Požadavky na společný pobyt

• Služba ověřování musí být spolurezidentní s aplikacemi Xsi, protože tato rozhraní musí pro autorizaci služby přijímat tokeny s dlouhou životností. K ověření těchto tokenů je vyžadována ověřovací služba.

• Ověřovací služba a Xsi mohou v případě potřeby běžet na stejném portu.

• Ostatní služby/aplikace můžete oddělit podle potřeby vaší váhy (například vyhrazená farma XSP|ADP pro správu zařízení).

• Můžete společně lokalizovat aplikace Xsi, CTI, Authentication Service a DMS.

• Neinstalujte do XSP|ADP jiné aplikace nebo služby, které se používají k integr aci BroadWorks s Webex.

• Neumisťujte aplikaci NPS společně s jinými aplikacemi.

Rozhraní Xsi

Nainstalujte a nakonfigurujte aplikace Xsi-Actions a Xsi-Events, jak je popsáno v Průvodci konfigurací rozhraní Cisco BroadWorks Xtended Services.

Na XSP|ADP používaném pro rozhraní CTI by měla být nasazena pouze jedna instance aplikací X si-Events.

Všechny události Xsi používané pro integraci Broadworks s Webex musí mít stejný CallControlApplicationName definovaný v části Applications/XSI-Events/GeneralSettings. Například:

adp_cli/Aplikace/XSI-Events/GeneralSettings> get

CallControlApplicationName = com.broadsoft.xsi-events

Když je uživatel připojen k Webex, Webex vytvoří předplatné pro uživatele v AS, aby mohl přijímat telefonní události pro přítomnost a historii hovorů. Předplatné je spojeno s CallControlApplicationName a AS jej používá k tomu, aby zjistil, kterým Xsi-Events odesílá telefonní události.

Konfigurace ověřovací služby (s ověřením tokenu CI)

Tento postup slouží ke konfiguraci ověřovací služby tak, aby používala ověřování tokenu CI s TLS. Tato metoda ověřování se doporučuje, pokud používáte R22 nebo vyšší a váš systém ji podporuje.

1. Získání pověření OAuth pro váš Webex pro Cisco BroadWorks.

2. Nainstalujte následující opravy na každý server XSP|ADP. Nainstalujte opravy , které jsou vhodné pro vaši verzi:

   • Pro R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • Pro R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Pro R24 — není nutná žádná oprava

   Jakýkoli odkaz na XSP zahrnuje buď XSP nebo ADP.

3. Nainstalujte aplikaci AuthenticationService na každou službu XSP|ADP.

   1. Spuštěním následujícího příkazu aktivujete aplikaci AuthenticationService na XSP|ADP na kontextovou cestu /AuthService.

      xsp|adp_cli/Maintenance/ManagedObjects> aktivovat aplikaci AuthenticationService 22.0_1.1123/AuthService

   2. Spusťte tento příkaz pro nasazení služby AuthenticationService na XSP|ADP:

      XSP|ADP_CLI/Maintenance/ManažedObjects> nasadit aplikaci /AuthServiceBroadworks SW Manager nasazující /AuthService...

4. Počínaje Broadworks build 2022.10 již certifikační autority, které přicházejí s Javou, nejsou při přechodu na novou verzi java automaticky zahrnuty do úložiště důvěryhodnosti BroadWorks. Služba AuthenticationService otevře připojení TLS k Webex pro načtení přístupového tokenu a k ověření adresy IDBroker a Webex URL musí mít ve svém úložišti důvěryhodnosti následující:

   • IdenTrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Ověřte, zda jsou tyto certifikáty přítomny v následujícím příkazovém řádku

   adp_cli/system/sslcommonsettings/trusts/defaults> získat

   Pokud není k dispozici, spusťte následující příkaz a importujte výchozí důvěryhodnost Java:

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> ImportJavaCatTrust

   Případně můžete tyto certifikáty přidat ručně jako ukotvení důvěryhodnosti pomocí následujícího příkazu:

   ADP_CLI/System/SSLCommonSettings/Trusts/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Pokud je ADP upgradován z předchozí verze, budou certifikační autority ze staré verze automaticky importovány do nové verze a budou pokračovat v importu, dokud nebudou ručně odebrány.

   Aplikace AuthenticationService je vyňata z nastavení ValidatePeerIdentity pod ADP_CLI/System/SSLCommonSettings/GeneralSettings a vždy ověřuje identitu vrstevníka. Další informace o tomto nastavení naleznete v dokumentu Cisco Broadworks X509 Certificate Validation FD.

5. Nakonfigurujte poskytovatele identit spuštěním následujících příkazů na každém serveru XSP|ADP:

   xsp|ADP_CLI/Aplikace/AuthenticationService/IdentityProviders/Cisco> získat

   • nastavit ID klienta klienta odkroku1

   • nastavit povoleno true

   • nastavit ClientSecret Client-Secret-zStep1

   • Nastavit ciResponseBodyMaxSizeInbytes 65536

   • set IssuerName <URL>— Pro adresu URL zadejte adresu URL IssuerName, která se vztahuje na váš cluster CI. Viz následující tabulka.

   • set IssuerURL — Pro adresu URL <URL>zadejte adresu Issuer URL, která se vztahuje na váš cluster CI. Viz následující tabulka.

   • set tokenInFourl <IdPProxy URL>— Zadejte adresu URL proxy serveru IdP, která se vztahuje na váš cluster Teams. Viz druhá tabulka, která následuje.

   Tabulka 1. Nastavit IssuerName a IssuerURL

   Pokud je CI Cluster...	Nastavte IssuerName a IssuerURL na...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Pokud neznáte svůj CI cluster, můžete získat informace z Podrobnosti o zákazníkovi v zobrazení Help Desk v Control Hub.

   Tabulka 2. Nastavit tokenyInFourl

   Pokud je Cluster týmů...	Nastavte tokenInFourl na... (Adresa URL proxy serveru IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Pokud neznáte svůj Cluster týmů, můžete získat informace z Podrobnosti o zákazníkovi v zobrazení Help Desk v Control Hub. Pro testování můžete ověřit, zda je tokenInfoURL platný nahrazením části "idp/authenticate" adresy URL "pingem“.

6. Zadejte oprávnění Webex, které musí být přítomno v uživatelském profilu ve Webex, spuštěním následujícího příkazu:

   xsp|ad p_cli/Applications/AuthenticationService/IdentityProviders/Cisco/Rozsahy> nastavit rozsah broadworks-connector:uživatel

7. Nakonfigurujte poskytovatele identit pro Cisco Federation pomocí následujících příkazů na každém serveru XSP|ADP:

   xsp|ADP_CLI/Aplikace/AuthenticationService/IdentityProviders/Cisco/Federation> získat

   • Nastavit FLSurl https://cifls.webex.com/federation

   • nastavit dobu obnovy v minutách 60

   • nastavit RefreshToken Refresh Token-zkroku 1

8. Spuštěním následujícího příkazu ověřte, zda vaše konfigurace FLS funguje. Tento příkaz vrátí seznam poskytovatelů identit:

   xsp|ADP_CLI/Aplikace/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Získat

9. Nakonfigurujte správu tokenů pomocí následujících příkazů na každém serveru XSP|ADP:

   • XSP|ADP_CLI/Aplikace/AuthenticationService/Správa tokenů>

   • sada tokenIssuer BroadWorks

   • Nastavit tokenDurationInHours 720

10. Generujte a sdílejte klíče RSA. Musíte vygenerovat klíče na jednom XSP|ADP a poté je zkopírovat do všech ostatních XSP|ADP. To je způsobeno následujícími faktory:

    • Pro šifrování/dešifrování tokenů ve všech instancích ověřovací služby musíte použít stejné páry veřejných/soukromých klíčů.

    • Pár klíčů je generován ověřovací službou, když je poprvé vyžadováno vydání tokenu.

    Pokud cyklujete klíče nebo změníte délku klíče, musíte zopakovat následující konfiguraci a restartovat všechny XSP|ADP.

    1. Vyberte jeden XSP|ADP, který se použije pro generování dvojice klíčů.

    2. Použijte klienta k vyžádání šifrovaného tokenu od tohoto XSP|ADP požadováním následující adresy URL z prohlížeče klienta:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (ClientPublicKey)

       (Toto generuje pár soukromých/veřejných klíčů na XSP|ADP, pokud ještě jeden nebyl)

    3. Umístění úložiště klíčů není konfigurovatelné. Exportujte klíče:

       XSP|ADP_CLI/Aplikace/AuthenticationService/Správa klíčů> Exportklíče

    4. Zkopírujte exportovaný soubor /var/Broadworks/tmp/AuthService.keys do stejného umístění na druhém XSP|ADPS a v případě potřeby přepište starší soubor.keys.

    5. Importujte klíče na každém z ostatních XSP|ADP:

       xsp| adp_cli/aplikace/ověřováníslužba/Správa klíčů> ImportKeys /var/Broadworks/TMP/AuthService.keys

11. Zadejte adresu URL služby AuthService do webového kontejneru. Webový kontejner XSP|ADP potřebuje adresu URL AuthService, aby mohl ověřit tokeny. Na každém z XSP|ADP:

    1. Přidejte adresu URL ověřovací služby jako externí ověřovací službu pro BroadWorks Communications Utility:

       xsp|AD P_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> nastavit url http://127.0.0.1:80/authService

    2. Přidejte adresu URL ověřovací služby do kontejneru:

       xsp|adp _cli/Maintenance/ContainerOptions> přidat tomcat bw.authService.AuthServiceUrl http://127.0.0.1:80/authService

       To umožňuje Webex používat ověřovací službu k ověření tokenů prezentovaných jako pověření.

    3. Zkontrolujte parametr pomocí get.

    4. Restartujte XSP|ADP.

Odebrat požadavek na ověřování klienta pro službu Auth (pouze R24)

Pokud máte ověřovací službu nakonfigurovanou s ověřováním tokenu CI na R24, musíte také odebrat požadavek ověřování klienta pro ověřovací službu. Spusťte následující příkaz CLI:

adp_cli/rozhraní/http/sslCommonSettings/ClientAuthentication/WebApps> nastavit ověřováníService ClientAuthReq false <interfaceIp><port>

Konfigurace protokolu TLS a šifrů na rozhraních HTTP (pro XSI a ověřovací službu)

Aplikace Authentication Service, Xsi-Actions a Xsi-Events používají rozhraní serveru HTTP. Úrovně konfigurovatelnosti TLS pro tyto aplikace jsou následující:

Nejobecnější = System > Transport > HTTP > HTTP Server interface = Nejkonkrétnější

Kontexty rozhraní příkazového řádku, které používáte k zobrazení nebo úpravě různých nastavení SSL, jsou:

Čtení konfigurace rozhraní TLS serveru HTTP na XSP|ADP

1. Přihlaste se do XSP|ADP a přejděte na XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer>

2. Zadejte příkaz get a přečtěte si výsledky. Měli byste vidět rozhraní (IP adresy) a pro každé, zda jsou zabezpečená a zda vyžadují ověření klienta.

Apache tomcat nařizuje certifikát pro každé zabezpečené rozhraní; systém vy generuje certifikát podepsaný vlastním podpisem, pokud jej potřebuje.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Přidání protokolu TLS 1.2 do rozhraní serveru HTTP

Rozhraní HTTP, které interaguje s Webex Cloud, musí být nakonfigurováno pro TLSv1.2. Cloud nevyjednává dřívější verze protokolu TLS.

Postup konfigurace protokolu TLSv1.2 v rozhraní serveru HTTP:

1. Přihlaste se do XSP|ADP a přejděte na XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Zadejte příkaz get 443 <interfaceIp>a zjistěte, které protokoly jsou již v tomto rozhraní použity.

3. Zadejte příkaz add 443 TLSv1.2<interfaceIp>, abyste zajistili, že rozhraní může používat TLS 1.2 při komunikaci s cloudem.

Úprava konfigurace šifrování TLS v rozhraní serveru HTTP

Konfigurace požadovaných šifrů:

1. Přihlaste se do XSP|ADP a přejděte na XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Zadejte příkaz get 443 <interfaceIp>a zjistěte, které šifry jsou již v tomto rozhraní použity. Musí existovat alespoň jeden ze sad doporučených společností Cisco (viz XSP|ADP Identity and Security Requirements v části Přehled).

3. Zadáním příkaz u add 443 <interfaceIp><cipherName>přidejte šifru do rozhraní serveru HTTP.

   CLI XSP|ADP vyžaduje standardní název sady šifrování IANA, nikoli název sady šifrování OpenSSL. Chcete-li například přidat šifrou OpenSSL ECDHE- ECDSA-CHACHA20-POLY1305 do rozhraní serveru HTTP, použijete: xsp|ADP_CLI/interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Na adrese https://ciphersuite.info/ najdete sadu podle obou jmen.

Konfigurace správy zařízení na XSP|ADP, aplikačním serveru a serveru profilů

Profile Server a XSP|ADP jsou povinné pro správu zařízení. Musí být nakonfigurovány podle pokynů v Průvod ci konfigur ací správy zařízení BroadWorks.