在統一通訊管理器中重新生成證書

簡介

本文檔介紹在Unified Communications Manager中重新生成證書的過程。  

必要條件

需求 

思科建議您瞭解以下主題：

• 即時監控工具(RTMT)
• Cisco Unified Communications Manager安全指南
• CUCM證書
• 證書頒發機構Proxy功能

採用元件

思科建議您安裝以下工具：

• 即時監控工具(RTMT)
• 基於思科統一通訊管理器(CUCM)版本10.5、12.0、14.0、15.0的資訊。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

本文檔介紹如何在Cisco Unified Communications Manager (CUCM)版本8.X及更高版本中重新生成證書的分步過程。 請參考特定版本的安全指南。

通訊管理器(CUCM)版本8.X - 11.5.X國際交易日誌由Call Manager證書簽署。
通訊管理器(CUCM)版本12.0+國際交易日誌由ITLRecovery證書簽署。

ITL和CTL檔案互動

Cisco IP電話依賴CTL檔案來瞭解集群安全模式（非安全或混合模式）。CTL檔案透過將統一通訊管理器證書包括在統一通訊管理器記錄中來跟蹤集群安全模式。 ITL檔案還包含集群安全模式指示。

ITL簽名者比較

安裝即時監控工具(RTMT)

• 從Call Manager下載並安裝RTMT Tool。
  • 導航到Call Manager (CM)管理：應用>外掛>查詢>思科統一即時監控工具- Windows >下載。 安裝和啟動。 

使用RTMT監控終端

• 啟動RTMT並輸入IP地址或完全限定域名(FQDN)，然後輸入使用者名稱和密碼以訪問工具： 
  • 選擇Voice/Video頁籤。
  • 選擇Device Summary。
    • 此部分標識註冊終端的總數以及每個節點的數量。
    • 在端點重設期間進行監控，以確保在重新生成下一個憑證之前進行註冊。 

提示：某些證書的重新生成過程可能影響終端。由於需要重新啟動服務和重新啟動電話，請在正常工作時間後考慮一項行動計畫。強烈建議在此過程之前、期間和之後透過RTMT驗證電話註冊。只有在伺服器上執行服務時，才需要重新啟動服務。

警告：當前存在ITL不匹配（不良ITL）的終端在此過程後可能會出現註冊問題。  對於國際交易日誌有問題的裝置，在重新生成過程完成且所有其他電話已註冊後，刪除終端上的國際交易日誌是一個典型的最佳實踐解決方案。  請查閱關於如何刪除ITL/CTL（安全）證書的特定電話型號。

辨識叢集安全模式

• 導航到CM管理：System > Enterprise Parameters > Security Parameters > Cluster Security Mode。

ITL和CTL

• 初始信任清單(ITL)包含Call Manager TFTP、ITLRecovery和集群中所有TVS證書的證書角色。如果服務正在運行，則它還包含證書頒發機構代理功能(CAPF)。從12.0版開始，國際交易日誌由ITLRecovery證書簽署。登入CLI並輸入命令show itl即可發現此問題。在12.0版本之前，ITL由呼叫管理器證書簽署。
• CTL包含在同一伺服器上運行的系統管理員安全令牌(SAST)、Cisco CallManager和Cisco TFTP服務的條目、CAPF、ITLRecovery、TFTP伺服器和自適應安全裝置(ASA)防火牆。CTL中未引用TVS。如果服務（Cisco CTL提供商）正在運行，則向終端提供CTL。
• 從CUCM 14SU(3)開始，Cisco CTL提供商服務不再支援CTL令牌，無令牌是預設支援的方法。

憑證存放區的影響

對於成功的系統功能而言，更新CUCM集群中的所有證書至關重要。如果憑證過期或無效，可能會嚴重影響系統的正常功能。影響可能會因系統設定而異。無效或過期的特定證書的服務清單如下所示： 

CallManager.pem

• 已加密/已驗證電話未註冊。
• 簡單檔案傳輸協定(TFTP)不受信任（電話不接受簽名配置檔案和/或ITL檔案）。
• 電話服務可能受到影響。
• 安全會話初始協定(SIP)中繼或媒體資源(會議網橋、媒體終端點(MTP)、轉碼器等)不註冊或工作。
• AXL請求失敗。

Tomcat.pem

• 電話無法訪問CUCM節點上託管的HTTP服務，例如公司目錄。
• CUCM可能會遇到各種Web問題，例如無法從集群中的其他節點訪問服務頁面。
• Extension Mobility (EM)或Extension Mobility Cross Cluster問題。
• 單一登入(SSO)
• Expressway遍歷區域關閉（啟用TLS驗證）。
• 如果整合了Unified Contact Center Express (UCCX)，由於CCX 12.5的安全更改，則需要在UCCX tomcat-trust儲存中上傳CUCM Tomcat證書（自簽名）或Tomcat根證書和中間證書（用於CA簽名），因為這會影響Finesse案頭登入。

CAPF.pem

• 此證書用於向終端頒發LSC（線上和離線CAPF模式除外）、電話VPN、802.1x和電話代理。
• 從Unified Communications Manager版本11.5(1) SU1開始，CAPF服務頒發的所有LSC證書都使用SHA-256演算法簽名。
• CTI、JTAPI和TAPI的身份驗證和加密設定。

IPSec.pem

• 災難回覆系統(DRS)/災難回覆架構(DRF)無法正常運作。
• 到網關(GW)或到其他CUCM集群的IPSec隧道不起作用。

信任驗證服務(TVS)

預設情況下，信任驗證服務(TVS)是安全性的主要元件。TVS使思科統一IP電話能夠在建立HTTPS時驗證應用伺服器，例如EM服務、目錄和MIDlet。

TVS提供下列功能：

• 可擴充性- Cisco Unified IP Phone資源不受要信任的證書數量的影響。
• 靈活性-新增或移除信任憑證會自動反映在系統中。
• 預設安全性-非媒體與訊號安全功能是預設安裝的一部分，不需要使用者介入。

ITLRecovery （信任驗證服務）

• 8.X - 11.5恢復ITL不匹配、電話遷移和EMCC至CUCM 12.0+的電話。
• 12.0+用於SSO、EMCC和ITL/CTL的主簽名者。
• 12.5+ ITL恢復僅由發佈者生成。

憑證管理員ECDSA支援

在Unified Communications Manager版本11.0中，證書管理器支援生成自簽名ECDSA證書和ECDSA證書簽名請求(CSR)。Unified Communications Manager的早期版本僅支援RSA證書。但是，從Unified Communications Manager版本11.0開始，CallManager-ECDSA證書已隨現有RSA證書一起增加。

CallManager和CallManager-ECDSA證書共用公共證書信任庫- CallManager-Trust。Unified Communications Manager將這些證書上傳到此信任庫。

第三方CA簽名的身份證書

注意：第三方可能表示內部證書頒發機構(CA)或外部源（如Go-Daddy、Verisign等）。  身份證書是特定卷（Tomcat、Call Manager等）的伺服器證書。

1. 從發佈者開始（每個訂閱者都成功），導航到集群中的每個伺服器（在Web瀏覽器的單獨頁籤中，除非您建立多SAN CSR）。導航到Cisco Unified OS Administration > Security > Certificate Management。
2. 選擇生成CSR。
3. 選擇Certificate Purpose下拉選單並選擇certificate。
4. 選擇分發型別。單一伺服器或多重伺服器(SAN)。
   • 多伺服器(SAN)在SAN部分包括所有CUCM和CUP節點。
5. 選擇Generate。
6. 下載CSR並提供給證書頒發機構。
7. 收到簽名證書後，按鏈結順序上傳證書。
   • 將根作為信任證書上傳。
   • 上傳中級作為信任證書。
   • 上傳簽名證書作為證書型別。
   • 重新啟動快顯中辨識的適當服務。

憑證重新產生程式

注意：在重新生成證書之前，需要打開並註冊所有終端。否則，未連線的電話需要拆除ITL。

Tomcat憑證

重新生成Tomcat和Tomcat-ECDSA的過程相同，包括服務重新啟動。

辨識是否使用了第三方證書：

1. 從發行者開始，由每個訂閱者繼續導覽至叢集中的每個伺服器（位於Web瀏覽器的個別標籤中）。  導航到Cisco Unified OS Administration > Security > Certificate Management > Find。
   
   • 如果Tomcat顯示系統生成的自簽名證書，請觀察說明列。如果Tomcat是第三方簽署的，請使用提供的連結並在Tomcat重新生成後執行這些步驟。
   • 第三方簽名證書，請參閱上傳CCMAdmin Web GUI證書的CUCM。 
2. 選擇查詢以顯示所有證書：
   • 選擇Find Tomcat Pem。
   • 打開後，選擇Regenerate並等待直到顯示「Success」彈出窗口，然後關閉彈出窗口或返回並選擇Find/List。
3. 繼續處理每個後續訂戶，在步驟2中執行相同程式並在集群中的所有訂戶上完成。
4. 當所有節點都重新生成Tomcat證書後，請在所有節點上重新啟動tomcat服務。從發行者開始，繼續訂閱者。
   • 要重新啟動Tomcat，您需要為每個節點打開一個CLI會話並執行utils service restart Cisco Tomcat命令。

5. 在CCX環境中使用以下步驟（如果適用）：

• 如果使用自簽名證書，請從CUCM集群的所有節點上傳Tomcat證書到Unified CCX Tomcat信任庫。
• 如果使用CA簽名證書或專用CA簽名證書，請將CUCM的根CA證書上傳到Unified CCX Tomcat信任庫。
• 按照CCX的證書重新生成文檔中的說明重新啟動伺服器。

其他參考：

• UCCX解決方案證書管理指南
• Unified CCX運行狀況檢查實用程式

 IPSEC證書

註：在10.X版之前的CUCM/即時消息和線上狀態(IM&P)，DRFMaster代理在CUCM發佈伺服器和即時消息和線上狀態發佈伺服器上運行。DRF本地服務分別在使用者上運行。版本10.X及更高版本中，DRFMaster代理僅在CUCM發佈伺服器上運行，而DRF本地服務則在CUCM訂閱伺服器和IM&P發佈伺服器和訂閱伺服器上運行。

註：災難恢復系統在Master代理和本地代理之間使用基於安全套接字層(SSL)的通訊對CUCM集群節點之間的資料進行身份驗證和加密。DRS將IPSec證書用於其公鑰/私鑰加密。請注意，如果從「證書管理」(Certificate Management)頁面刪除IPSEC truststore (hostname.pem)檔案，則DRS不會按預期工作。如果手動刪除IPSEC-trust檔案，則必須確保將IPSEC證書上傳到IPSEC trust-store。有關詳細資訊，請參閱《Cisco Unified Communications Manager安全指南》中的證書管理幫助頁。

1. 瀏覽至叢集中的每個伺服器（在Web瀏覽器的個別標籤中），並從發行者開始，由每個訂閱者接替。導航到Cisco Unified OS Administration > Security > Certificate Management > Find。
   
   • 選擇IPSEC PEM證書。
   • 打開後，選擇Regenerate並等待直到顯示「Success」彈出窗口，然後關閉彈出窗口或返回並選擇Find/List。
2. 繼續後續的訂閱者；執行步驟1中的相同程式，並在叢集中的所有訂閱者上完成。
3. 在所有節點重新生成IPSEC證書之後，請重新啟動服務。
   
   • 導航到發佈伺服器Cisco Unified Serviceability。
     1. Cisco Unified Serviceability > Tools > Control Center -網路服務
     2. 選擇Restart on Cisco DRF Master Service。
     3. 服務重新啟動完成後，請在發佈伺服器的Cisco DRF本地服務上選擇Restart，然後繼續使用者，並在Cisco DRF本地選擇Restart。

發佈伺服器中的IPSEC.pem證書必須有效，並且必須以IPSEC信任庫的形式存在於所有訂閱者中。在標準部署中，使用者的IPSEC.pem證書在發佈伺服器中不是IPSEC-trust。要驗證有效性，請將來自PUB的IPSEC.pem證書中的序列號與SUB中的IPSEC-trust進行比較。它們必須匹配。

CAPF證書

注意：從CUCM 14開始，只能在發佈伺服器上找到CAPF證書。

警告：繼續進行之前，請確認叢集是否處於混合模式。  請參閱辨識叢集安全模式一節。

1. 導航到Cisco Unified CM管理>系統>企業引數。
   
   • 檢查安全引數部分，驗證集群安全模式設定為0還是1。如果值為0，則叢集處於非安全模式。如果是1，則集群處於混合模式，您需要在重新啟動服務之前更新CTL檔案。請參閱Token和Tokenless links。
2. 從發佈者開始，然後瀏覽至叢集中的每個伺服器（在Web瀏覽器的個別標籤中），再瀏覽至每個訂戶。  導航到Cisco Unified OS Administration > Security > Certificate Management > Find。
   
   • 選取CAPF PEM「憑證」。
   • 打開後，選擇Regenerate並等待直到顯示「Success」彈出窗口，然後關閉彈出窗口，或返回並選擇Find/List。
3. 繼續後續的訂閱者；執行步驟2中的相同程式，並在叢集中的所有訂閱者上完成。
   • 如果集群處於混合模式或CTL正用於802.1X，則必須在繼續操作之前更新CTL。
     • 登入發佈伺服器的CLI，然後輸入命令utils ctl update CTLFile。
     • 重置所有加密和驗證電話，CTL檔案更新才會生效。
4. 在所有節點重新生成CAPF證書後，重新啟動服務。
   
   • 導航到發佈伺服器Cisco Unified Serviceability。
     1. Cisco Unified Serviceability > Tools > Control Center - Feature Services。
     2. 選擇發佈伺服器，並在Cisco Certificate Authority Proxy Function Service上選擇Restart（僅當活動時才使用）。
5. 導航到Cisco Unified Serviceability > Tools > Control Center - Network Services。
   • 從發佈伺服器開始，然後繼續使用者，選擇Cisco Trust Verification Service上的Restart。
   • 導航到Cisco Unified Serviceability > Tools > Control Center - Feature Services。
   • 從發佈伺服器開始，然後繼續使用者，重新啟動Cisco TFTP服務，其中狀態顯示已啟動。
6. 重新啟動所有電話：
   • 選項 1
   • Cisco Unified CM管理>系統>企業引數
   • 選擇Reset，您將看到一個彈出窗口，顯示「You are about to reset all devices in the system.此操作無法撤消。繼續？」，選擇確定，然後選擇重置。
     • 此方法重置Call Manager中的ALL元件。
   • 選項 2
   • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
     • 搜尋Device Name begins with SEP > Next > Reset Phones > Run Immediately。

電話現在已重置。透過RTMT工具監控其操作，以確保重置成功，並且裝置註冊回CUCM。請等待電話註冊完成，然後繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在重新生成過程之前具有不良ITL的裝置在移除之前不會註冊回群集。

CallManager證書

重新生成CallManager和CallManager-ECDSA的過程相同，包括服務重新啟動。

警告：繼續進行之前，請確認叢集是否處於混合模式。請參閱辨識叢集安全模式一節。

警告：在8.x-11.5版本中，或者如果ITL由Call Manager證書簽署，則不要同時重新生成CallManager.PEM和TVS.PEM證書。  這會導致終端上已安裝的ITL出現不可恢復的不匹配，需要從集群中的所有終端刪除ITL，或從DRS恢復以重新開始證書更新。

1. 導航到Cisco Unified CM管理>系統>企業引數：
   • 檢查安全引數部分，驗證集群安全模式設定為0還是1。如果值為0，則叢集處於非安全模式。如果是1，則集群處於混合模式，您需要在重新啟動服務之前更新CTL檔案。請參閱Token和Tokenless links。
2. 從發佈者開始，然後瀏覽至叢集中的每個伺服器（在Web瀏覽器的個別標籤中），再瀏覽至每個訂戶。導航到Cisco Unified OS Administration > Security > Certificate Management > Find。
   
   • 選擇CallManager pem Certificate。
   • 打開後，選擇Regenerate並等待直到顯示「Success」彈出窗口，然後關閉彈出窗口或返回並選擇Find/List。
3. 繼續後續的訂閱者；執行步驟2中的相同程式，並在叢集中的所有訂閱者上完成。
   • 如果叢集處於混合模式，或CTL正用於802.1X，則您必須更新CTL，才能繼續執行。
     • 登入發佈伺服器的CLI，然後輸入命令utils ctl update CTLFile。
     • 重置所有加密和驗證電話，CTL檔案更新才會生效。
4. 登入Publisher Cisco Unified Serviceability：
   • 導航到Cisco Unified Serviceability > Tools > Control Center - Feature Services。
   • 從發佈伺服器開始，然後繼續使用者，只需重新啟動Cisco CallManager服務（狀態顯示已啟動）。
5. 導航到Cisco Unified Serviceability > Tools > Control Center - Feature Services。
   
   • 從發佈伺服器開始，然後繼續使用者，重新啟動Cisco CTIManager服務，其中狀態顯示已啟動。
6. 導航到Cisco Unified Serviceability > Tools > Control Center - Network Service。
   
   • 從發佈伺服器開始，然後繼續使用者，重新啟動Cisco Trust Verification Service。
7. 導航到Cisco Unified Serviceability > Tools > Control Center - Feature Services。
   
   • 從發佈伺服器開始，然後繼續使用者，重新啟動Cisco TFTP服務，其中狀態顯示已啟動。
8. 重新啟動所有電話：
   • 選項 1
   • Cisco Unified CM管理>系統>企業引數
     • 選擇Reset，您將看到一個彈出窗口，顯示「You are about to reset all devices in the system.此操作無法撤消。繼續？」，選擇確定，然後選擇重置。
     • 此方法重置Call Manager中的ALL元件。
   • 選項 2
   • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
     • 搜尋Device Name begins with SEP > Next > Reset Phones > Run Immediately

電話現在已重置。透過RTMT工具監控其操作，以確保重置成功，並且裝置註冊回CUCM。請等待電話註冊完成，然後繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在重新生成過程之前具有不良ITL的裝置在ITL被移除之前不會註冊回群集。

TVS證書

警告：在8.x-11.5版本中，或者如果ITL由Call Manager證書簽署，則不要同時重新生成CallManager.PEM和TVS.PEM證書。  這會導致終端上已安裝的ITL出現不可恢復的不匹配，需要從集群中的所有終端刪除ITL，或從DRS恢復以重新開始證書更新。

注意：TVS代表Call Manager對證書進行身份驗證。最後重新生成此證書。

從發佈者開始，然後瀏覽至叢集中的每個伺服器（在Web瀏覽器的個別標籤中），再瀏覽至每個訂戶。  導航到Cisco Unified OS Administration > Security > Certificate Management > Find。

• 選擇TVS pem證書。
• 打開後，選擇Regenerate並等待直到顯示Success彈出窗口，然後關閉彈出窗口，或者返回並選擇Find/List。

1. 繼續後續的訂閱者；在步驟1中執行相同的程式，並在叢集中的所有訂閱者上完成。
   • 所有節點重新產生TVS憑證後，請重新啟動服務：
     • 登入發佈伺服器Cisco Unified Serviceabilty。
       • 導航到Cisco Unified功能配置>工具>控制中心-網路服務
       • 在發佈伺服器上，選擇Cisco Trust Verification Service上的Restart。
     • 服務重新啟動完成後，請繼續使用者，然後重新啟動Cisco Trust Verification Service。
2. 從發佈伺服器開始，r繼續使用者，然後重新啟動Cisco TFTP Service，狀態顯示已啟動。
3. 重新啟動所有電話：
   • 選項 1
   • Cisco Unified CM管理>系統>企業引數
     • 選擇Reset，您將看到一個彈出窗口，顯示「You are about to reset all devices in the system.此操作無法撤消。繼續？」，選擇確定，然後選擇重置。
     • 此方法重置Call Manager中的ALL元件。
   • 選項 2
   • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
     • 搜尋Device Name begins with SEP > Next > Reset Phones > Run Immediately。

電話現在已重置。透過RTMT工具監控其操作，以確保重置成功，並且裝置註冊回CUCM。請等待電話註冊完成，然後繼續下一個證書。此電話註冊過程可能需要一些時間。請注意，在重新生成過程之前具有不良ITL的裝置在ITL被移除之前不會註冊回群集。

ITLRecovery證書

注意：當裝置失去其受信任狀態時，將使用ITLRecovery證書。證書出現在ITL和CTL中(當CTL提供商處於活動狀態時，Cisco bug IDCSCwf85275)。
從12.5+開始，ITLRecovery是由發行者產生並發行給訂閱者的單一憑證。
如果裝置丟失其信任狀態，則您可以對非安全集群使用utils reset localkey命令，對混合模式集群使用utils ctl reset localkey命令。請閱讀Call Manager版本的安全指南，熟悉ITLRecovery證書的使用方式以及恢復可信狀態所需的流程。
如果集群已升級到支援金鑰長度為2048的版本，集群伺服器證書已重新生成到2048年，並且ITLRecovery尚未重新生成且當前金鑰長度為1024，則ITL恢復命令失敗，並且不使用ITLRecovery方法。

1. 從發佈者開始，然後瀏覽至叢集中的每個伺服器（在Web瀏覽器的個別標籤中），再瀏覽至每個訂戶。  導航到Cisco Unified OS Administration > Security > Certificate Management > Find。
   
   • 選擇ITLRecovery pem證書。
   • 打開後，選擇Regenerate並等待直到顯示Success彈出窗口，然後關閉彈出窗口，或者返回並選擇Find/List。
2. 在ITLRecovery重新生成ITLRecovery證書後，需要重新啟動服務。
   • 如果叢集處於混合模式，或CTL正用於802.1X，則您必須更新CTL，才能繼續執行。
     • 登入發佈伺服器的CLI，然後輸入命令utils ctl update CTLFile。
     • 重置所有加密和驗證電話，CTL檔案更新才會生效。
   • 登入Publisher Cisco Unified Serviceability.
     • 導航到Cisco Unified Serviceability > Tools > Control Center - Network Services。
     • 在發佈伺服器上，選擇Cisco Trust Verification Service上的Restart。
   •  服務重新啟動完成後，請繼續使用者，然後重新啟動Cisco Trust Verification Service。
3. 從發佈伺服器開始，然後繼續使用者，重新啟動Cisco TFTP Service，其中狀態顯示已啟動。
4. 重新啟動所有電話：
   • 選項 1
   • Cisco Unified CM管理>系統>企業引數
     • 選擇Reset，您將看到一個彈出窗口，顯示「You are about to reset all devices in the system.此操作無法撤消。繼續？」，選擇確定，然後選擇重置。
     • 此方法重置Call Manager中的ALL元件。
   • 選項 2
   • Cisco Unified CM管理>批次管理>電話>更新電話>查詢
     • 搜尋Device Name begins with SEP > Next > Reset Phones > Run Immediately。

刪除過期的信任憑證

警告：刪除憑證可能影響系統作業。如果憑證是現有鏈結的一部分，它也可以中斷憑證鏈結。從「證書清單」窗口中相關證書的使用者名稱和使用者名稱驗證此關係。

注意：受信任的證書是您可以刪除的唯一型別的證書。您無法刪除由系統產生的自簽憑證。  辨識需要刪除、不再需要或已過期的信任憑證。請勿刪除五個基本證書，包括CallManager.pem、tomcat.pem、ipsec.pem、CAPF.pem和TVS.pem。可以適時刪除信任憑證。重新啟動的下一個服務旨在清除這些服務中的舊證書資訊。

1. 導航到Cisco Unified Serviceability > Tools > Control Center - Network Services。
   • 從下拉選單中選擇CUCM發佈器。
     • 對於CUCM 11.5及更低版本，
     • 選擇停止證書更改通知。CUCM版本12.0及更高版本不需要此要求。
     • 對集群中的每個Call Manager節點重複上述步驟。
   • 如果您有IMP伺服器：
     • 從下拉選單中逐次選擇您的IMP伺服器並選擇Stop Platform Administration Web Services和Cisco Intercluster Sync Agent。  IMP版本12.0及更高版本不需要此要求。
2. 導航到Cisco Unified OS Administration > Security > Certificate Management > Find。
   
   • 查詢過期的信任證書。(對於版本10.X和更高版本，可以按「過期」進行過濾。對於低於10.0的版本，手動辨識證書或在收到證書時使用RTMT警報。)
   • 相同的信任憑證可以出現在多個節點中。必須從每個節點單獨刪除它。
   • 選取要刪除的信任憑證（根據您的版本，您會收到快顯視窗，或導覽至相同頁面上的憑證）
     • 選擇Delete。(您將看到以「您將永久刪除此證書」開頭的彈出窗口。)
     • 選擇OK。
3. 對每個要刪除的信任證書重複此過程。
4. 完成後，需要重新啟動與已刪除的證書直接相關的服務。本部分中不需要重新啟動電話。  Call Manager和CAPF會影響到終端。
   • Tomcat-trust：透過命令列重新啟動Tomcat服務（請參閱Tomcat部分）。
   • CAPF-trust：重新啟動思科證書頒發機構代理功能（請參閱CAPF部分）。不要重新啟動端點。
   • CallManager-trust：CallManager Service/CTIManager（請參閱CallManager部分）。不要重新啟動端點。
     • 影響終端並導致重新啟動。
   • IPSEC-trust：DRF Master/DRF本地（請參閱IPSEC部分）。
   • TVS（自簽名）沒有信任證書。
5. 重新啟動先前在步驟1中停止的服務。

驗證

驗證程式不適用於此組態。

疑難排解

此組態不提供疑難排解程式。