Microsoft Teams 直路由與 Operator Connect 將進行憑證變更

你是否已經閱讀並了解？即將在 2026 年 6 月 推出的重要憑證變更，可能會影響使用 Session Border Controller（SBC） 的特定 Microsoft Teams 通話部署。本文根據 Microsoft 於 2025 年 12 月發布的 Teams Direct Routing 更新，整理並摘要你需要知道的重點資訊。

如果你是 Teams 直路由 管理員 或 Operator Connect 服務供應商，務必要提前掌握這些更新內容。這些變更將影響 TLS 連線方式 與 雙向驗證（Mutual Authentication） 的處理機制，確保你的 SBC 已正確完成設定，將有助於在 2026 年 6 月變更正式生效後，避免服務中斷的風險。

為什麼即將進行憑證變更

Microsoft Teams 依賴 雙向 TLS（mTLS） 來確保 SIP 端點 與 客戶或合作夥伴的 Session Border Controller（SBC） 之間的安全連線。這項機制需要使用包含 Client Authentication（用戶端驗證）Extended Key Usage，EKU 屬性的用戶端憑證。

在 2025 年 2 月，Google 更新了其 Chrome Root Program Policy（v1.6），正式淘汰在 受 Chrome 信任的 TLS 伺服器憑證 中使用 Client Authentication EKU。自 2026 年 6 月 起，主流瀏覽器（如 Chrome）將只信任 包含Server Authentication EKU 的憑證。

儘管部分公開的 憑證授權機構（CA） 可能仍會簽發包含 Client Authentication EKU 的憑證，但這類憑證可能 不再被瀏覽器信任，不過仍可被 Windows、macOS 與 Linux 等作業系統 所接受。
Microsoft Teams 的 SIP 介面憑證 將持續包含 Client Authentication EKU，並由 Microsoft 支援的 CA 簽發。

這些更新同時影響 直路由 與 Operator Connect。Microsoft Teams 的 SIP 介面憑證，將由 Azure 憑證授權單位詳細說明頁面中所列的支援 CA 之一進行簽發。

身為 Teams 直路由 管理員或 Operator Connect 服務供應商，需要事先準備什麼？

🔹確認所有列出的憑證授權機構（CA），皆已加入 SBC 的信任憑證庫（Trust Store） 中

🔹設定 SBC，信任由上述 CA 錨定（anchored）的 用戶端與伺服器憑證憑證鏈

🔹未更新根憑證的 SBC，可能會在憑證驗證時發生錯誤，進而影響 服務可用性

🔹請參閱 SBC 原廠文件，依照其指引更新可接受的憑證清單與相關設定

結論

為了維持安全且穩定的連線，SBC 必須信任 Microsoft 所列出的所有支援根憑證授權機構（Root CAs）。
Microsoft Teams 的 SIP 介面憑證 將持續包含 Client Authentication EKU，這是 雙向 TLS（mTLS） 驗證所必須的要件。

雖然目前 不包含此 EKU 的 SBC 憑證仍可被接受，但 Microsoft 未來將強制要求納入 Client Authentication EKU。因此，系統管理員應及早行動，立即更新 SBC 的信任憑證庫，並與憑證服務供應商密切合作，以確保相容性，並在變更生效前 避免潛在的服務中斷風險。