Krav til medbopæl

• Godkendelsestjen esten skal være co-resident med Xsi-applikationer, fordi disse grænseflader skal acceptere tokens med lang levetid for servicegodkendelse. Godkendelsestjenesten er påkrævet for at validere disse tokens.

• Godkendelsestjeneste og Xsi kan køre på den samme port, hvis det kræves.

• Du kan adskille de andre tjenester/applikationer efter behov for din vægt (for eksempel dedikeret enhedsadministration XSP|ADP-farm).

• Du kan samlokalisere Xsi-, CTI-, Authentication Service- og DMS-applikationerne.

• Installer ikke andre programmer eller tjenester på XSP|ADP'erne, der bruges til at integrere BroadWorks med Webex.

• Placer ikke NPS-applikationen sammen med andre applikationer.

Xsi-grænseflader

Installer og konfigurer Xsi-Actions- og Xsi-Events-applikationerne som beskrevet i Cisco BroadWorks X tended Services Interface Configuration Guide.

Kun én forekomst af Xsi-Events-applikationerne skal installeres på XSP|ADP , der bruges til CTI-grænsefladen.

Alle Xsi-Events, der bruges til at integrere Broadworks med Webex, skal have det samme CallControlApplicationName defineret under Applications/XSI-Events/GeneralSettings. For eksempel:

adp_cli/applikationer/XSI-begivenheder/Generelindstillinger> få

CallControlApplicationName = com.broadsoft.xsi-events

Når en bruger er onboardet til Webex, opretter Webex et abonnement for brugeren på AS for at modtage telefonhændelser til tilstedeværelse og opkaldshistorik. Abonnementet er knyttet til CallControlApplicationName, og AS bruger det til at vide, hvilke Xsi-Events der skal sende telefonhændelserne til.

Konfigurer godkendelsestjeneste (med CI-tokenvalidering)

Brug denne procedure til at konfigurere godkendelsestjenesten til at bruge CI-tokenvalidering med TLS. Denne godkendelsesmetode anbefales, hvis du kører R22 eller nyere, og dit system understøtter det.

1. Indhentning af OAuth-legitimationsoplysninger til din Webex til Cisco BroadWorks.

2. Installer følgende programrettelser på hver XSP|ADP-server. Installer de programrettelser , der passer til din udgivelse:

   • Til R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • Til R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Til R24 — ingen patch kræves

   Enhver henvisning til XSP omfatter enten XSP eller ADP.

3. Installer AuthenticationService- programmet på hver XSP|ADP-tjeneste.

   1. Kør følgende kommando for at aktivere AuthenticationService- programmet på XSP|ADP til /AuthService-kontekststien.

      xsp|adp_cli/vedligeholdelse/ManagedObjects> aktiver applikationsgodkendelseService 22.0_1.1123/AuthService

   2. Kør denne kommando for at implementere AuthenticationService på XSP|ADP:

      XSP|ADP_CLI/Vedligeholdelse/ManagedObjects> udrulle program /AuthServiceBroadworks SW Manager, der implementerer /AuthService...

4. Fra og med Broadworks build 2022.10 inkluderes de certifikatmyndigheder, der følger med Java, ikke længere automatisk i BroadWorks tillidslageret, når der skiftes til en ny version af java. AuthenticationService åbner en TLS-forbindelse til Webex for at hente adgangstokenet og skal have følgende i sin truststore for at validere IDBroker og Webex URL:

   • IdenTrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Kontroller, at disse certifikater er til stede under følgende CLI

   adp_cli/system/SSLCommonSettings/Trust/Defaults> få

   Hvis den ikke findes, skal du køre følgende kommando for at importere standard-Java-tillidserne:

   ADP_CLI/System/SSLCommonSettings/Trust/Standard> ImportJavaCatTrust

   Alternativt kan du manuelt tilføje disse certifikater som tillidsankre med følgende kommando:

   ADP_CLI/System/SSLCommonSettings/Trust/Broadworks> OpdateTrust <alias><trustAnchorFile>

   Hvis ADP'en opgraderes fra en tidligere version, importeres certifikatmyndighederne fra den gamle udgave automatisk til den nye version og importeres fortsat, indtil de fjernes manuelt.

   AuthenticationService-programmet er undtaget fra indstillingen ValidatePeerIdentity under ADP_CLI/System/SSLCommonSettings/GeneralSettings og validerer altid peer-identiteten. Se Cisco Broadworks X509-certifikatvalidering FD for at få flere oplysninger om denne indstilling.

5. Konfigurer identitetsudbyderne ved at køre følgende kommandoer på hver XSP|ADP-server:

   xsp|adp_cli/applikationer/godkendelseservice/identityproviders/Cisco> få

   • indstil ClientID-klient-id-fra-trin1

   • sæt aktiveret sandt

   • sæt ClientSecret Client-Secret-fra-Step1

   • Sæt ciResponseBodyMaxSizeInbytes 65536

   • angiv IssuerName <URL>— For URL'en skal du angive den udstedernavn-URL, der gælder for CI-klyngen. Se følgende tabel.

   • angiv IssuerURL <URL>— For URL'en skal du indtaste den Issuer URL, der gælder for CI-klyngen. Se følgende tabel.

   • sæt TokenInFourl <IdPProxy URL>—Indtast den IdP-proxy URL, der gælder for din Teams-klynge. Se den anden tabel, der følger.

   Tabel 1. Angiv udstedernavn og udstederURL

   Hvis CI Cluster er...	Indstil IssuerName og IssuerURL til...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Hvis du ikke kender din CI-klynge, kan du hente oplysningerne fra Kundeoplysningerne i Help Desk-visningen i Control Hub.

   Tabel 2. Indstil tokenInFourl

   Hvis Teams Cluster er...	Indstil TokenInFourl til... (IdP-proxy-URL)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Hvis du ikke kender din Teams-klynge, kan du hente oplysningerne fra kundeoplysningerne i visningen Help Desk i Control Hub. Til test kan du kontrollere, at tokenInfoURL er gyldigt ved at erstatte "idp/authenticate" delen af URL'en med "ping“.

6. Angiv den Webex-rettighed, der skal være til stede i brugerprofilen i Webex ved at køre følgende kommando:

   XSP|AD P_CLI/Applikations/AuthenticationService/IdentityProviders/Cisco/scopes> angiv rækkevidde broadworks-connector:bruger

7. Konfigurer identitetsudbydere til Cisco Federation ved hjælp af følgende kommandoer på hver XSP|ADP-server:

   xsp|ADP_CLI/Programmer/GodkendelseService/IdentityProviders/Cisco/Federation> få

   • sæt FLSurl https://cifls.webex.com/federation

   • indstil RefreshPeriodinMinutes 60

   • sæt RefreshToken Refresh-Token-fra-Step1

8. Kør følgende kommando for at validere, at din FLS-konfiguration fungerer. Denne kommando returnerer listen over identitetsudbydere:

   xsp|ADP_CLI/Programmer/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Hent

9. Konfigurer Token Management ved hjælp af følgende kommandoer på hver XSP| ADP-server:

   • XSP|ADP_CLI/Programmer/GodkendelseService/Tokenmanagement>

   • sæt TokenIssuer BroadWorks

   • Indstil tokenDurationInHours 720

10. Generer og del RSA-nøgler. Du skal generere nøgler på en XSP|ADP og derefter kopiere dem til alle andre XSP|ADP'er. Dette skyldes følgende faktorer:

    • Du skal bruge de samme offentlige/private nøglepar til tokenkryptering/dekryptering på tværs af alle forekomster af godkendelsestjenesten.

    • Nøgleparret genereres af godkendelsestjenesten, når det først kræves at udstede et token.

    Hvis du skifter nøgler eller ændrer nøglelængden, skal du gentage følgende konfiguration og genstarte alle XSP|ADP'erne.

    1. Vælg en XSP|ADP, der skal bruges til at generere et nøglepar.

    2. Brug en klient til at anmode om et krypteret token fra denne XSP|ADP ved at anmode om følgende URL fra klientens browser:

       https://<XSP|ADP-IPAddress>/authService/token? nøgle=base64 URL (ClientPublicKey)

       (Dette genererer et privat/offentligt nøglepar på XSP|ADP, hvis der ikke allerede var et)

    3. Nøglelagerens placering kan ikke konfigureres. Eksporter nøglerne:

       XSP|ADP_CLI/Programmer/GodkendelseService/Nøglestyring> Eksportnøgler

    4. Kopier den eksporterede fil /var/Broadworks/tmp/AuthService.keys til den samme placering på de andre XSP|ADP'er, og overskriv en ældre .keys-fil, hvis det er nødvendigt.

    5. Importer nøglerne på hver af de andre XSP|ADP'er:

       xsp| ADP_CLI/Programmer/GodkendelseService/Keymanagement> Importnøgler /var/Broadworks/TMP/AuthService.keys

11. Angiv AuthService-URL-adressen til webcontaineren. XSP|ADP's webcontainer har brug for AuthService-URL'en, så den kan validere tokens. På hver af XSP|ADP'erne:

    1. Tilføj URL-adressen til godkendelsestjenesten som en ekstern godkendelsestjeneste for BroadWorks Communications Utility:

       xsp|AD P_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> sæt url http://127.0.0.1:80/authService

    2. Føj URL-adressen til godkendelsestjenesten til containeren:

       xsp|adp _cli/vedligeholdelse/containeroptions> tilføj tomcat bw.authservice.AuthServiceUrl http://127.0.0.1:80/authService

       Dette gør det muligt for Webex at bruge godkendelsestjenesten til at validere tokens, der præsenteres som legitimationsoplysninger.

    3. Kontroller parameteren med get.

    4. Genstart XSP|ADP.

Fjern klientgodkendelseskrav for godkendelsestjeneste (kun R24)

Hvis du har godkendelsestjenesten konfigureret med validering af CI-token på R24, skal du også fjerne klientgodkendelseskravet for godkendelsestjenesten. Kør følgende CLI-kommando:

ADP_CLI/Interface/HTTP/SSLCommonSettings/ClientAuthentication/WebApps> sæt godkendelseService ClientAuthReq falsk <interfaceIp><port>

Konfiguration af TLS og chiffer på HTTP-grænseflader (til XSI og godkendelsestjeneste)

Applikationerne Authentication Service, Xsi-Actions og Xsi-Events bruger HTTP-servergrænse flader. Niveauer af TLS-konfigurerbarhed for disse applikationer er som følger:

Mest generelt = System > Transport > HTTP > HTTP Server interface = Mest specifik

De CLI-kontekster, du bruger til at se eller ændre de forskellige SSL-indstillinger, er:

Læsning af HTTP-server TLS-grænsefladekonfiguration på XSP|ADP

1. Log ind på XSP|ADP og naviger til XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Indtast get -kommandoen, og læs resultaterne. Du skal se grænseflad erne (IP-adresser) og for hver, om de er sikre, og om de kræver klientgodkendelse.

Apache tomcat kræver et certifikat for hver sikker grænseflade; systemet genererer et selvsigneret certifikat, hvis det har brug for et.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Tilføjelse af TLS 1.2-protokol til HTTP-servergrænsefladen

HTTP-grænsefladen, der interagerer med Webex Cloud, skal konfigur eres til TLSv1.2. Skyen forhandler ikke tidligere versioner af TLS- protokollen.

Sådan konfigureres TLSv1.2-protokollen på HTTP-servergrænsefladen:

1. Log ind på XSP|ADP og naviger til XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Indtast kommandoen få 443 <interfaceIp>for at se, hvilke protokoller der allerede bruges på denne grænseflade.

3. Indtast kommandoen add 443 TLSv1.2 <interfaceIp>for at sikre, at grænsefladen kan bruge TLS 1.2, når du kommunikerer med skyen.

Redigering af TLS-chifferkonfiguration på HTTP-servergrænsefladen

Sådan konfigureres de nødvendige chiffer:

1. Log ind på XSP|ADP og naviger til XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Indtast kommandoen få 443 <interfaceIp>for at se, hvilke chiffer der allerede bruges på denne grænseflade. Der skal være mindst én af de Ciscos anbefal ede pakker (se XSP|ADP-identitets- og sikkerhed skrav i oversigtsafsnittet).

3. Indtast kommandoen add 443 <interfaceIp><cipherName>for at tilføje en chiffer til HTTP-server grænsefladen.

   XSP|ADP CLI kræver IANA-standardkrypteringspakkenavnet, ikke navnet på OpenSSL-krypteringspakken. For eksempel, for at tilføje OpenSSL-krypteringen ECDHE- ECDSA-CHACHA20-POLY1305 til HTTP-servergrænsefladen, vil du bruge: XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Se https://ciphersuite.info/ for at finde suiten ved begge navne.

Konfigurere enhedsstyring på XSP|ADP, applikationsserver og profilserver

Profilserver og XSP|ADP er obligatoriske for enhedsadministration. De skal konfigureres i henhold til instruktionerne i BroadWorks Device Management Configuration Guide.