Изисквания за съжителство

• Услугата за удостоверяване трябва да е съвместно с Xsi приложения, тъй като тези интерфейси трябва да приемат дълготрайни токени за разрешаване на услугата. Услугата за удостоверяване е необходима за валидиране на тези токени.

• Услугата за удостоверяване и Xsi могат да работят на същия порт, ако е необходимо.

• Можете да отделите другите услуги/приложения според изискванията за вашия мащаб (специално управление на устройствата XSP|ADP ферма, например).

• Можете да локализирате съвместно приложенията Xsi, CTI, Услугата за удостоверяване и DMS.

• Не инсталирайте други приложения или услуги на XSP|ADP, които се използват за интегриране на BroadWorks с Webex.

• Не локализирайте приложението NPS съвместно с други приложения.

Xsi интерфейси

Инсталирайте и конфигурирайте приложенията Xsi-Actions и Xsi-Events, както е описано в Ръководство за конфигуриране на интерфейса на Cisco Broad Works Xtended Services.

Само един екземпляр от приложенията XSI-Events трябва да бъде внедрен на XSP|AD P, използван за CTI интерфейса.

Всички XSI-събития, използвани за интегриране на Broadworks с Webex, трябва да имат същото име на callControlApplicationName, дефинирано под Applications/XSI-Svents/Общи настройки. Например:

ADP_CLI/Приложения/XSI-събития/Общи настройки> получаване

CallControlApplicationName = com.broadsoft.xsi-събития

Когато потребител е включен в Webex, Webex създава абонамент за потребителя в AS, за да получава телефонни събития за присъствие и история на обажданията. Абонаментът е свързан с CallControlApplicationName и AS го използва, за да знае на кои Xsi-Events да изпраща телефонните събития.

Конфигуриране на услугата за удостоверяване (с валидиране на CI Token)

Използвайте тази процедура, за да конфигурирате услугата за удостоверяване да използва проверка на CI Token с TLS. Този метод за удостоверяване се препоръчва, ако използвате R22 или по-нова версия и вашата система го поддържа.

1. Получаване на идентификационни данни за OAuth за вашия Webex за Cisco BroadWorks.

2. Инсталирайте следните корекции на всеки XSP|ADP сървър. Инсталирайте корек циите, които са подходящи за вашето издание:

   • За R22:

     АП.Платформа.22.0.1123.AP376508

     Ап.Експ.22.0.1123.АП376508

     Ап.Експ.22.01123.АП368601

   • За R23:

     Ап.ХСП.23.0.1075.АП376509

     АП.Платформа.23.0.1075.АП376509

   • За R24 - не се изисква пластир

   Всяка препратка към XSP включва или XSP, или ADP.

3. Инсталирайте приложението AuthenticationService на всяка услуга XSP|ADP.

   1. Изпълнете следната команда, за да активирате приложението AuthenticationService на XSP|ADP към контекстния път /AuthService.

      XSP|ADP_CLI/Поддръжка/Управление на обекти> активиране на услугата за удостоверяване на приложенията 22.0_1.1123/AuthService

   2. Изпълнете тази команда, за да разгърнете услугата AuthenticationService на XSP|ADP:

      XSP | ADP_CLI/Поддръжка/Управление на обекти> внедряване на приложението /AuthServiceBroadWorks SW мениджър внедряване /AuthService...

4. Започвайки с Broadworks build 2022.10, органите за сертификати, които идват с Java, вече не се включват автоматично в магазина за доверие на BroadWorks при преминаване към нова версия на java. Услугата за удостоверяване отваря TLS връзка с Webex, за да изтегли токена за достъп, и трябва да има следното в своя магазин за доверие, за да потвърди URL адреса на IDBroker и Webex:

   • Търговски корен на IDtrust CA 1

   • Go Daddy Root Certificate Authority - G2

   Проверете дали тези сертификати присъстват под следния CLI

   ADP_CLI/Система/SSLCommonНастройки/Тръства/По подразбиране> получаване

   Ако не присъства, изпълнете следната команда, за да импортирате доверията по подразбиране на Java:

   ADP_CLI/Система/SSLCommonНастройки/Тръства/По подразбиране> ИмпортиранеJavaTrust

   Като алтернатива можете ръчно да добавите тези сертификати като анкери за доверие със следната команда:

   ADP_CLI/Система/SSLCommonНастройки/Тръства/широкообхватни> UpdateTrust <alias><trustAnchorFile>

   Ако ADP е надстроен от предишна версия, тогава органите за сертифициране от старата версия автоматично се импортират в новата версия и ще продължат да се импортират, докато не бъдат премахнати ръчно.

   Приложението AuthenticationService е освободено от настройката ValidatePeerIdentity под ADP_CLI/System/SSLCommonSettings/GeneralSettings и винаги потвърждава идентичността на партньора. Вижте FD за валидиране на сертификат Cisco Broadworks X509 за повече информация относно тази настройка.

5. Конфигурирайте доставчиците на идентичност, като изпълните следните команди на всеки XSP|ADP сървър:

   XSP | ADP_CLI/Приложения/Услуга за удостоверяване/Доставчици на идентичност/CISCO> получаване

   • зададете клиентски идентификационен номер отстъпка1

   • зададете активирано вярно

   • зададете клиентСекретен клиент-секретен-от-стъпка1

   • набор CIResponseBodyMaxsizeInBytes 65536

   • задайте IssuerName — За <URL>URL адреса въведете URL адреса на IssuerName, който се прилага за вашия CI клъстер. Вижте следната таблица.

   • задайте IssuerURL —За URL <URL>адреса въведете URL адреса на издаващия, който се прилага за вашия CI клъстер. Вижте следната таблица.

   • задайте tokenInFourl <IdPProxy URL>— Въведете URL адреса на прокси сървъра на IDP, който се прилага за вашия клъстер на екипи. Вижте втората таблица, която следва.

   Таблица 1. Задайте Име на издателя и URL адреса на издателя

   Ако CI Cluster е...	Задайте Име на издателя и URL на издавача на...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Ако не познавате своя CI клъстер, можете да получите информацията от данните за клиента в изгледа на Help Desk на Control Hub.

   Таблица 2. Комплект токениФурл

   Ако клъстерът на екипите е...	Задайте TokenInFourl на... (URL адрес на прокси сървъра на IDP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Ако не познавате вашия Teams Cluster, можете да получите информацията от данните за клиента в изгледа Help Desk на Control Hub. За тестване можете да проверите дали TokenInFourl е валиден, като замените частта "idp/Authenticate" на URL адреса с "ping“.

6. Посочете правото на Webex, което трябва да присъства в потребителския профил в Webex, като изпълните следната команда:

   XSP | ADP_CLI/Приложения/Услуга за удостоверяване/Доставчици на идентичност/CISCO/Обхви> задаване на обхвата широкообхват-конектор: потребител

7. Конфигурирайте доставчиците на идентичност за Cisco Federation, като използвате следните команди на всеки XSP|ADP сървър:

   XSP | ADP_CLI/Приложения/Услуга за удостоверяване/Доставчици на идентичност/CISCO/Федерация> получаване

   • комплект FLsURL https://cifls.webex.com/federation

   • зададете период на опресняванеМинути 60

   • задайте токен за опресняване на токен-от-стъпка1

8. Изпълнете следната команда, за да потвърдите, че вашата FLS конфигурация работи. Тази команда ще върне списъка с доставчици на идентичност:

   XSP | ADP_CLI/Приложения/AuthService/Доставчици на идентичност/CISCO/Федерация/Клъстерма> Вземи

9. Конфигурирайте управлението на токени, като използвате следните команди на всеки XSP| ADP сървър:

   • XSP|ADP_CLI/Приложения/Услуга за удостоверяване/Управление на токени>

   • комплект токениИздател BroadWorks

   • набор от стойностВръщане в часове 720

10. Генериране и споделяне на RSA ключове. Трябва да генерирате ключове на един XSP|ADP, след което да ги копирате във всички други XSP|ADP. Това се дължи на следните фактори:

    • Трябва да използвате едни и същи двойки публични/частни ключове за криптиране/декриптиране на токените във всички екземпляри на услугата за удостоверяване.

    • Ключовата двойка се генерира от услугата за удостоверяване, когато за първи път се изисква издаване на токен.

    Ако циклирате клавишите или промените дължината на клавиша, трябва да повторите следната конфигурация и да рестартирате всички XSP|ADP.

    1. Изберете един XSP|ADP, който да използвате за генериране на ключова двойка.

    2. Използвайте клиент, за да поискате криптиран токен от този XSP|ADP, като поискате следния URL адрес от браузъра на клиента:

       https://<XSP|ADP-IPAddress>/authService/token? ключ = base64 URL (клиентПубличен ключ)

       (Това генерира двойка частни/публични ключове на XSP | ADP, ако вече не е имало такава)

    3. Местоположението на магазина на ключовете не може да се конфигурира. Експортиране на ключовете:

       XSP | ADP_CLI/Приложения/Услуга за удостоверяване/Управление на ключове> Ключове за износ

    4. Копирайте експортирания файл /var/Broadworks/tmp/AuthService.keys на същото място на другия XSP|ADPS, като презапишете по-стар файл.keys, ако е необходимо.

    5. Импортирайте клавишите на всеки един от другите XSP|ADP:

       XSP | ADP_CLI/Приложения/Услуга за удостоверяване/Управление на ключове> Ключове за импортиране/var/Broadworks/TMP/AuthService.keys

11. Предоставете URL адреса на AuthService на уеб контейнера. Уеб контейнерът на XSP | ADP се нуждае от URL адреса на AuthService, за да може да валидира токените. На всеки от XSP | ADP:

    1. Добавете URL адреса на услугата за удостоверяване като външна услуга за удостоверяване за помощната програма BroadWorks Communications:

       XSP|AD P_CLI/Система/Комуникационна помощна/Настройки по подразбиране/Външно удостоверяване/AuthService> задайте URL адрес http://127.0.0.1:80/authService

    2. Добавете URL адреса на услугата за удостоверяване към контейнера:

       XSP|ADP _CLI/Поддръжка/КонтейнерОпци> добавете tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       Това позволява на Webex да използва услугата за удостоверяване, за да потвърди токените, представени като идентификационни данни.

    3. Проверете параметъра с get.

    4. Рестартирайте XSP | ADP.

Премахване на изискването за удостоверяване на клиента за Auth Service (само R24)

Ако имате конфигурирана Услугата за удостоверяване с валидиране на CI Token на R24, също трябва да премахнете изискването за удостоверяване на клиента за Услугата за удостоверяване. Изпълнете следната команда CLI:

ADP_CLI/Интерфейс/HTTP/SSLCommonSettings/Удостоверяване на клиент/Уеб приложения> задаване на удостоверителностКлиентна услуга AuthreQ false <interfaceIp><port>

Конфигуриране на TLS и шифри на HTTP интерфейсите (за XSI и услуга за удостоверяване)

Приложенията Услугата за удостоверяване, Xsi-Actions и Xsi-Ev ents използват HTTP сървърни интерфейси. Нивата на конфигурируемост на TLS за тези приложения са както следва:

Най-общо = Система > Транспорт > HTTP > HTTP сървър интерфейс = Най-специфичен

Контекстите на CLI, които използвате за преглед или промяна на различните настройки на SSL, са:

Четене на конфигурация на HTTP сървъра TLS интерфейс на XSP | ADP

1. Влезте в XSP | ADP и отидете до XSP | ADP_CLI/Интерфейс/HTTP/HTTPServer>

2. Въведете командата get и прочетете резултатите. Трябва да видите интерфейсите (IP адресите) и за всеки дали са защитени и дали изискват удостоверяване на клиента.

Apache tomcat изисква сертификат за всеки защитен интерфейс; системата генерира самоподписан сертификат, ако има нужда от такъв.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Добавяне на протокол TLS 1.2 към интерфейса на HTTP сървъра

HTTP интерфейсът, който взаимодейства с Webex Cloud, трябва да бъде конфигуриран за TLSv1.2. Облакът не договаря по-ранни версии на TLS протокола.

За да конфигурирате TLSv1.2 протокола на интерфейса на HTTP сървъра:

1. Влезте в XSP | ADP и отидете до XSP | ADP_CLI/Интерфейс/HTTP/HTTPServer/SSLSettings/Protocols>

2. Въведете командата get 443<interfaceIp>, за да видите кои протоколи вече се използват в този интерфейс.

3. Въведете командата add 443 TLSv1.2, за да сте <interfaceIp>сигурни, че интерфейсът може да използва TLS 1.2 при комуникация с облака.

Редактиране на конфигурацията на TLS шифри в интерфейса на HTTP сървъра

За да конфигурирате необходимите шифри:

1. Влезте в XSP | ADP и отидете до XSP | ADP_CLI/Интерфейс/HTTP/HTTPServer/SSLSettings/Шифери>

2. Въведете командата get 443<interfaceIp>, за да видите кои шифри вече се използват в този интерфейс. Трябва да има поне един от препоръчаните от Cisco пакети (вижте XSP|ADP Изисквания за идентичност и сигурност в раздела Об щ преглед).

3. Въведете командата add 443<interfaceIp>, <cipherName>за да добавите шифър към интерфейса HTTP Server .

   XSP|ADP CLI изисква името на стандартния пакет за шифри IANA, а не името на OpenSSL шифровия пакет. Например, за да добавите OpenSSL шифра ECD HE-ECDSA-CHACHA20-POLY1305 към интерфейса на HTTP сървъра, бихте използвали: XSP|ADP_CLI/Интерфейс/HTTP/HTTPServer/SSLSettings/Шифери> добавете 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Вижте https://ciphersuite.info/, за да намерите пакета по всяко име.

Конфигуриране на управление на устройства на XSP | ADP, сървър на приложения и сървър на профилите

Профилният сървър и XSP|ADP са задължителни за управление на устройства. Те трябва да бъдат конфигурирани съгласно инструкциите в Ръ ководството за конфигуриране на управлението на устройствата на BroadWor ks.