Fonctions de sécurité en un coup d’œil

À quoi cela sert

La version 4.8.7 met en œuvre les constats de deux audits de sécurité. La plupart des modifications prennent effet sans intervention : contrôles plus stricts de l’appartenance d’un utilisateur, d’un téléphone ou d’un site, connexions TLS vérifiées vers le CUCM et Unity Connection, en-têtes de sécurité sur toutes les pages et journal des actions d’écriture.

Certaines fonctions exigent toutefois une décision ou une étape manuelle de l’administrateur. Ce chapitre les récapitule et renvoie aux chapitres contenant les instructions correspondantes.

Prérequis

Un compte ayant le type d’accès Administrator (full access) (ROLE_APP_ADMIN) ou le compte propriétaire (ROLE_OWNER). Seuls ces comptes voient le menu Administration.
Pour la connexion en deux étapes : le compte propriétaire et un envoi d’e-mails fonctionnel.
Pour le journal d’audit : l’autorisation Open logs and audit log (ROLE_APP_VIEW_LOG_PAGE) ou un compte administrateur.

Procédure pas à pas : durcissement de base après l’installation ou la mise à jour

Modifiez le mot de passe du compte propriétaire via le menu utilisateur de l’en-tête, entrée Change Password. Après un changement de mot de passe, toutes les autres sessions de ce compte prennent fin.
Configurez l’envoi d’e-mails sous Administration → System & Operations → System Configuration → SMTP Configuration et envoyez un e-mail de test.
Activez la connexion en deux étapes sous Administration → System & Operations → System Configuration → 2FA.
Créez un compte distinct pour chaque personne sous Administration → Access & Appearance → Administrators & Roles. N’attribuez Administrator (full access) que là où c’est nécessaire.
Pour les tâches récurrentes, créez des modèles d’autorisations contenant exactement les autorisations, clusters et sites requis. Utilisez Read only pour les comptes qui ne doivent rien modifier.
Sous Administration → Integrations & Communication → API Access, vérifiez si chaque clé est encore nécessaire et supprimez les autres.
Pour chaque webhook, vérifiez que Enable SSL verification est sélectionné.
Ouvrez Logs → EasyUC Logs et familiarisez-vous avec l’Audit log. Il indique qui a modifié quoi et quand.

Procédure pas à pas : confirmer un nouveau certificat CUCM

Ouvrez EasyUC Cisco → Dashboard.
Dans la zone CUCM Information, repérez la carte du nœud portant la mention Certificate does not match.
Cliquez sur Accept new certificate. La fenêtre Review certificate for <node> place côte à côte Stored certificate et Current node certificate.
Comparez le Certificate fingerprint (SHA-256) avec le certificat que le nœud CUCM utilise réellement. Pour cela, lisez la valeur sur le CUCM par un canal indépendant.
Cochez I have verified the fingerprint of the new certificate.
Cliquez sur Accept new certificate. Le message Certificate accepted. The status is being refreshed. confirme l’opération.

Champs et options

Champs et options
Champ / action	Signification et utilisation
Connexion en deux étapes	Un seul commutateur pour tous les comptes de l’administration. Le code arrive par e-mail, est valable 15 minutes et autorise cinq tentatives. Voir le chapitre sur la connexion en deux étapes.
Protection de la connexion	Après cinq tentatives échouées pour un même compte en 15 minutes, EasyUC ralentit les connexions suivantes. Cela s’applique à l’administration, au portail utilisateur final et à la connexion avec des clés API. Il n’y a rien à configurer.
Sessions	Un changement de mot de passe met fin à toutes les autres sessions du compte. Les autorisations et modèles modifiés prennent aussi effet pour les utilisateurs déjà connectés.
Types d’accès et modèles d’autorisations	Autorisations, mode lecture seule, clusters et sites par compte ou par modèle. Un compte sans connexion affectée ne voit aucune donnée CUCM.
Mots de passe enregistrés	L’interface n’affiche plus les mots de passe pour SMTP et les sources externes. Des champs de mot de passe vides conservent la valeur enregistrée uniquement tant que la cible reste la même. Après un changement d’hôte ou de port, saisissez de nouveau le mot de passe.
TLS vers le CUCM et Unity Connection	EasyUC mémorise le certificat d’un nœud lors du premier contact et le vérifie à chaque nouvelle connexion. Un certificat modifié doit être confirmé par un administrateur.
Vérification SSL pour les webhooks	Réglable par webhook. Par défaut : activée.
Audit log	Enregistre les actions d’écriture dans EasyUC et les modifications effectuées directement sur le CUCM. Des autorisations distinctes régissent l’accès aux détails techniques tels que les adresses IP, l’export et les paramètres de conservation.
Accès API	Le secret n’est affiché qu’une seule fois. La documentation de l’API n’est accessible qu’après la connexion.
Self-service des utilisateurs finaux	Les utilisateurs finaux ne peuvent utiliser que leurs propres numéros sur les touches de ligne. La recherche dans le plan de numérotation et la création de nouveaux numéros à partir du plan de numérotation sont bloquées pour les utilisateurs finaux.

Vérifier le résultat et circonscrire les erreurs

La connexion en deux étapes est active lorsque la page Check 2 Factor Authentication Code apparaît après le mot de passe.
Mention Certificate does not match sur un nœud CUCM : le certificat du nœud a changé, par exemple après un renouvellement. Confirmez-le comme décrit ci-dessus. D’ici là, les requêtes vers ce nœud échouent.
Mention This certificate is already stored. The TLS error has another cause. : vérifiez l’accessibilité, l’heure et le nom d’hôte du nœud.
Le bouton Accept new certificate reste verrouillé : la case de vérification de l’empreinte n’est pas cochée, ou votre compte n’est pas administrateur.
Une connexion est refusée malgré le mot de passe correct : après plusieurs tentatives échouées, la protection de la connexion s’applique. Patientez quelques minutes.
Un utilisateur ne voit plus aucun cluster après la mise à jour : aucune connexion n’est affectée au compte. Saisissez les clusters autorisés sous Administrators & Roles.
L’enregistrement de la configuration SMTP ou d’une source externe redemande le mot de passe : l’hôte, le port ou le chiffrement a été modifié.