Sécurité des téléphones (CAPF)

Objet

Pour une signalisation et une voix chiffrées, un téléphone Cisco a besoin de son propre certificat (LSC). Le CUCM l’émet par l’intermédiaire de la Certificate Authority Proxy Function (CAPF). Pour cela, les champs CAPF doivent être renseignés sur chaque téléphone : opération de certificat, mode d’authentification, type de clé et échéance.

Cette boîte de dialogue définit ces valeurs une fois par connexion CUCM. Si la fonction est activée, EasyUC les écrit sur le périphérique via AXL lors de la création d’un téléphone : opération de certificat « Install/Upgrade », mode d’authentification sélectionné, ordre des clés avec taille de clé et, comme échéance, la date du jour plus le nombre de jours configuré.

Avec Enable only per Device, EasyUC ne définit pas les valeurs automatiquement. L’entrée Make it Secure apparaît alors sous Actions pour les téléphones. Elle permet de lancer l’émission du certificat pour un seul téléphone.

Prérequis

• Licence avec le module cucm et la fonction provisioning. Sans provisioning, l’entrée est absente du menu Actions.
• Compte EasyUC avec le rôle ROLE_APP_ADMIN. Seuls les administrateurs voient le menu Administration.
• La connexion CUCM a été créée et activée. Pour une connexion désactivée, Actions n’affiche que Enable Connection.
• Dans le CUCM, le service Cisco Certificate Authority Proxy Function est configuré et les téléphones utilisent un profil de sécurité adapté à l’opération prévue. EasyUC ne renseigne que les champs CAPF sur le périphérique.
• Pour l’entrée Make it Secure, l’opérateur a besoin du rôle ROLE_APP_UPDATE_DEVICE.

Procédure pas à pas

1. Dans l’en-tête, sélectionnez l’espace de travail EasyUC Cisco.
2. Dans le menu, ouvrez Administration → CUCM & Provisioning → CUCM Connections. La page Manage CUCM Connections liste toutes les connexions.
3. Dans la ligne de la connexion souhaitée, cliquez sur Actions. La fenêtre contextuelle Menu s’ouvre.
4. Cliquez sur Phone Security. La boîte de dialogue Phone security s’ouvre.
5. Activez Enable. Les champs CAPF apparaissent.
6. Activez Enable only per Device si EasyUC ne doit pas définir les valeurs pour chaque nouveau téléphone, mais uniquement par l’action de périphérique Make it Secure.
7. Sélectionnez Authentication Mode. Avec By Authentication String, saisissez aussi Authentication String.
8. Sélectionnez Key Order et, en fonction de celui-ci, RSA Key Size, EC Key Size ou les deux.
9. Sous Days, saisissez pendant combien de jours l’opération de certificat doit rester ouverte.
10. Cliquez sur Save (en haut à droite ou en bas de la boîte de dialogue). La boîte de dialogue se ferme et EasyUC affiche un message de réussite (« Success »). Cancel ferme la boîte de dialogue sans modification.
11. Créez un téléphone de test ou cliquez sur Actions → Make it Secure pour un téléphone existant. Dans le CUCM, vérifiez la section CAPF du périphérique.

Champs et options

Vérifier le résultat et circonscrire les erreurs

• Réussite : dans la liste Manage CUCM Connections, la colonne Ph. Security affiche l’état de la connexion. Un téléphone créé ensuite possède dans le CUCM l’opération de certificat « Install/Upgrade » avec les valeurs sélectionnées.
• Message « This value should not be blank. » : un champ obligatoire est manquant, en général la taille de clé correspondant à l’ordre des clés sélectionné, la chaîne ou Days.
• L’entrée Make it Secure est absente sur le téléphone : elle n’apparaît que si Enable et Enable only per Device sont activés, si le périphérique est un téléphone et si le compte possède ROLE_APP_UPDATE_DEVICE.
• Le téléphone ne reçoit pas de certificat : dans le CUCM, vérifiez le service CAPF, le profil de sécurité du téléphone et si l’échéance est dépassée. EasyUC ne fait que renseigner les champs sur le périphérique et n’émet pas lui-même de certificat.
• Le paramètre seul ne prouve pas que la téléphonie est chiffrée. Le profil de sécurité et le mode du cluster dans le CUCM sont déterminants.