Finesseでのサードパーティ署名証明書を使用したSANの問題

はじめに

このドキュメントでは、アプリケーションサーバの証明書がロードできず、「CSR SAN and Certificate SAN does not match」というエラーメッセージが表示される問題について説明します。

著者：Cisco TAC エンジニア、Anuj Bhatia

前提条件

要件

次の項目に関する知識が推奨されます。

• 音声オペレーティングシステム(VOS)プラットフォームでの証明書署名要求(CSR)生成プロセス
• VOSプラットフォームに認証局(CA)署名付き証明書をアップロードするプロセス

使用するコンポーネント

このドキュメントの情報は、Cisco Finesse 11.0(1)以降に基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

問題：Finesseのサードパーティ署名証明書に関するSANの問題

サーバでCA署名付き証明書を使用するには、まずCSRを生成します。このフィールドは、デフォルトでサブジェクト代替名(SANs)フィールドにサーバのドメイン名が入力されているGenerate CSRページから作成されます。

CSRの生成後、CSR内のSANはこの形式で表示されます
DNS名=ora.com(dNSName)
DNS名=finessea.ora.com(dNSName)

サードパーティCAがこのCSRから証明書チェーンを作成する場合、通常、これらのSAN名がCSRから不一致のアプリケーション証明書に含まれています。
DNS名= finessea.ora.com
DNS名=www. finessea.ora.com
GoDaddy CAによって提供されたアプリケーション証明書を次の図に示します。

このSANの不一致により、tomcat信頼ストアでのアプリケーション証明書のロードが妨げられ、「CSR SAN and Certificate SAN does not match」というエラーが生成されます。

注：この問題はVOSプラットフォームで発生し、Cisco Live Data、Cisco Unified Intelligence Center(CUIC)など、このオペレーティングシステムで実行されているすべてのコンタクトセンター製品に該当します。

解決方法

この問題に対処するには、次の2つの方法があります。

• お客様はCA認証局に問い合わせ、CSRに含まれるSANとの証明書チェーンの取得を要求できます。
• より簡単なオプションは、CSRの生成時にSANのフィールドを空白にしておくことです。

CSRのSAN情報にデータがありません。CA認証局が情報を公開する証明書チェーンを提供する場合、アップロード時にシステムは証明書のインストールを許可するフィールドを無視します。