

- 实时监控工具(RTMT)。

- 思科统一通信管理器(CUCM)证书。

使用的组件

本文档中的信息基于CUCM版本12.X及更高版本。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

下载并安装RTMT

步骤1.打开Call Manager(CM)Administration页面。

步骤2.导航至Application > Plugins > Find > Cisco Unified Real-Time Monitoring Tool - Windows > Download。

步骤3.启动已下载的RTMT安装软件并遵循安装向导。

使用RTMT监控终端

步骤1:  启动RTMT并输入IP地址或完全限定域名(FQDN)，然后输入用户名和密码以访问该工具。

步骤2.此部分确定注册的终端总数以及注册到每个节点的终端总数。终端重置时监控，以确保在重新生成下一个证书之前注册。

a.选择语音/视频选项卡。

b.选择Device Summary。

提示：某些证书的重新生成过程可能会影响终端。由于需要重新启动服务和重新启动电话，因此请考虑在正常工作时间后采取的行动计划。强烈建议通过RTMT监控电话注册。

警告：当前ITL不匹配的终端在此过程后可能会出现注册问题。  在终端上删除ITL是重新生成过程完成后，所有其他电话都已注册后的典型最佳实践解决方案。

在混合模式或非安全模式下识别集群

步骤1.打开CM Administration页面。

步骤2.导航至System > Enterprise Parameters > Security Parameters > Cluster Security Mode。

证书存储的影响

在整个 CUCM 集群中更新所有证书对于确保系统的出色功能非常重要。如果证书已过期或无效，则可能会严重影响系统的正常功能。此处显示无效或过期的特定证书的服务列表。受到的影响可能因系统设置而不同。

证书再生过程

ITL和CTL解释

- ITL包含Call Manager TFTP的证书角色、集群中的所有TVS证书以及运行时的证书颁发机构代理功能(CAPF)

- CTL包含在同一服务器、CAPF、TFTP服务器和自适应安全设备(ASA)防火墙上运行的系统管理员安全令牌(SAST)、Cisco Call Manager和Cisco TFTP服务条目。CTL中未引用TVS。

注意：当设备失去其受信任状态时，会使用ITLRecovery证书。证书同时显示在ITL和CTL中（当CTL提供程序处于活动状态时）。 如果设备失去其信任状态，则可以对非安全集群使用utils itl reset localkey命令，对混合模式集群使用utils ctl reset localkey命令。请阅读Call Manager版本的安全指南，了解如何使用ITLRecovery证书以及恢复受信任状态所需的过程。

如果集群已升级到支持密钥长度为2048的版本，且集群服务器证书已重新生成到2048，且ITLRecovery尚未重新生成，且当前为1024密钥长度，则ITL recovery命令将失败，ITLRecovery方法无法使用。

非安全群集

步骤1.验证ITL文件是否有效(show itl命令)，所有电话都信任当前ITL文件。

步骤2.重新生成ITLRecovery证书。导航至Cisco Unified OS Administration > Security > Certificate Management > Find。

1. 选择ITLRecovery pem Certificate。

2. 打开后，选择重新生成并等到您看到“成功”弹出窗口，然后关闭弹出窗口或返回并选择“查找/列表”。

步骤3.使用CallManager证书对ITL文件签名（实用程序itl reset localkey）。

步骤4.重新启动所有电话。

1. 导航至Cisco Unified CM管理>系统>企业参数。

2. 选择Reset，您将看到一个弹出窗口，其中包含“You are arout to reset all devices in the system”语句。此操作无法撤消。继续？,选择确定，然后选择重置。

步骤5.重新启动TFTP服务（运行中的所有节点），使ITL文件由新ITLRecovery证书重新签名。

步骤6.再次重置所有电话以提取新的ITL文件。

1. 导航至Cisco Unified CM管理>系统>企业参数。

2. 选择Reset，您将看到一个弹出窗口，其中包含“You are arout to reset all devices in the system”语句。此操作无法撤消。继续？,选择确定，然后选择重置。

安全集群（混合模式）

步骤1.使用show ctl命令检验CTL文件。

步骤2.重新生成ITLRecovery证书。导航至Cisco Unified OS Administration > Security > Certificate Management > Find。

1. 选择ITLRecovery pem Certificate。

2. 打开后，选择“重新生成”，然后等到您看到“成功”弹出窗口，然后关闭弹出窗口或返回并选择“查找/列表”。

步骤3.使用CallManager证书(utils ctl reset localkey)对CTLFile进行签名。 这还将使用新的ITLRecovery证书更新CTLFile。

步骤4.重置电话以使用新的ITLRecovery证书来取新的CTLFile。

1. Cisco Unified CM管理>系统>企业参数。

2. 选择Reset，您将看到一个弹出窗口，其中包含“You are arout to reset all devices in the system”语句。此操作无法撤消。继续？,选择确定，然后选择重置。

步骤5.更新CTLFile，使其由新的ITLRecovery证书重新签名(utils ctl update CTLFile)。

步骤6.重新启动CallManager和TFTP服务。

1. 登录Publisher的Cisco Unified Serviceability页面。

2. 导航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。

3. 从发布者开始，然后继续订用者，重新启动Cisco CallManager服务（运行）。

4. 导航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。

5. 从发布服务器开始，然后继续订用服务器，仅在运行时重新启动Cisco TFTP Service。

步骤7.重置电话以接收由新ITLRecovery证书签名的新CTLFile。

1. Cisco Unified CM管理>系统>企业参数。

2. 选择Reset，您将看到一个弹出窗口，其中包含“You are arout to reset all devices in the system”语句。此操作无法撤消。继续？,选择确定，然后选择重置。

验证

当前没有可用于此配置的验证过程。

故障排除

目前没有针对此配置的故障排除信息。