Certificado del SBC por tenant

Para qué sirve

Microsoft solo acepta un trunk de Direct Routing si el SBC presenta un certificado de confianza pública para exactamente su nombre de host. EasyUC solicita este certificado a Let’s Encrypt por sí mismo y lo almacena. La clave privada permanece en el servidor. No se muestra en ningún lugar y no se puede descargar.

EasyUC demuestra la titularidad del nombre de host con el método DNS-01: Let’s Encrypt exige un registro TXT concreto en la zona DNS del dominio. Para ello no es necesario que el puerto 80 sea accesible desde Internet.

Hay dos vías. Manual: EasyUC muestra el nombre y el valor del registro TXT y usted lo crea en su proveedor de DNS. Funciona con cualquier proveedor. Automática: si en la página del SBC están almacenadas credenciales de Cloudflare, EasyUC define el registro por sí mismo y renueva el certificado sin intervención.

Requisitos previos

Módulo de licencia teams. Sin este módulo no aparece el espacio de trabajo EasyUC Teams.
Rol EasyUC Teams (ROLE_APP_TEAMS_WORKSPACE) con los subpermisos TENANTS (ROLE_APP_TEAMS_TENANTS) para leer y TENANTS bearbeiten (ROLE_APP_TEAMS_TENANTS_EDIT) para modificar.
El tenant existe y su nombre de host es correcto.
En la página del SBC están definidos Contact e-mail y Environment producción, y Validation es DNS-01.
Puede crear un registro TXT en la zona DNS pública del dominio. Para la vía automática: un token de API de Cloudflare con acceso de escritura a la zona.
El servidor EasyUC accede a Let’s Encrypt mediante HTTPS y puede resolver nombres DNS públicos.

Paso a paso: obtener el certificado manualmente con un registro TXT

Abra Teams Tenants, haga clic en el tenant y permanezca en la sección Settings.
Vaya al cuadro Certificate for this hostname (Let’s Encrypt). La flecha junto a Certificate en el encabezado salta directamente a él.
Haga clic en Request certificate y confirme el aviso. EasyUC crea el pedido.
Espere al cuadro Now create this TXT record in the DNS zone of this domain. El estado indica DNS entry required.
Copie Record name y Value con los botones Copy. Copy line le proporciona el registro en una sola línea en formato de zona.
En su proveedor de DNS, cree un registro de tipo TXT con este nombre y este valor. Defina el TTL lo más corto posible; 60 segundos es lo ideal.
Espere hasta que el registro pueda resolverse públicamente. Según el proveedor, esto tarda unos minutos.
Haga clic en Check and issue now.
Si la respuesta es „Let’s Encrypt prüft den Eintrag noch. Bitte in einer Minute erneut auf „Jetzt prüfen und ausstellen“ klicken.“, espere un minuto y haga clic de nuevo.
Tras el mensaje „Das Zertifikat wurde ausgestellt und gespeichert.“, el cuadro muestra issued, valid until con la fecha y los días restantes.
Elimine de nuevo el registro TXT. Tras la emisión ya no es necesario.

Paso a paso: emisión y renovación automáticas con Cloudflare

En Cloudflare, cree un token de API con permiso para editar los registros DNS de la zona.
Abra EasyUC Teams → Teams → SBC Setup y haga clic en Edit.
En DNS provider, introduzca cloudflare.
En DNS credentials, introduzca la línea CF_API_TOKEN=… con su token. El texto sin signo igual se toma como el propio token.
Haga clic en Save. La vista general muestra entonces “DNS credentials stored, renewal runs on its own”.
EasyUC comprueba todos los tenants activos a diario a las 03:30. Si falta un certificado, un intento ha fallado o quedan 30 días o menos, EasyUC define el registro TXT, emite el certificado y vuelve a eliminar el registro.
Si no desea esperar a la siguiente ejecución, solicite el certificado una vez manualmente en la página del tenant.

Campos y opciones

Campos y opciones
Campo / acción	Significado y uso
Hostname	Nombre para el que se emite el certificado. Coincide con el SBC hostname del tenant.
Certificate	Estado: issued, valid until …, DNS entry required, being requested, Failed, no order yet o not checked yet.
Request certificate / Request a new certificate	Crea un pedido nuevo en Let’s Encrypt. Un pedido abierto todavía reciente se continúa en lugar de sustituirse.
Check and issue now	Comprueba si el registro TXT es visible públicamente y emite el certificado. Solo aparece mientras haya un pedido abierto.
Record name / Record type / Value	Los tres datos del registro DNS. El tipo es siempre TXT.
All in one line	El mismo registro como una sola línea para pegarlo en un archivo de zona.
Fingerprint	Huella del certificado emitido para compararla, por ejemplo con una comprobación desde fuera.
Check again (arrow icon)	Vuelve a leer el estado del certificado sin solicitar nada.

Comprobar el resultado y acotar errores

Éxito: el encabezado del tenant muestra valid until con una fecha en Certificate. El SBC recoge el certificado por sí mismo y reinicia el perfil SIP del tenant en cuanto no haya ninguna llamada en curso.
„Der TXT-Eintrag … ist noch nicht sichtbar. Bitte im DNS anlegen; je nach Anbieter dauert es einige Minuten, bis er abrufbar ist.“ Compruebe el nombre y el tipo. Algunos proveedores añaden por sí mismos el nombre de la zona; el nombre no debe contener el dominio dos veces.
„Unter … steht bereits ein TXT-Eintrag, aber noch nicht der erwartete Wert. Meist stammt er aus einem früheren Versuch - bitte den Wert ersetzen und einige Minuten warten.“ Sustituya el valor antiguo.
„Für Let’s Encrypt fehlt die Kontakt-E-Mail. Bitte sie auf der SBC-Seite eintragen.“ Añada el correo electrónico en los ajustes del SBC.
„Es liegt keine offene Zertifikatsbestellung vor. Bitte zuerst „Zertifikat anfordern“.“ El pedido ha caducado. Solicite de nuevo; el valor TXT será entonces distinto.
„Der Hostname wurde seit der Bestellung geändert. Bitte das Zertifikat neu anfordern.“ Solicite de nuevo para el nuevo nombre.
Un aviso indica que el certificado procede del entorno de pruebas y NO es de confianza pública: cambie a producción en la página del SBC y solicite de nuevo.
“This certificate expires in less than 30 days. Without stored DNS credentials nobody renews it automatically - request it again here in good time.” Repita el procedimiento manual o almacene credenciales de Cloudflare.
„In den DNS-Zugangsdaten wurde kein CF_API_TOKEN gefunden. Erwartet wird eine Zeile CF_API_TOKEN=...“ Corrija las credenciales en la página del SBC.
„Für den DNS-Anbieter „…“ gibt es noch keinen Treiber. Bitte das Zertifikat von Hand anfordern.“ Solo Cloudflare funciona de forma automática.
Certificado emitido pero el trunk sigue down: compruebe el entorno, el nombre de host exacto, el puerto TLS y el firewall. Continúe en el capítulo “Llamadas de Teams, flujo SIP y capturas”.