為CUCM 14中的CallManager配置Tomcat證書重複使用

已更新: 2023 年 10 月 11 日
文件 ID:221070

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

    簡介

    本文檔介紹如何在Cisco Unified Communications Manager(CUCM)伺服器上為CallManager重複使用Multi-SAN Tomcat證書。

    必要條件

    需求

    思科建議您瞭解以下主題：

    • CUCM證書
    • 即時監控工具(RTMT)
    • 身份信任清單(ITL)

    採用元件

    本文檔中的資訊基於CUCM 14.0.1.13900-155。

    本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

    背景資訊

    CUCM的兩個主要服務是Tomcat和CallManager。在早期版本中，每個服務都需要不同的證書才能完成整個群集。在CUCM版本14中，新增了一項新功能，以便對CallManager服務重新使用Multi-SAN Tomcat證書。使用此功能的優勢包括：

    • 降低獲得由公共證書頒發機構(CA)簽名的證書集群的兩個證書的成本。
    • 此功能可減小ITL檔案的大小，從而降低開銷。

    設定

    caution-icon

    注意：上傳Tomcat證書之前，請驗證單一登入(SSO)是否已禁用。如果已啟用SSO，則在Tomcat證書再生過程完成之後，必須禁用並重新啟用SSO。

    1.將Tomcat證書設定為Multi-SAN

    在CUCM 14中，Tomcat Multi-SAN證書可以是自簽名或CA簽名。如果您的Tomcat證書已經是多SAN，請跳過此部分。

    自簽名

    步驟 1. 登入到 Publisher > Operating System (OS) Administration 並導航至 Security > Certificate Management > Generate Self-Signed.

    步驟 2.選擇 Certificate Purpose: tomcat > Distribution: Multi-Server SAN. 它會自動填充SAN域和父域。 

    Generate Self-Signed Multi-SAN Tomcat Certificate Screen生成自簽名的多SAN Tomcat證書螢幕

    步驟 3.按一下 Generate，並驗證是否所有節點都列在 Certificate upload operation successful 消息。按一下 Close.

    Generate Self-Signed Multi-SAN Tomcat Successful Message生成自簽名多SAN Tomcat成功消息

    步驟 4.重新啟動Tomcat服務，開啟與群集所有節點的CLI會話，然後運行 utils service restart Cisco Tomcat  指令。

    步驟 5. 導航至 Publisher > Cisco Unified Serviceability > Tools > Control Center - Network Services 並重新啟動 Cisco DRF Master Service 和 Cisco DRF Local Service.

    步驟 6.導航至每個 Subscriber > Cisco Unified Serviceability > Tools > Control Center - Network Services 和重新啟動 Cisco DRF Local Service.

    CA簽名

    步驟 1. 登入到 Publisher > Operating System (OS) Administration 並導航至 Security > Certificate Management > Generate CSR.

    步驟 2.選擇 Certificate Purpose: tomcat > Distribution: Multi-Server SAN. 它會自動填充SAN域和父域。

    Generate Multi-SAN CSR for Tomcat Certificate ScreenGenerate Multi-SAN CSR for Tomcat Certificate螢幕

    步驟 3.按一下 Generate，並驗證下面列出的所有節點 CSR export operation successful 消息。按一下 Close.

    Generate Multi-SAN CSR Tomcat Successful Message生成多SAN CSR Tomcat成功消息

    步驟 4.按一下 Download CSR > Certificate Purpose: tomcat > Download.

    Download Tomcat CSR Screen下載Tomcat CSR螢幕

    步驟 5.將CSR傳送到您的CA進行簽名。

    步驟 6.若要上傳CA信任鏈，請導覽 Certificate Management > Upload certificate > Certificate Purpose: tomcat-trust. 設定證書的描述並瀏覽信任鏈檔案。

    步驟 7.上傳CA簽名的證書，導航至 Certificate Management > Upload certificate > Certificate Purpose: tomcat.設定證書描述並瀏覽CA簽名的證書檔案。

    步驟 8.重新啟動Tomcat服務，開啟與群集所有節點的CLI會話，然後運行 utils service restart Cisco Tomcat 指令。

    步驟 9. 導航至 Publisher > Cisco Unified Serviceability > Tools > Control Center - Network Services 並重新啟動 Cisco DRF Master Service 和 Cisco DRF Local Service.

    步驟 10.導航至每個 Subscriber > Cisco Unified Serviceability > Tools > Control Center - Network Services 和重新啟動 Cisco DRF Local Service.

    2.重用CallManager的Tomcat證書

    caution-icon

    注意：對於CUCM 14，新的企業引數 Phone Interaction on Certificate Update 介紹。使用此欄位可在更新其中一個TVS、CAPF或TFTP(CallManager/ITLRecovery)證書時手動或自動重置電話（如果適用）。預設情況下，此引數設定為 reset the phones automatically.在重新生成、刪除和更新證書後，確保重新啟動適當的服務。

    步驟 1.導航到您的CUCM發佈者，然後導航到 Cisco Unified OS Administration > Security > Certificate Management.

    步驟 2.按一下 Reuse Certificate.

    步驟 3.從 choose Tomcat type 下拉選單，選擇 tomcat.

    步驟 4.從 Replace Certificate for the following purpose 窗格，請檢查 CallManager 覈取方塊。

    Reuse Tomcat Certificate for Other Services Screen「為其他服務重複使用Tomcat證書」螢幕

    note-icon

    註：如果選擇Tomcat作為證書型別，則會啟用CallManager作為替代項。如果選擇tomcat-ECDSA作為證書型別，則會啟用CallManager-ECDSA作為替代項。

    步驟 5.按一下 Finish 以便使用Tomcat Multi-SAN證書替換CallManager證書。

    Reuse Tomcat Certificate Successful Message重新使用Tomcat證書成功消息

    步驟 6. 重新啟動Cisco HAProxy服務，開啟到群集所有節點的CLI會話，然後運行 utils service restart Cisco HAProxy 指令。

    note-icon

    註：要確定集群是否處於混合模式，請導航至 Cisco Unified CM Administration > System > Enterprise Parameters > Cluster Security Mode (0==非安全；1==混合模式)。

    步驟 7.如果您的群集處於混合模式，請開啟與發佈伺服器節點的CLI會話，然後運行  utils ctl update CTLFile  命令，並重置集群的所有電話以使CTL檔案更新生效。

    驗證

    步驟 1.導航到您的CUCM發佈者，然後導航到 Cisco Unified OS Administration > Security > Certificate Management.

    步驟 2.篩選依據 Find Certificate List where: Usage > begins with: identity 然後按一下 Find.

    步驟 3.CallManager和Tomcat證書必須以相同結尾 Common Name_Serial Number 價值.

    Verify Tomcat Certificate Reuse for CallManager驗證CallManager的Tomcat證書重複使用

    相關資訊

    修訂記錄

    修訂 發佈日期 意見
    1.0
    11-Oct-2023
    初始版本
    TAC Authored

    由思科工程師貢獻

    • 貝倫·桑切斯·托拉爾瓦
      Cisco TAC工程師

    這份文件是否有所幫助？

    Feedback意見

    讓思科協助您

    本文件適用於這些產品