目錄

簡介

必要條件

需求

採用元件

背景資訊

安裝RTMT

使用RTMT監控端點

確定集群是處於混合模式還是非安全模式

證書儲存的影響

CallManager.pem

Tomcat.pem

CAPF.pem

IPSec.pem

TVS（信任驗證服務）

ITL和CTL

憑證再生程式

Tomcat證書

IPSEC憑證

CAPF證書

CallManager證書

TVS證書

ITLR恢復證書

刪除過期的信任證書

驗證

疑難排解

簡介

本檔案介紹在Cisco Unified Communications Manager(CUCM)版本8.X和更新版本中重新生成證書的程式。

必要條件

需求

思科建議您瞭解以下主題：

- 即時監控工具(RTMT)

- CUCM證書

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- CUCM 8.X及更高版本

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

本文說明如何在Cisco Unified Communications Manager(CUCM)8.X及更新版本中重新生成證書的分步過程。但是，這沒有反映12.0後國際交易日誌恢復的變化情況。

安裝RTMT

- 從Call Manager下載並安裝RTMT工具。

- 導航到Call Manager(CM)Administration:

- 應用程式>外掛>查詢> 思科整合即時監控工具 — Windows >下載

- 安裝和啟動

使用RTMT監控端點

- 啟動RTMT並輸入IP地址或完全限定域名(FQDN)，然後輸入使用者名稱和密碼以訪問該工具：

- 選擇語音/影片頁籤。

- 選擇Device Summary。

- 此部分標識註冊終端的總數以及每個節點的數量

- 端點重置時監視，以確保在重新生成下一個證書之前進行註冊

提示：某些證書的再生過程可能會影響端點。由於需要重新啟動服務和重新啟動電話，請在正常工作時間後考慮一個行動計畫。強烈建議通過RTMT驗證電話註冊。

警告：在此過程之後，當前ITL不匹配的終端可能會出現註冊問題。  在更新過程完成且所有其他電話註冊後，刪除終端上的國際交易日誌是一個典型的最佳做法解決方案。

確定集群是處於混合模式還是非安全模式

- 導航到CM管理。

- System > Enterprise Parameters > Security Parameters > Cluster Security Mode

證書儲存的影響

在CUCM群集中更新所有證書對於成功的系統功能至關重要。如果證書過期或無效，可能會嚴重影響系統的正常功能。影響可能因系統設定而異。以下為無效或過期的特定證書的服務清單：

CallManager.pem

- 加密/身份驗證電話未註冊

- 簡單檔案傳輸協定(TFTP)不可信（電話不接受已簽名的配置檔案和/或ITL檔案）

- 電話服務可能受到影響

- 安全作業階段啟始通訊協定(SIP)中繼或媒體資源(會議橋接器、媒體終端點(MTP)、轉碼器等)不註冊或工作。

- AXL請求失敗。

Tomcat.pem

- 電話無法訪問CUCM節點上託管的HTTPs服務，例如公司目錄

- CUCM可能遇到各種Web問題，例如無法從群集中的其他節點訪問服務頁

- 跨群集的分機移動(EM)或分機移動問題

- 單一登入(SSO)

- 如果整合了UCCX(Unified Contact Center Express)，由於CCX 12.5的安全更改，因此需要在UCCX tomcat-trust儲存中上傳CUCM Tomcat證書（自簽名）或Tomcat根和中間證書（CA簽名），因為它會影響Finesse案頭登入。

CAPF.pem

- 電話不對電話VPN、802.1x或電話代理進行身份驗證

- 無法為電話頒發本地重要證書(LSC)證書。

- 加密的配置檔案無效

IPSec.pem

- 災難恢復系統(DRS)/災難恢復框架(DRF)無法正常工作

- 到網關(GW)到其他CUCM群集的IPsec隧道無法正常工作

TVS（信任驗證服務）

預設情況下，信任驗證服務(TVS)是安全性的主要元件。TVS使思科統一IP電話能夠在建立HTTPS時驗證應用伺服器（例如EM服務、目錄和MIDlet）。

TVS提供以下功能：

- 可擴充性 — 要信任的證書數量不會影響思科統一IP電話資源。

- 靈活性 — 信任證書的新增或移除將自動反映在系統中。

- 預設安全 — 非媒體和訊號安全功能是預設安裝的一部分，不需要使用者干預。

ITL和CTL

- ITL包含Call Manager TFTP的證書角色、集群中的所有TVS證書以及運行時的證書授權代理功能(CAPF)。

- CTL包含在同一伺服器上運行的系統管理員安全令牌(SAST)、Cisco CallManager和Cisco TFTP服務的條目、CAPF、TFTP伺服器和Adaptive Security Appliance(ASA)防火牆。CTL中未引用TVS。

憑證再生程式

附註：在重新生成證書之前，需要開啟並註冊所有端點。否則，未連線的電話要求刪除國際交易日誌。

Tomcat證書

識別是否正在使用第三方證書：

1. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的單獨頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find。

- 如果Tomcat宣告了系統生成的自簽名證書，請從「描述」列中觀察。如果Tomcat由第三方簽署，請按照提供的連結執行操作，並在Tomcat重新生成後執行這些步驟。

- 第三方簽名證書，請參閱CUCM上傳CCMAdmin Web GUI證書。

2. 選擇Find以顯示所有憑證：

- 選擇Tomcat pem Certificate。

- 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。

3. 繼續處理每個後續訂閱伺服器，按照步驟2中的相同步驟操作，並在集群中的所有訂閱伺服器上完成。

4. 在所有節點重新生成Tomcat證書後，在所有節點上重新啟動tomcat服務。從發佈者開始，然後是訂閱者。

- 要重新啟動Tomcat，您需要為每個節點開啟CLI會話並執行命令utils service restart Cisco Tomcat。

5.如果適用，CCX環境需要執行以下步驟：

- 如果使用自簽名證書，請將Tomcat證書從CUCM群集的所有節點上傳到Unified CCX Tomcat信任儲存。

- 如果使用CA簽名證書或專用CA簽名證書，請將CUCM的根CA證書上傳到Unified CCX Tomcat信任儲存。

- 按照CCX的證書再生文檔中的說明重新啟動伺服器。

其他參考:

- UCCX解決方案證書管理指南

- Unified CCX運行狀況檢查實用程式

IPSEC憑證

附註：DRF10.X版之前的CUCM/即時消息和線上狀態(IM&P) Master 代理在CUCM Publisher和IM&P Publisher上運行。DRF本地服務分別在訂閱伺服器上運行。  10.X及更高版本，DRF Master 代理僅在CUCM發佈伺服器上運行，在CUCM訂閱伺服器和IM&P發佈伺服器和訂閱伺服器上運行DRF本地服務。

附註：災難恢復系統使用 Master 代理和本地代理，用於CUCM群集節點之間的資料身份驗證和加密。DRS將IPSec證書用於其公鑰/私鑰加密。請注意，如果從Certificate Management頁面刪除IPSEC truststore(hostname.pem)檔案，則DRS無法按預期工作。如果手動刪除IPSEC信任檔案，則必須確保將IPSEC證書上傳到IPSEC信任儲存。有關詳細資訊，請參閱《思科統一通訊管理器安全指南》中的證書管理幫助頁面。

1. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的單獨頁籤中），然後導航到每個訂閱者。導航至Cisco Unified OS Administration > Security > Certificate Management > Find:

- 選擇IPSEC pem Certificate。

- 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。

2. 繼續使用後續使用者；按照步驟1中的相同步驟操作，並在集群中的所有訂閱伺服器上完成。

3. 在所有節點重新生成IPSEC證書後，重新啟動服務。

- 導航到Publisher Cisco Unified Serviceability。

1. Cisco Unified Serviceability > Tools > Control Center - Network Services。

2. 選擇Restart on Cisco DRF Master服務。

3. 服務重新啟動完成後，在發佈器上的Cisco DRF本地服務上選擇Restart，然後繼續使用訂閱者，然後在Cisco DRF本地服務上選擇Restart。

發佈器中的IPSEC.pem證書必須有效，並且必須以IPSEC信任儲存形式存在於所有訂閱者中。發佈伺服器中不存在使用者IPSEC.pem證書，因為標準部署中存在IPSEC信任儲存。為了驗證有效性，請將PUB的IPSEC.pem證書中的序列號與SUB中的IPSEC-trust進行比較。它們必須匹配。

CAPF證書

警告：繼續進行之前，請確保已識別群集是否處於混合模式。  請參閱識別集群是處於混合模式還是非安全模式部分。

1. 導航至Cisco Unified CM管理>系統>企業引數。

- 檢查Security Parameters部分，驗證集群安全模式是否設定為0或1。如果值為0，則集群處於非安全模式。如果值為1，則集群處於混合模式，並且需要在重新啟動服務之前更新CTL檔案。請參閱令牌和無令牌連結。

2. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find。

- 選擇CAPF pem證書。

- 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List

3. 繼續使用後續使用者；按照步驟2中的相同步驟操作，並在集群中的所有訂閱伺服器上完成。

- 如果群集僅處於混合模式且已重新生成CAPF — 請在繼續下一步之前更新CTL Token - Tokenless。

- 如果群集處於混合模式，則還需要重新啟動Call Manager服務才能重新啟動其他服務。

4. 所有節點重新生成CAPF證書後，重新啟動服務。

- 導航到發佈者Cisco Unified Serviceability。

1. Cisco Unified Serviceability > Tools > Control Center - Feature Services。

2. 從發佈者開始，在思科證書頒發機構代理功能服務上選擇重新啟動（僅在活動時）。

5. 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。

- 從發佈者開始，然後繼續訂閱者，選擇Restart on Cisco Trust Verification 。

- 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。

- 從發佈伺服器開始，然後繼續使用訂閱伺服器，僅在活動時重新啟動Cisco TFTP服務。

6. 重新啟動所有電話：

- Cisco Unified CM管理>系統>企業引數

- 選擇Reset，您會看到一個彈出視窗，其中包含You are about to reset all devices in the system語句。此操作無法撤消。繼續？,選擇確定，然後選擇重置。

電話現在已重置。通過RTMT工具監控其操作，以確保重置成功且裝置重新註冊到CUCM。  請等待電話註冊完成，然後再繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在再生過程之前具有不良ITL的裝置在移除之前不會註冊回集群。

CallManager證書

警告：繼續進行之前，請確保已識別群集是否處於混合模式。請參閱確定集群是處於混合模式還是非安全模式部分。

警告：請勿同時重新生成CallManager.PEM和TVS.PEM證書。  這會導致終端上安裝的ITL與不可恢復的不匹配，需要從集群中的所有終端上刪除ITL。完成CallManager.PEM的整個過程，並在電話註冊回後，啟動TVS.PEM的流程。

1. 導航至Cisco Unified CM管理>系統>企業引數:

- 檢查Security Parameters部分，驗證集群安全模式是否設定為0或1。如果值為0，則集群處於非安全模式。如果值為1，則集群處於混合模式，並且需要在重新啟動服務之前更新CTL檔案。請參閱令牌和無令牌連結。

2. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。導航至Cisco Unified OS Administration > Security > Certificate Management > Find。

- 選擇CallManager pem Certificate。

- 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。

3. 繼續使用後續使用者；按照步驟2中的相同步驟操作，並在集群中的所有訂閱伺服器上完成。

- 如果群集僅處於混合模式且已重新生成CallManager證書 — 請在繼續下一步之前更新CTL Token - Tokenless

4. 登入到Publisher Cisco Unified Serviceability:

- 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。

- 從發佈伺服器開始，然後繼續訂閱伺服器，在活動處重新啟動Cisco CallManager服務。

5. 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services

- 從發佈伺服器開始，然後繼續訂閱伺服器，僅在活動時重新啟動Cisco CTIManager服務。

6. 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。

- 從發佈伺服器開始，然後繼續訂閱伺服器，重新啟動思科信任驗證服務。

7. 導航至Cisco Unified Serviceability > Tools > Control Center - Feature Services。

- 從發佈伺服器開始，然後繼續使用訂閱伺服器，僅在活動時重新啟動Cisco TFTP服務。

8. 重新啟動所有電話：

- Cisco Unified CM管理>系統>企業引數

- 選擇Reset，您會看到一個彈出視窗，其中包含You are about to reset all devices in the system語句。此操作無法撤消。繼續？,選擇確定，然後選擇重置

電話現在已重置。通過RTMT工具監控其操作，以確保重置成功且裝置重新註冊到CUCM。  請等待電話註冊完成，然後再繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在再生過程之前存在不良ITL的裝置在ITL被移除之前不會註冊回集群。

TVS證書

警告： 請勿同時重新生成CallManager.PEM和TVS.PEM證書。  這會導致終端上安裝的ITL與不可恢復的不匹配，需要從集群中的所有終端上刪除ITL。

附註：TVS代表Call Manager驗證證書。最後重新生成此證書。

從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find:

- 選擇TVS pem Certificate。

- 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。

1. 繼續使用後續使用者；按照步驟1中的相同步驟操作，並在集群中的所有訂閱伺服器上完成。

- 所有節點重新生成TVS證書後，重新啟動服務：

- 登入到Publisher Cisco Unified Serviceability。

- 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。

- 在發佈伺服器上，選擇Restart on Cisco Trust Verification Service。

- 服務重新啟動完成後，繼續與使用者一起並重新啟動思科信任驗證服務。

2. 從發佈伺服器開始，然後繼續使用訂閱伺服器，僅在活動時重新啟動Cisco TFTP服務。

3. 重新啟動所有電話：

- Cisco Unified CM管理>系統>企業引數。

- 選擇Reset，您會看到一個彈出視窗，其中包含You are about to reset all devices in the system語句。此操作無法撤消。繼續？,選擇確定，然後選擇重置。

電話現在已重置。通過RTMT工具監控其操作，以確保重置成功且裝置重新註冊到CUCM。  請等待電話註冊完成，然後再繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在再生過程之前存在不良ITL的裝置在ITL被移除之前不會註冊回集群。

ITLR恢復證書

附註：當裝置失去其可信狀態時，會使用ITLRecovery證書。證書出現在ITL和CTL中（當CTL提供器處於活動狀態時）。

如果裝置丟失其信任狀態，可以使用utils itl reset localkey命令（對於非安全群集）和utils ctl reset localkey（對於混合模式群集）命令。請閱讀Call Manager版本的安全指南，熟悉如何使用ITLRecovery證書以及恢復信任狀態所需的流程。

如果群集已升級到支援2048金鑰長度的版本，且群集伺服器證書已重新生成到2048，並且ITLRecovery尚未重新生成且當前金鑰長度為1024，則ITL恢復命令會失敗，並且不使用ITLRecovery方法。

1. 從發佈者開始，依次導航到群集中的每個伺服器（在Web瀏覽器的各個頁籤中），然後導航到每個訂閱者。  導航至Cisco Unified OS Administration > Security > Certificate Management > Find:

- 選擇ITLRecovery pem Certificate。

- 開啟後，選擇Regenerate並等待，直到您看到Success彈出視窗，然後關閉彈出視窗或返回並選擇Find/List。

2. 繼續使用後續使用者；按照步驟2中的相同步驟操作，並在集群中的所有訂閱伺服器上完成。

3. 在所有節點重新生成ITLRecovery證書後，需要按以下順序重新啟動服務：

- 如果您處於混合模式 — 繼續之前更新CTL Token - Tokenless。

- 登入到Publisher Cisco Unified Serviceability。

- 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。

- 在發佈伺服器上，選擇Restart on Cisco Trust Verification Service。

- 服務重新啟動完成後，繼續與使用者一起並重新啟動思科信任驗證服務。

4. 從發佈伺服器開始，然後繼續使用訂閱伺服器，僅在活動時重新啟動Cisco TFTP服務。

5. 重新啟動所有電話：

- Cisco Unified CM管理>系統>企業引數

- 選擇Reset，您會看到一個彈出視窗，其中包含You are about to reset all devices in the system語句。此操作無法撤消。繼續？,選擇確定，然後選擇重置。

6. 現在，手機在重置時上傳新的ITL/CTL。

刪除過期的信任證書

附註：標識需要刪除、不再需要或已過期的信任證書。請勿刪除五個基本憑證，包括CallManager.pem、tomcat.pem、ipsec.pem、CAPF.pem和TVS.pem。可以刪除適當的信任證書。重新啟動的下一個服務旨在清除這些服務中的舊證書的資訊。

1. 導航至Cisco Unified Serviceability > Tools > Control Center - Network Services。

- 從下拉選單中選擇CUCM Publisher。

- 選擇停止證書更改通知。

- 對集群中的每個Call Manager節點重複上述操作。

- 如果您有IMP伺服器：

- 從下拉選單中，逐一選擇您的IMP伺服器，然後選擇Stop Platform Administration Web Services和Cisco Intercluster Sync Agent。

2. 導航至Cisco Unified OS Administration > Security > Certificate Management > Find。

- 查詢過期的信任證書。(對於10.X及更高版本，可以按「過期」進行過濾。對於低於10.0的版本，您需要手動識別特定證書，如果收到，則需要通過RTMT警報識別這些證書。)

- 同一信任證書可能出現在多個節點中。必須從每個節點單獨刪除它。

- 選擇要刪除的信任證書（取決於您獲得彈出視窗或導航到同一頁上的證書的版本）

- 選擇Delete。(您將看到以「您將永久刪除此證書」開頭的彈出視窗。)

- 選擇OK。

3. 對每個要刪除的信任證書重複該過程。

4. 完成後，需要重新啟動與刪除的證書直接相關的服務。在本節中，您無需重新啟動電話。  Call Manager和CAPF會對終端產生影響。

- Tomcat-trust:通過命令列重新啟動Tomcat服務（請參閱Tomcat部分）

- CAPF-trust:重新啟動Cisco證書頒發機構代理功能（請參閱CAPF部分）不重新啟動終端。

- CallManager-trust:CallManager服務/CTIManager（請參閱CallManager部分）不重新啟動端點。

- 影響端點並導致重新啟動。

- IPSEC-trust:DRF Master/DRF本地（請參見IPSEC部分）。

- TVS（自簽名）沒有信任證書。

5. 重新啟動之前在步驟1中停止的服務。

驗證

驗證程式對於此配置不可用。

疑難排解

此配置的故障排除過程不可用。