Certificat SBC par tenant

À quoi cela sert

Microsoft n’accepte un trunk Direct Routing que si le SBC présente un certificat reconnu publiquement, établi exactement pour son nom d’hôte. EasyUC commande lui-même ce certificat auprès de Let’s Encrypt et le conserve. La clé privée reste sur le serveur. Elle n’est affichée nulle part et ne peut pas être téléchargée.

EasyUC prouve la propriété du nom d’hôte par la méthode DNS-01 : Let’s Encrypt exige un enregistrement TXT précis dans la zone DNS du domaine. Le port 80 n’a pas besoin d’être joignable depuis Internet pour cela.

Il existe deux méthodes. À la main : EasyUC affiche le nom et la valeur de l’enregistrement TXT, et vous le créez chez votre fournisseur DNS. Cela fonctionne avec tous les fournisseurs. Automatiquement : si des identifiants Cloudflare sont enregistrés sur la page SBC, EasyUC définit lui-même l’enregistrement et renouvelle le certificat sans intervention.

Prérequis

• Module de licence teams. Sans ce module, l’espace de travail EasyUC Teams n’apparaît pas.
• Rôle EasyUC Teams (ROLE_APP_TEAMS_WORKSPACE) avec les sous-droits TENANTS (ROLE_APP_TEAMS_TENANTS) pour la lecture et TENANTS bearbeiten (ROLE_APP_TEAMS_TENANTS_EDIT) pour la modification.
• Le tenant existe et son nom d’hôte est correct.
• Sur la page SBC, Contact e-mail et Environment production sont définis, et Validation est DNS-01.
• Vous pouvez créer un enregistrement TXT dans la zone DNS publique du domaine. Pour la méthode automatique : un jeton d’API Cloudflare avec accès en écriture à la zone.
• Le serveur EasyUC joint Let’s Encrypt en HTTPS et peut résoudre les noms DNS publics.

Pas à pas : obtenir le certificat à la main avec un enregistrement TXT

1. Ouvrez Teams Tenants, cliquez sur le tenant et restez dans la section Settings.
2. Allez à l’encadré Certificate for this hostname (Let’s Encrypt). La flèche à côté de Certificate dans l’en-tête y mène directement.
3. Cliquez sur Request certificate et confirmez l’invite. EasyUC crée la commande.
4. Attendez l’encadré Now create this TXT record in the DNS zone of this domain. L’état indique DNS entry required.
5. Copiez Record name et Value avec les boutons Copy. Copy line vous donne l’enregistrement sur une seule ligne au format de zone.
6. Chez votre fournisseur DNS, créez un enregistrement de type TXT avec ce nom et cette valeur. Réglez le TTL aussi bas que possible ; 60 secondes est idéal.
7. Attendez que l’enregistrement soit résolvable publiquement. Selon le fournisseur, cela prend quelques minutes.
8. Cliquez sur Check and issue now.
9. Si la réponse est „Let’s Encrypt prüft den Eintrag noch. Bitte in einer Minute erneut auf „Jetzt prüfen und ausstellen“ klicken.“, attendez une minute et cliquez de nouveau.
10. Après le message „Das Zertifikat wurde ausgestellt und gespeichert.“, l’encadré affiche issued, valid until avec la date et le nombre de jours restants.
11. Supprimez de nouveau l’enregistrement TXT. Il n’est plus nécessaire après l’émission.

Pas à pas : émission et renouvellement automatiques avec Cloudflare

1. Chez Cloudflare, créez un jeton d’API autorisé à modifier les enregistrements DNS de la zone.
2. Ouvrez EasyUC Teams → Teams → SBC Setup et cliquez sur Edit.
3. Sous DNS provider, saisissez cloudflare.
4. Sous DNS credentials, saisissez la ligne CF_API_TOKEN=… avec votre jeton. Un texte sans signe égal est pris pour le jeton lui-même.
5. Cliquez sur Save. La vue d’ensemble affiche alors « DNS credentials stored, renewal runs on its own ».
6. EasyUC contrôle chaque jour à 03:30 tous les tenants actifs. Si un certificat manque, si une tentative a échoué ou s’il reste 30 jours ou moins, EasyUC définit l’enregistrement TXT, émet le certificat et supprime l’enregistrement.
7. Si vous ne souhaitez pas attendre le prochain cycle, demandez une fois le certificat à la main sur la page du tenant.

Champs et options

Vérifier le résultat et circonscrire les erreurs

• Succès : l’en-tête du tenant affiche valid until avec une date sous Certificate. Le SBC reprend lui-même le certificat et redémarre le profil SIP du tenant dès qu’aucun appel n’est en cours.
• „Der TXT-Eintrag … ist noch nicht sichtbar. Bitte im DNS anlegen; je nach Anbieter dauert es einige Minuten, bis er abrufbar ist.“ Vérifiez le nom et le type. Certains fournisseurs ajoutent eux-mêmes le nom de la zone ; le nom ne doit pas contenir le domaine deux fois.
• „Unter … steht bereits ein TXT-Eintrag, aber noch nicht der erwartete Wert. Meist stammt er aus einem früheren Versuch - bitte den Wert ersetzen und einige Minuten warten.“ Remplacez l’ancienne valeur.
• „Für Let’s Encrypt fehlt die Kontakt-E-Mail. Bitte sie auf der SBC-Seite eintragen.“ Ajoutez l’adresse e-mail dans les paramètres SBC.
• „Es liegt keine offene Zertifikatsbestellung vor. Bitte zuerst „Zertifikat anfordern“.“ La commande a expiré. Faites une nouvelle demande ; la valeur TXT est alors différente.
• „Der Hostname wurde seit der Bestellung geändert. Bitte das Zertifikat neu anfordern.“ Faites une nouvelle demande pour le nouveau nom.
• Un avis indiquant que le certificat provient de l’environnement de test et n’est PAS reconnu publiquement : passez en production sur la page SBC et refaites la demande.
• “This certificate expires in less than 30 days. Without stored DNS credentials nobody renews it automatically - request it again here in good time.” Répétez la procédure manuelle ou enregistrez des identifiants Cloudflare.
• „In den DNS-Zugangsdaten wurde kein CF_API_TOKEN gefunden. Erwartet wird eine Zeile CF_API_TOKEN=...“ Corrigez les identifiants sur la page SBC.
• „Für den DNS-Anbieter „…“ gibt es noch keinen Treiber. Bitte das Zertifikat von Hand anfordern.“ Seul Cloudflare fonctionne automatiquement.
• Certificat émis mais le trunk reste down : vérifiez l’environnement, le nom d’hôte exact, le port TLS et le pare-feu. Poursuivez avec le chapitre « Appels Teams, flux SIP et captures ».