在統一通訊管理器中重新生成證書

下載選項

  • PDF     (606.5 KB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (185.1 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (315.5 KB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2026 年 7 月 1 日
文件 ID:214231

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹在Unified Communications Manager中重新生成證書的過程。  

必要條件

需求 

思科建議您瞭解以下主題：

  • 即時監控工具(RTMT)
  • Cisco Unified Communications Manager安全指南
  • CUCM證書
  • 證書頒發機構代理函式

採用元件

思科建議您安裝以下工具：

  • 即時監控工具(RTMT)
  • 基於思科統一通訊管理器(CUCM)版本10.5、12.0、14.0、15.0的資訊。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

本文說明如何在Cisco Unified Communications Manager(CUCM)8.X及更新版本中重新生成證書的分步過程。請參考特定版本的安全指南。


通訊管理器(CUCM)版本8.X - 11.5.X ITL由Call Manager證書簽署。
通訊管理器(CUCM)版本12.0+國際交易日誌由ITLR恢復證書簽署。

ITL和CTL檔案互動

Cisco IP電話依賴CTL檔案來瞭解集群安全模式（非安全或混合模式）。 CTL檔案通過在統一通訊管理器記錄中包含統一通訊管理器證書來跟蹤集群安全模式。ITL檔案還包含集群安全模式指示。

ITL Signer ComparisonITL簽名者比較

安裝即時監控工具(RTMT)

  • 從Call Manager下載並安裝RTMT工具。
    • 導航到Call Manager(CM)管理：Application > Plugins > Find > Cisco Unified Real-Time Monitoring Tool - Windows > Download。安裝並啟動。 

使用RTMT監控端點

  • 啟動RTMT並輸入IP地址或完全限定域名(FQDN)，然後使用者名稱和password以訪問該工具： 
    • 選擇Voice/Video頁籤。
    • 選擇Device Summary。
      • 此部分標識註冊終端的總數以及每個節點的數量。
      • 在端點重置期間進行監控，以確保在重新生成下一個證書之前進行註冊。 

提示：某些證書的重新生成過程可能會影響端點。由於需要重新啟動服務和重新啟動電話，請在正常工作時間後考慮一個行動計畫。強烈建議在此過程之前、期間和之後通過RTMT驗證電話註冊。僅當服務在伺服器上運行時，才需要重新啟動服務。

警告：當前具有ITL不匹配（不良ITL）的終端在此過程後可能會出現註冊問題。  對於國際交易日誌有問題的裝置，在重新生成過程完成之後，在所有其他電話註冊後，刪除終端上的國際交易日誌是一個典型的最佳做法解決方案。  請審查有關如何刪除ITL/CTL（安全）證書的特定電話型號。

Registered Devices

確定集群安全模式

  • 導航到CM管理：System > Enterprise Parameters > Security Parameters > Cluster Security Mode。

Non-Secure Cluster

Secure Cluster

ITL和CTL

  • 初始信任清單(ITL)包含Call Manager TFTP、ITLRecovery和群集中所有TVS證書的證書角色。如果服務正在運行，則它還包含證書頒發機構代理功能(CAPF)。從12.0版開始，國際交易日誌由ITLRecovery證書簽署。您可以通過登入到CLI並輸入命令show itl來看到這一點。在12.0版之前，ITL由呼叫管理器證書簽署。
  • CTL包含在同一伺服器、CAPF、ITLRecovery、TFTP伺服器和自適應安全裝置(ASA)防火牆上運行的系統管理員安全令牌(SAST)、Cisco CallManager和Cisco TFTP服務的條目。CTL中未引用TVS。如果服務（Cisco CTL提供程式）正在運行，則向終端提供CTL。
  • 自CUCM 14SU(3)起，Cisco CTL提供商服務不再支援CTL令牌，無令牌是預設支援的方法。

證書儲存的影響

在CUCM群集中更新所有證書對於成功的系統功能至關重要。如果證書過期或無效，可能會嚴重影響系統的正常功能。影響可能因系統設定而異。以下為無效或過期的特定證書的服務清單： 

CallManager.pem

  • 加密/身份驗證電話不註冊。
  • 簡單檔案傳輸協定(TFTP)不可信（電話不接受已簽名的配置檔案和/或ITL檔案）。
  • 電話服務可能受到影響。
  • 安全作業階段啟始通訊協定(SIP)中繼或媒體資源(會議橋接器、媒體終端點(MTP)、轉碼器等)不註冊或工作。
  • AXL請求失敗。

Tomcat.pem

  • 電話無法訪問CUCM節點上託管的HTTPs服務，例如公司目錄。
  • CUCM可能遇到各種Web問題，例如無法從群集中的其他節點訪問服務頁。
  • Extension Mobility(EM)或Extension Mobility Cross Cluster問題。
  • 單一登入(SSO)
  • Expressway遍歷區域關閉（啟用TLS驗證）。
  • 如果整合了Unified Contact Center Express(UCCX)，由於CCX 12.5的安全更改，因此需要在UCCX tomcat-trust儲存中上載CUCM Tomcat證書（自簽名）或Tomcat根證書和中間證書（CA簽名），因為它會影響Finesse案頭登入。

CAPF.pem

  • 此證書用於向終端傳送LSC（線上和離線CAPF模式除外）、電話VPN、802.1x和電話代理。
  • 從Unified Communications Manager版本11.5(1)SU1開始，CAPF服務簽發的所有LSC證書都使用SHA-256演算法簽名。
  • CTI、JTAPI和TAPI的驗證和加密設定。

IPSec.pem

  • 災難恢復系統(DRS)/災難恢復框架(DRF)無法正常工作。
  • 到網關(GW)或其他CUCM群集的IPsec隧道無法正常工作。

信任驗證服務(TVS)

預設情況下，信任驗證服務(TVS)是安全性的主要元件。TVS使思科統一IP電話能夠在建立HTTPS時驗證應用伺服器（例如EM服務、目錄和MIDlet）。

TVS具有以下功能：

  • 可擴充性 — 要信任的證書數量不會影響思科統一IP電話資源。
  • 靈活性 — 信任證書的新增或移除將自動反映在系統中。
  • 預設安全 — 非媒體和訊號安全功能是預設安裝的一部分，不需要使用者干預。

ITLRecovery（信任驗證服務）

  • 8.X - 11.5恢復ITL不匹配、電話遷移和EMCC至CUCM 12.0+的電話。
  • 12.0+用於SSO、EMCC和ITL/CTL的主簽名者。
  • 12.5+ ITL恢復僅由發佈者生成。

Certificate Manager ECDSA支援

在Unified Communications Manager 11.0版中，證書管理器支援生成自簽名ECDSA證書和ECDSA證書簽名請求(CSR)。 Unified Communications Manager的早期版本僅支援RSA證書。但是，從Unified Communications Manager 11.0版開始，CallManager-ECDSA證書已隨現有RSA證書一起新增。

CallManager和CallManager-ECDSA證書共用公共證書信任儲存 — CallManager-Trust。Unified Communications Manager將這些證書上載到此信任儲存。

第三方CA簽名的身份證書

附註：第三方可能指內部證書頒發機構(CA)或外部來源，如Go-Daddy、Verisign等。  Identity certificate是特定卷（Tomcat、Call Manager等）的伺服器證書。

  1. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中，除非您正在建立多SAN CSR），每個訂閱者都成功導航到它。導航至Cisco Unified OS Administration > Security > Certificate Management。
  2. 選擇Generate CSR。
  3. 選擇Certificate Purpose下拉選單，然後選擇certificate。
  4. 選擇分佈型別。單伺服器或多伺服器(SAN)。
    • 多伺服器(SAN)在SAN部分中包括所有CUCM和CUP節點。
  5. 選擇Generate。
  6. 下載CSR並提供給您的憑證授權單位。
  7. 收到簽署憑證後，按鏈結順序上傳憑證。
    • 將ROOT上傳為信任證書。
    • 將Intermediate上傳為信任證書。
    • 將Signed Certificate上傳為證書型別。
    • 重新啟動彈出視窗中標識的相應服務。

憑證再生程式

附註：在重新生成證書之前，需要開啟並註冊所有端點。否則，未連線的電話要求刪除國際交易日誌。

Tomcat證書

重新生成Tomcat和Tomcat-ECDSA的過程相同，包括服務重新啟動。

識別是否正在使用第三方證書：

  1. 從發佈者開始，然後由每個訂閱者導航到群集中的每個伺服器（在Web瀏覽器的單獨頁籤中）。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find。
    • 如果Tomcat指示系統生成的自簽名證書，請從「說明」(Description)列中觀察。如果Tomcat由第三方簽署，請使用提供的連結並在Tomcat重新生成後執行這些步驟。
    • 第三方簽名證書，請參閱CUCM上傳CCMAdmin Web GUI證書。 
  2. 選擇查詢以顯示所有證書：
    • 選擇Find Tomcat Pem。
    • 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。
  3. 繼續處理每個後續訂閱伺服器，在步驟2中執行相同的過程，並在集群中的所有訂閱伺服器上完成。
  4. 在所有節點重新生成Tomcat證書後，在所有節點上重新啟動tomcat服務。從發佈伺服器開始，繼續訂閱伺服器。
    • 要重新啟動Tomcat，您需要為每個節點開啟CLI會話並執行命令utils service restart Cisco Tomcat。

Tomcat

5.在CCX環境中使用以下步驟（如果適用）：

  • 如果使用自簽名證書，請將Tomcat證書從CUCM群集的所有節點上傳到Unified CCX Tomcat信任儲存。
  • 如果使用CA簽名證書或專用CA簽名證書，請將CUCM的根CA證書上傳到Unified CCX Tomcat信任儲存。
  • 按照CCX的證書再生文檔中的說明重新啟動伺服器。

其他參考:

 IPSEC憑證

附註：CUCM/即時消息和線上狀態(IM&P)10.X版本之前，DRF代理在CUCM Publisher和IM&P Publisher上運Master行。DRF本地服務分別在訂閱伺服器上運行。10.X及更高版本中，DRF代理僅在CUCM發佈伺服器上運行，而CUCM訂閱伺服器和IM&P發佈伺服器和訂閱伺服器上運行DRF本地服Master務。

附註：災難恢復系統在代理和本地代理之間使用基於安全套接字層(SSL)的通訊，以便在CUCM群集節點之間驗證和加密數Master據。DRS將IPSec證書用於其公鑰/私鑰加密。請注意，如果從Certificate Management頁面刪除IPSEC truststore(hostname.pem)檔案，則DRS無法按預期工作。如果手動刪除IPSEC信任檔案，則必須確保將IPSEC證書上傳到IPSEC信任儲存。有關詳細資訊，請參閱《Cisco Unified Communications Manager安全指南》中的證書管理幫助頁面。

  1. 導航到群集中的每個伺服器（在Web瀏覽器的單獨頁籤中），從發佈者開始，每個訂閱者都成功完成。導航至Cisco Unified OS Administration > Security > Certificate Management > Find。
    • 選擇IPSEC PEMCertificate。
    • 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。
  2. 繼續使用後續訂閱伺服器；在步驟1中執行相同的過程並在集群中的所有訂閱伺服器上完成。
  3. 在所有節點重新生成IPSEC證書後，重新啟動服務。
    • 導航到Publisher Cisco Unified Serviceability。
      1. Cisco Unified Serviceability > Tools > Control Center — 網路服務
      2. 選擇Restart on Cisco DRF Master Service。
      3. 服務重新啟動完成後，在發佈器上的Cisco DRF本地服務上選擇Restart，然後繼續使用訂閱者，然後在Cisco DRF本地服務上選擇Restart。

發佈器中的IPSEC.pem證書必須有效，並且必須以IPSEC信任儲存形式存在於所有訂閱者中。在標準部署中，發佈伺服器中不存在使用者的IPSEC.pem證書作為IPSEC信任。為了驗證有效性，請將PUB的IPSEC.pem證書中的序列號與SUB中的IPSEC-trust進行比較。它們必須匹配。

CAPF證書

附註：從CUCM 14開始，只能在發佈伺服器上找到CAPF證書。

警告：繼續進行之前，請確保已識別群集是否處於混合模式。  請參閱識別集群安全模式部分。

  1. 導航至Cisco Unified CM管理>系統>企業引數。
    • 檢查Security Parameters部分，並驗證Cluster Security Mode是否設定為0或1。如果值為0，則集群處於非安全模式。如果值為1，則集群處於混合模式，並且需要在重新啟動服務之前更新CTL檔案。請參閱令牌和無令牌連結。
  2. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find。
    • 選擇CertificateCAPF PEM。
    • 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗，或者返回並選擇Find/List。
  3. 繼續使用後續使用者；在步驟2中執行相同的過程，並在集群中的所有訂閱伺服器上完成。
    • 如果群集處於混合模式或正在為802.1X使用CTL，則必須在繼續之前更新CTL。
      • 登入到發布器的CLI並輸入命令utils ctl update CTLFile。
      • 重置所有加密和經過身份驗證的電話，以使CTL檔案更新生效。
  4. 所有節點重新生成CAPF證書後，重新啟動服務。
    • 導航到發佈者Cisco Unified Serviceability。
      1. Cisco Unified Serviceability > Tools > Control Center — 功能服務。
      2. 選擇發佈者，然後在思科證書頒發機構代理功能服務上選擇重新啟動（僅當處於活動狀態時）。
  5. 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。
    • 從發佈伺服器開始，然後繼續訂閱伺服器，選擇Restart on Cisco Trust Verification Service。
    • 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。
    • 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動Cisco TFTP服務，其狀態顯示已啟動。
  6. 重新啟動所有電話：
    • 選項 1
    • Cisco Unified CM管理>系統>企業引數
    • 選擇Reset，則會顯示一個彈出視窗，顯示語句「You are about to reset all devices in the system.此操作無法撤消。是否繼續？"，選擇OK，然後選擇Reset。
      • 此方法重置Call Manager中的ALL元件。
    • 選項 2
    • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
      • 搜尋設備名稱以SEP > Next > Reset Phones > Run Immediately開始。

電話現在已重置。通過RTMT工具監控其操作，以確保重置成功且裝置重新註冊到CUCM。  請等待電話註冊完成，然後再繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在再生過程之前具有不良ITL的裝置在移除之前不會註冊回集群。

CallManager證書

重新生成CallManager和CallManager-ECDSA的過程相同，包括服務重新啟動。

警告：繼續進行之前，請確保已識別群集是否處於混合模式。請參閱識別集群安全模式部分。

警告：在8.x-11.5版本中，或者如果ITL由Call Manager證書簽署，請勿同時再生CallManager.PEM和TVS.PEM證書。  這會導致終端上安裝的ITL不可恢復不匹配，需要從集群中的所有終端刪除ITL，或從DRS恢復以重新開始證書更新。

  1. 導航至Cisco Unified CM管理>系統>企業引數:
    • 檢查Security Parameters部分，並驗證Cluster Security Mode是否設定為0或1。如果值為0，則集群處於非安全模式。如果值為1，則集群處於混合模式，並且需要在重新啟動服務之前更新CTL檔案。請參閱令牌和無令牌連結。
  2. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。導航至Cisco Unified OS Administration > Security > Certificate Management > Find。
    • 選擇CallManager pem Certificate。
    • 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。
  3. 繼續使用後續使用者；在步驟2中執行相同的過程，並在集群中的所有訂閱伺服器上完成。
    • 如果群集處於混合模式，或者正在對802.1X使用CTL，則必須在繼續之前更新CTL。
      • 登入到發布器的CLI並輸入命令utils ctl update CTLFile。
      • 重置所有加密和經過身份驗證的電話，以使CTL檔案更新生效。
  4. 登入Publisher Cisco Unified Serviceability:
    • 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。
    • 從發佈伺服器開始，然後繼續訂閱伺服器，只重新啟動Cisco CallManager服務，其狀態顯示已啟動。
  5. 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。
    • 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動Cisco CTIManager Service，其狀態顯示已啟動。
  6. 導航至Cisco Unified Serviceability > Tools > Control Center - Network Service。
    • 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動思科信任驗證服務。
  7. 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。
    • 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動Cisco TFTP服務，其狀態顯示已啟動。
  8. 重新啟動所有電話：
    • 選項 1
    • Cisco Unified CM管理>系統>企業引數
      • 選擇Reset，則會顯示一個彈出視窗，顯示語句「You are about to reset all devices in the system.此操作無法撤消。是否繼續？"，選擇OK，然後選擇Reset。
      • 此方法重置Call Manager中的ALL元件。
    • 選項 2
    • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
      • 搜尋設備名稱以SEP>下一步>重置電話>立即運行

電話現在已重置。通過RTMT工具監控其操作，以確保重置成功且裝置重新註冊到CUCM。  請等待電話註冊完成，然後再繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在再生過程之前存在不良ITL的裝置在ITL被移除之前不會註冊回集群。

TVS證書

警告： 在8.x-11.5版本中，或者如果ITL由Call Manager證書簽署，請勿同時再生CallManager.PEM和TVS.PEM證書。  這會導致終端上安裝的ITL不可恢復不匹配，需要從集群中的所有終端刪除ITL，或從DRS恢復以重新開始證書更新。

附註：TVS代表Call Manager驗證證書。最後重新生成此證書。

從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find。

  • 選擇TVS pem Certificate。
  • 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗，或者返回並選擇Find/List。
  1. 繼續使用後續使用者；在步驟1中執行相同的過程並在集群中的所有訂閱伺服器上完成。
    • 所有節點重新生成TVS證書後，重新啟動服務：
      • 登入到Publisher Cisco Unified Serviceabilty。
        • 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services
        • 在發佈伺服器上，選擇Restart on Cisco Trust Verification Service。
      • 服務重新啟動完成後，繼續與使用者一起並重新啟動思科信任驗證服務。
  2. 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動Cisco TFTP服務，狀態顯示已啟動。
  3. 重新啟動所有電話：
    • 選項 1
    • Cisco Unified CM管理>系統>企業引數
      • 選擇Reset，則會顯示一個彈出視窗，顯示語句「You are about to reset all devices in the system.此操作無法撤消。是否繼續？"，選擇OK，然後選擇Reset。
      • 此方法重置Call Manager中的ALL元件。
    • 選項 2
    • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
      • 搜尋設備名稱以SEP > Next > Reset Phones > Run Immediately開始。

電話現在已重置。通過RTMT工具監控其操作，以確保重置成功且裝置重新註冊到CUCM。  請等待電話註冊完成，然後再繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在再生過程之前存在不良ITL的裝置在ITL被移除之前不會註冊回集群。

ITLR恢復證書

附註：當裝置失去其受信任狀態時，會使用ITLRecovery證書。證書出現在ITL和CTL中(當CTL提供程式處於活動狀態時，Cisco bug IDCSCwf85275)。
從12.5+開始，ITLRecovery是由發佈者生成並分發到訂閱者的單個證書。
如果裝置丟失其信任狀態，可以使用utils itl reset localkey命令（對於非安全群集）和utils ctl reset localkey（對於混合模式群集）命令。請閱讀Call Manager版本的安全指南，熟悉如何使用ITLRecovery證書以及恢復信任狀態所需的流程。
如果群集已升級到支援2048金鑰長度的版本，且群集伺服器證書已重新生成到2048，並且ITLRecovery尚未重新生成，且當前金鑰長度為1024，則ITL恢復命令會失敗，並且不使用ITLRecovery方法。

  1. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find。
    • 選擇ITLRecovery pem Certificate。
    • 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗，或者返回並選擇Find/List。
  2. 重新生成ITLRecovery證書後，需要重新啟動服務。
    • 如果群集處於混合模式或者正在為802.1X使用CTL，則必須在繼續之前更新CTL。
      • 登入到發布器的CLI並輸入命令utils ctl update CTLFile。
      • 重置所有加密和經過身份驗證的電話，以使CTL檔案更新生效。
    • 登入到Publisher Cisco Unified Serviceability.
      • 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。
      • 在發佈伺服器上，選擇Restart on Cisco Trust Verification Service。
    •  服務重新啟動完成後，繼續與使用者一起並重新啟動思科信任驗證服務。
  3. 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動Cisco TFTP服務，狀態顯示已啟動。
  4. 重新啟動所有電話：
    • 選項 1
    • Cisco Unified CM管理>系統>企業引數
      • 選擇Reset，則會顯示一個彈出視窗，顯示語句「You are about to reset all devices in the system.此操作無法撤消。是否繼續？"，選擇OK，然後選擇Reset。
      • 此方法重置Call Manager中的ALL元件。
    • 選項 2
    • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
      • 搜尋設備名稱以SEP > Next > Reset Phones > Run Immediately開始。

刪除過期的信任證書

警告：刪除證書可能會影響您的系統操作。如果憑證屬於現有鏈結的一部分，它也會中斷憑證鏈結。從Certificate List（證書清單）視窗中相關證書的使用者名稱和使用者名稱驗證此關係。

附註：受信任的證書是您可以刪除的唯一型別的證書。無法刪除由系統生成的自簽名證書。請標識需要刪除、不再需要或已過期的信任證書。請勿刪除五個基本憑證，包括CallManager.pem、tomcat.pem、ipsec.pem、CAPF.pem和TVS.pem。可以刪除信任證書（如果適用）。重新啟動的下一個服務旨在清除這些服務中的舊證書的資訊。

  1. 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。
    • 從下拉選單中選擇CUCM Publisher。
      • 對於CUCM 11.5及更低版本，
      • 選擇Stop Certificate Change Notification。CUCM 12.0版及更高版本不需要此要求。
      • 對集群中的每個Call Manager節點重複上述操作。
    • 如果您有IMP伺服器：
      • 從下拉選單中，逐一選擇您的IMP伺服器，然後選擇Stop Platform Administration Web Services和Cisco Intercluster Sync Agent。  IMP版本12.0及更高版本不需要此要求。
  2. 導航至Cisco Unified OS Administration > Security > Certificate Management > Find。
    • 查詢過期的信任證書。(對於10.X及更高版本，可以按「過期」進行過濾。對於低於10.0的版本，請手動識別證書或在收到證書後使用RTMT警報。)
    • 同一信任證書可能出現在多個節點中。必須從每個節點單獨刪除它。
    • 選擇要刪除的信任證書（根據您的版本，您可以彈出一個彈出視窗或導航到同一頁上的證書）
      • 選擇Delete。(您將看到以「您將要永久刪除此證書」開頭的彈出視窗。)
      • 選擇OK。
  3. 對每個要刪除的信任證書重複該過程。
  4. 完成後，需要重新啟動與刪除的證書直接相關的服務。在本節中，您無需重新啟動電話。  Call Manager和CAPF會對終端產生影響。
    • Tomcat-trust:通過命令列重新啟動Tomcat服務（請參閱Tomcat部分）。
    • CAPF-trust:重新啟動Cisco Certificate Authority Proxy功能（請參閱CAPF部分）。 不重新啟動終結點。
    • CallManager-trust:CallManager服務/CTIManager（請參閱CallManager部分）。 不重新啟動終結點。
      • 影響端點並導致重新啟動。
    • IPSEC-trust:DRF/MasterDRF本地（請參閱IPSEC部分）。
    • TVS（自簽名）沒有信任證書。
  5. 重新啟動之前在步驟1中停止的服務。

驗證

要從CLI列出CUCM上存在的證書，請使用以下命令輸出：

運行sql選擇c.servername、tcs.name、dist.moniker、c.ipv4address、c.certificate from certificate as c inner join certificateservicertificatemap as cscm on c.pkid = cscm.fkcerinner join typecertificateservice as tcs on cscm.tkcertificatetservice = tcs.enum inner join typecertificatedistribution as dist on c.tkcertificatedistribution = dist.enum

疑難排解

此配置的故障排除過程不可用。

修訂記錄

修訂 發佈日期 意見
6.0
01-Jul-2026
重新認證
4.0
30-Oct-2024
已更新機器翻譯、樣式要求和格式。
3.0
28-Sep-2022
已更新
2.0
16-Sep-2022
已重新發佈。
1.0
03-Apr-2019
初始版本
TAC Authored

由思科工程師貢獻

  • Ken Ryder
    Technical Consulting Engineer

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品