通過CAPF線上CA配置自動證書註冊和續訂

下載選項

  • PDF     (2.1 MB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (1.8 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (1.5 MB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2026 年 10 月 1 日
文件 ID:214501

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹通過Cisco Unified Communications Manager(CUCM)的CAPF線上功能自動註冊和續訂。

必要條件

需求

思科建議您瞭解以下主題：

  • 思科整合通訊管理員
  • X.509憑證
  • Windows伺服器
  • Windows Active Directory(AD)
  • Windows Internet資訊服務(IIS)
  • NT（新技術）LAN管理員(NTLM)驗證

採用元件

本文中的資訊係根據以下軟體和硬體版本：

  • CUCM版本12.5.1.10000-22
  • Windows Server 2012 R2
  • IP電話CP-8865/韌體：SIP 12-1-1SR1-4和12-5-1SR2。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

本文說明該功能的設定和相關資源以供其他研究之用。

驗證伺服器時間和日期

確保Windows伺服器配置了正確的日期、時間和時區，因為它影響伺服器根證書頒發機構(CA)證書及其頒發的證書的有效時間。

更新伺服器電腦名稱

預設情況下，伺服器電腦名具有隨機名稱，如WIN-730K65R6BSK。啟用AD域服務之前需要做的第一件事是，確保在安裝結束時，將伺服器電腦名更新為所需的伺服器主機名和根CA頒發者名稱；否則，在安裝AD服務後，需要執行許多額外步驟來更改此設定。

  1. 導航到Local Server，選擇Computer name以開啟系統屬性
  2. 選擇Change按鈕並鍵入新的Computer name。
    Update Server Computer Name
  3. 重新啟動伺服器以應用更改。

設定

AD服務、使用者和證書模板

啟用和配置Active Directory服務

  1. 在Server Manager中，選擇Add Roles and Features，然後選擇Role-based或feature-based安裝。
  2. 從池中選擇server（池中必須只有一個伺服器）。
  3. 選擇Active Directory域服務。
    Server Manager Dashboard
  4. 繼續選擇Next按鈕，然後選擇Install。
  5. 安裝完成後，選擇Close按鈕。
  6. 「Server Manager」>「AD DS」下面將出現一個警告頁籤，標題是「Active Directory域服務所需的配置」。選擇more連結，然後選擇available action以啟動安裝嚮導。
    All Servers Task Details
  7. 完成域設定嚮導中的提示，新增一個具有所需根域名的新林，並在可用時取消選中DNS框。定義DSRM密碼。
    Deployment Configuration
    Domain Controller Options
  8. 指定NetBIOS域名(本實驗中使用的MICHAMEN1)。
  9. 完成嚮導。然後伺服器重新啟動以完成安裝。
  10. 指定下次登入時的新域名。例如MICHAMEN1\Administrator。
    Server Manager AD DS

啟用和配置證書服務

  1. 在「伺服器管理器」中，選擇「新增角色和功能」。
  2. 選擇Active Directory證書服務並新增所需功能（所有可用功能均是從為此實驗啟用的角色服務中選擇的）。
  3. 對於角色服務，請檢查證書頒發機構Web註冊。
    Select Role Services - Certificate Authority Web Enrollment
    Select Role Services - Web Server
  4. 「警告」頁籤必須出現在Server Manager > AD DS下，標題是Active Directory證書服務所需的配置；選擇更多連結，然後選擇可用操作。
    All Servers Task Details AD CS

在AD-CS安裝後配置嚮導中完成以下步驟：

  1. 選擇Certification Authority和Certification Authority Web Enrollment角色。
  2. 選擇Enterprise CA，選項如下：
  3. 根CA
  4. 建立新私鑰。
  5. 使用私鑰 — SHA1和預設設定。
  6. 設定CA的Common Name（必須與伺服器的主機名匹配）。
    Specify CA Name
  7. 將Validity設定為5年（如果需要，還可以設定更多）。
  8. 通過嚮導的其餘部分選擇Next按鈕。

為CiscoRA建立證書模板

  1. 開啟MMC。選擇Windows start徽標並從運行鍵入mmc。
  2. 開啟MMC視窗，新增管理單元（用於配置的不同點），然後選擇確定。
    Select File
    Add or Remove Snap-Ins
  3. 選擇File > Save，並將此控制檯會話儲存到案頭以快速重新訪問。
  4. 從管理單元中，選擇證書模板。
  5. 建立或克隆模板(最好是根證書頒發機構模板（如果可用）)，並將其命名為CiscoRA。
    Certificate Templates - Duplicate Templates
  6. 按一下右鍵該模板並選擇「屬性」。
  7. 選擇General頁籤，將有效期設定為20年(如果需要，也可以設定其他值)。 在此頁籤中，請確保模板、顯示名稱以及名稱、值匹配。
    CiscoRA Properties
  8. 選擇Extensions頁籤，突出顯示Application Policies，然後選擇Edit。
    Application Policies
  9. 刪除出現的視窗中顯示的所有策略。
  10. 選擇Subject Name選項卡，然後選擇Supply in Request單選按鈕。
  11. 選擇Security頁籤，然後根據您對組/使用者名稱的需要授予許可權。
    note-icon

    附註：在本示例中，為了簡便起見，所有使用者都授予了完全許可權，但這具有安全影響。在生產環境中，只能向需要寫入和註冊許可權的使用者和組授予寫入和註冊許可權。有關詳細資訊，請參閱Microsoft文檔。

    Authenticated Users

使證書模板可供頒發

  1. 在MMC管理單元中，選擇證書頒發機構，然後展開資料夾樹以找到「證書模板」資料夾。
  2. 在包含「名稱」和「目標用途」的框架的空白處按一下右鍵。
  3. 選擇New和Certificate Template to Issue。
  4. 選擇新建立和編輯的CiscoRA模板。
    Certificate Templates CiscoRA

Active Directory CiscoRA帳戶建立

  1. 導航到MMC管理單元，然後選擇Active Directory使用者和電腦。
  2. 在最左窗格中的樹中選擇Users資料夾。
  3. 在包含「名稱」、「型別」和「說明」的框架中的空白處按一下右鍵。
  4. 選擇New和User。
  5. 使用用戶名/密碼建立CiscoRA帳戶（本實驗使用ciscoRA/Cisco123），並在顯示時選中Password never expires覈取方塊。
    CiscoRA User

IIS身份驗證和SSL繫結配置

啟用NTLM身份驗證

  1. 導航到MMC管理單元，然後在Internet Information Services(IIS)管理器管理單元下選擇您的服務器名稱。
  2. 功能清單顯示在下一幀中。按兩下Authentication。
    Internet Information Services
  3. 選擇Windows Authentication，然後從Actions框架（右窗格）中選擇Enable。
    Windows Authentication
  4. 選擇Advanced Settings並清除Enable Kernel-mode authentication覈取方塊。
    Enable Kernel-Mode Authentication
  5. 選擇Providers並排序NTML，然後選擇Negotiate。
    Enabled Providers

生成Web伺服器的身份證書

如果尚未生成Web服務的證書和CA簽名的身份證書，因為CiscoRA在Web伺服器證書是自簽名的情況下無法連線到該服務。

  1. 從IIS管理單元選擇Web伺服器，然後按兩下Server Certificates。
    Server Certificates
  2. 預設情況下，此處列出一個證書，即自簽名的根CA證書。在「Actions」選單中，選擇「Create Domain Certificate」。在配置嚮導中輸入值以建立新證書。確保公用名稱是可解析的完全限定域名(FQDN)，然後選擇下一步。
    Distinguished Name Properties
  3. 選擇您的根CA的證書作為頒發者，然後選擇完成。
    Online Certificate Authority

同時列出CA證書和Web伺服器身份證書。
Server Certificates Issued

Web伺服器SSL繫結

  1. 在樹檢視中選擇一個站點（您可以使用預設網站或使其更細化到特定站點），然後從「操作」窗格中選擇「繫結」。此時將顯示繫結編輯器，允許您建立、編輯和刪除網站的繫結。選擇Add以將新的SSL繫結新增到站點。
    Default Web Site
  2. 在埠80上，新繫結的預設設定設定為HTTP。對於型別，請選擇https。從SSL Certificate下拉選單中選擇在上一部分中建立的自簽名證書，然後按一下OK。
    Add Site Binding
  3. 現在，您的站點上有一個新的SSL繫結，剩下的只是從選單中選擇Browse *:443(https)選項，確保預設的IIS網頁使用HTTPS，以驗證其是否有效。
    Site Bindings
    Browse Website
  4. 請記得在配置更改後重新啟動IIS服務。使用Actions窗格中的Restart選項。

CUCM 設定

  1. 導航到AD CS網頁(https://YOUR_SERVER_FQDN/certsrv/)並下載CA證書。
    Download a Certificate, Certificate Chain or CRL
  2. 從OS Administration頁面導覽至Security > Certificate Management，然後選擇Upload Certificate/Certificate chain按鈕以上傳用途設為CAPF-trust的CA憑證。
    Upload Certificate or Certificate Chain

    上傳與CallManager-trust相同的CA證書，因為如果終端啟用了安全信令加密（如果集群處於混合模式，則很可能是這樣），則需要該證書。

  3. 導覽至System > Service Parameters。在server欄位中選擇Unified CM Publisher伺服器，在Service欄位中選擇Cisco Certificate Authority Proxy Function。
  4. 將Certificate Issuer的值設定為Endpoint，然後選擇Online CA Parameters欄位的值。確保使用Web伺服器FQDN、之前建立的證書模板的名稱(CiscoRA)、作為Microsoft CA的CA型別，並使用之前建立的CiscoRA使用者帳戶的憑據。
    Service Parameter Configuration
  5. 彈出視窗通知您需要重新啟動CAPF服務。首先，通過Cisco Unified Serviceability > Tools > Service Activation啟用Cisco Certificate Enrollment Service，在server欄位中選擇Publisher，選中Cisco Certificate Enrollment Service覈取方塊，然後選擇Save按鈕。
    Cisco Certificate Enrollment Service

驗證

驗證IIS證書

  1. 從連線到伺服器的PC中的Web瀏覽器（最好與CUCM發佈伺服器位於同一網路中），導航到您的伺服器FQDN(https://YOUR_SERVER_FQDN/certsrv/)。
  2. 顯示證書不受信任警報。新增例外並檢查憑證。確保它與預期的FQDN匹配。
    Connection not Secure
  3. 接受例外後，需要進行驗證;此時，您需要使用之前為CiscoRA帳戶配置的憑據。
    Authentication Required
  4. 經過身份驗證後，您必須能夠看到AD CS（Active Directory證書服務）歡迎頁面。
    Welcome

驗證CUCM配置

執行以下步驟在其中一個電話上安裝LSC證書。

  1. 開啟CallManager Administration頁面、Device，然後Phone。
  2. 選擇Find按鈕以顯示電話。
  3. 選擇要安裝LSC的電話。
  4. 向下滾動至憑證授權單位代理功能(CAPF)資訊。
  5. 從「Certificate Operation（證書操作）」中選擇Install/Upgrade。
  6. 選擇Authentication Mode。（By Null String可用於測試目的。）
  7. 滾動到頁面頂部，然後為電話選擇save，然後選擇Apply Config。
  8. 電話重新啟動並註冊回後，使用LSC狀態過濾器確認已成功安裝LSC。

並繼續：

  1. 從AD伺服器端，開啟MMC，展開Certification Authority管理單元以選擇Issued Certificates資料夾。
  2. 電話條目顯示在摘要檢視內，包括以下詳細資訊：
    • 請求ID:唯一序列號
    • 請求者名稱：必須顯示已配置的CiscoRA帳戶的使用者名稱。
    • 證書模板：必須顯示所建立的CiscoRA模板的名稱。
    • 已頒發的公用名：必須顯示附加在裝置名稱中的電話型號。
    • 證書生效日期和證書到期日期

    Issued Certificates

相關連結

修訂記錄

修訂 發佈日期 意見
3.0
01-Oct-2026
已新增Alt文本。已更新目標連結、樣式要求和格式，以符合思科外部化指南。
2.0
08-Jun-2023
已與BU確認不支援kerbeo，因此請刪除與其相關的任何建議配置。
1.0
05-Jun-2019
初始版本
TAC Authored

由思科工程師貢獻

  • Michael Mendoza
    Technical Consulting Engineer

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品