Anforderungen an den gemeinsamen Wohnsitz

• Der Authentifizierungsdienst muss zusammen mit den Xsi-Anwendungen installiert sein, da diese Schnittstellen langlebige Token für die Serviceautorisierung akzeptieren müssen. Der Authentifizierungsdienst ist erforderlich, um diese Token zu validieren.

• Der Authentifizierungsdienst und Xsi können bei Bedarf auf demselben Port ausgeführt werden.

• Sie können die anderen Dienste/Anwendungen nach Bedarf für Ihre Waage trennen (z. B. dedizierte Geräteverwaltungs-XSP|ADP-Farm).

• Sie können die Xsi-, CTI-, Authentication Service- und DMS-Anwendungen gemeinsam platzieren.

• Installieren Sie keine anderen Anwendungen oder Dienste auf den XSP|ADPs, die für die Integration von BroadWorks mit Webex verwendet werden.

• Platzieren Sie die NPS-Anwendung nicht zusammen mit anderen Anwendungen.

Xsi-Schnittstellen

Installieren und konfigurieren Sie die Anwendungen Xsi-Actions und Xsi-Events, wie im Cisco BroadWorks Xtended Services Interface Configuration Guide beschrieben.

Nur eine Instanz der Xsi-Events-Anwendungen sollte auf dem XSP|ADP bereitgestellt werden, das für die CTI-Schnittstelle verwendet wird.

Alle Xsi-Events, die für die Integration von Broadworks mit Webex verwendet werden, müssen denselben CallControlApplicationName haben, der unter Applications/XSI-Events/GeneralSettings definiert ist. Zum Beispiel:

adp_cli/Applications/XSI-Events/GeneralSettings> abrufen

CallControlApplicationName = com.broadsoft.xsi-events

Wenn ein Benutzer bei Webex angemeldet ist, erstellt Webex ein Abonnement für den Benutzer auf dem AS, um Telefonieereignisse für Präsenz und Anrufliste zu empfangen. Das Abonnement ist mit dem CallControlApplicationName verknüpft und der AS verwendet es, um zu wissen, an welche Xsi-Events die Telefonieereignisse gesendet werden sollen.

Authentifizierungsdienst konfigurieren (mit CI-Token-Validierung)

Verwenden Sie dieses Verfahren, um den Authentifizierungsdienst für die Verwendung der CI-Token-Validierung mit TLS zu konfigurieren. Diese Authentifizierungsmethode wird empfohlen, wenn Sie R22 oder höher verwenden und Ihr System sie unterstützt.

1. Erhalt der OAuth-Anmeldeinformationen für Ihr Webex für Cisco BroadWorks.

2. Installieren Sie die folgenden Patches auf jedem XSP|ADP-Server. Installieren Sie die Patches , die für Ihre Version geeignet sind:

   • Für R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.ap368601

   • Für R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Für R24 — kein Patch erforderlich

   Jeder Verweis auf XSP umfasst entweder XSP oder ADP.

3. Installieren Sie die AuthenticationService-Anwendung auf jedem XSP|ADP-Dienst.

   1. Führen Sie den folgenden Befehl aus, um die AuthenticationService-Anwendung auf dem XSP|ADP zum /AuthService-Kontextpfad zu aktivieren.

      XSP|ADP_CLI/Maintenance/ManagedObjects> Anwendungsauthentifizierungsdienst aktivieren 22.0_1.1123/AuthService

   2. Führen Sie diesen Befehl aus, um den AuthenticationService auf dem XSP|ADP bereitzustellen:

      XSP|ADP_CLI/Maintenance/ManagedObjects> Anwendung bereitstellen /AuthServiceBroadworks SW Manager bereitstellt /AuthService...

4. Ab Broadworks Build 2022.10 werden die Zertifizierungsstellen, die mit Java geliefert werden, nicht mehr automatisch in den BroadWorks Trust Store aufgenommen, wenn auf eine neue Version von Java umgestellt wird. Der AuthenticationService öffnet eine TLS-Verbindung zu Webex, um das Zugriffstoken abzurufen, und benötigt Folgendes in seinem Truststore, um die IDBroker- und Webex-URL zu validieren:

   • IdenTrust Commercial Root CA 1

   • Go Daddy Root-Zertifizierungsstelle — G2

   Stellen Sie sicher, dass diese Zertifikate unter der folgenden CLI vorhanden sind

   adp_cli/system/sslCommonSettings/Trusts/Defaults> erhalten

   Falls nicht vorhanden, führen Sie den folgenden Befehl aus, um die Standard-Java-Trusts zu importieren:

   adp_cli/system/sslCommonSettings/Trusts/Defaults> JavaTrust importieren

   Alternativ können Sie diese Zertifikate mit dem folgenden Befehl manuell als Vertrauensanker hinzufügen:

   adp_cli/system/sslCommonSettings/Trusts/Broadworks> Update Trust <alias><trustAnchorFile>

   Wenn das ADP von einer früheren Version aktualisiert wird, werden die Zertifizierungsstellen aus der alten Version automatisch in die neue Version importiert und werden so lange importiert, bis sie manuell entfernt werden.

   Die AuthenticationService-Anwendung ist von der ValidatePeerIdentity-Einstellung unter ADP_CLI/System/SSLCommonSettings/GeneralSettings ausgenommen und validiert immer die Peer-Identität. Weitere Informationen zu dieser Einstellung finden Sie im Cisco Broadworks X509 Certificate Validation FD.

5. Konfigurieren Sie die Identitätsanbieter, indem Sie die folgenden Befehle auf jedem XSP|ADP-Server ausführen:

   XSP|ADP_CLI/Anwendungen/Authentifizierungsdienst/IdentityProviders/Cisco> abrufen

   • Geben Sie die Client-ID aus Schritt 1 ein

   • aktiviert setzen, wahr

   • Setzen Sie ClientSecret client-Secret-from-step1

   • setzen Sie CIResponseBodyMaxSizeInBytes auf 65536

   • set issuerName <URL>— Geben Sie für die URL die IssuerName-URL ein, die für Ihren CI-Cluster gilt. Siehe folgende Tabelle.

   • set issuerURL <URL>— Geben Sie für die URL die IssuerURL ein, die für Ihren CI-Cluster gilt. Sehen Sie sich die folgende Tabelle an.

   • set tokeninfoURL <IdPProxy URL>— Geben Sie die IdP-Proxy-URL ein, die für Ihren Teams-Cluster gilt. Sehen Sie sich die zweite Tabelle an, die folgt.

   Tabelle 1. IssuerName und IssuerURL festlegen

   Wenn CI Cluster ist...	Setzen Sie IssuerName und IssuerURL auf...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Wenn Sie Ihren CI-Cluster nicht kennen, können Sie die Informationen in den Kundendetails in der Helpdesk-Ansicht von Control Hub abrufen.

   Tabelle 2. Token in FOURL setzen

   Wenn Teams Cluster ist...	Setzen Sie TokenInfoURL auf... (IdP-Proxy-URL)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Wenn Sie Ihren Teams-Cluster nicht kennen, können Sie die Informationen in den Kundendetails in der Helpdesk-Ansicht von Control Hub abrufen. Zu Testzwecken können Sie überprüfen, ob die TokenInfoURL gültig ist, indem Sie den Teil "idp/authenticate" der URL durch „ping“ ersetzen.

6. Geben Sie die Webex-Berechtigung an, die im Benutzerprofil in Webex vorhanden sein muss, indem Sie den folgenden Befehl ausführen:

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Scopes> Umfang festlegen Broadworks-Connector:Benutzer

7. Konfigurieren Sie Identity Providers für Cisco Federation mit den folgenden Befehlen auf jedem XSP|ADP-Server:

   XSP|ADP_CLI/Anwendungen/Authentifizierungsdienst/Identity Providers/Cisco/Federation> abrufen

   • setzen Sie die FLS-URL https://cifls.webex.com/federation

   • Stellen Sie den Aktualisierungszeitraum in Minuten 60 ein

   • setzen Sie RefreshToken Refresh-token-from-step1

8. Führen Sie den folgenden Befehl aus, um zu überprüfen, ob Ihre FLS-Konfiguration funktioniert. Dieser Befehl gibt die Liste der Identitätsanbieter zurück:

   XSP|ADP_CLI/Applications/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Abrufen

9. Konfigurieren Sie die Tokenverwaltung mit den folgenden Befehlen auf jedem XSP|ADP-Server:

   • XSP | ADP_CLI/Anwendungen/Authentifizierungsdienst/Token-Management>

   • Token-Emittent BroadWorks setzen

   • Geben Sie die Tokendauer in Stunden auf 720 ein

10. Generieren und teilen Sie RSA-Schlüssel. Sie müssen Schlüssel auf einem XSP|ADP generieren und sie dann auf alle anderen XSP|ADPs kopieren. Das ist auf die folgenden Faktoren zurückzuführen:

    • Sie müssen dieselben öffentlichen/privaten Schlüsselpaare für die Token-Verschlüsselung/-Entschlüsselung in allen Instanzen des Authentifizierungsdienstes verwenden.

    • Das Schlüsselpaar wird vom Authentifizierungsdienst generiert, wenn er zum ersten Mal ein Token ausstellen muss.

    Wenn Sie Schlüssel wechseln oder die Schlüssellänge ändern, müssen Sie die folgende Konfiguration wiederholen und alle XSP|ADPs neu starten.

    1. Wählen Sie ein XSP|ADP aus, das für die Generierung eines Schlüsselpaars verwendet werden soll.

    2. Verwenden Sie einen Client, um ein verschlüsseltes Token von diesem XSP|ADP anzufordern, indem Sie die folgende URL vom Browser des Kunden anfordern:

       https://<XSP|ADP-IPAddress>/authService/token? Schlüssel = Base64 URL (öffentlicher Schlüssel des Kunden)

       (Das generiert ein privates/öffentliches Schlüsselpaar auf dem XSP|ADP, falls es noch keins gab)

    3. Der Standort des Schlüsselspeichers ist nicht konfigurierbar. Exportieren Sie die Schlüssel:

       XSP | ADP_CLI/Anwendungen/Authentifizierungsdienst/Schlüsselverwaltung > Schlüssel exportieren

    4. Kopieren Sie die exportierte Datei /var/broadworks/tmp/authservice.keys an den gleichen Ort auf den anderen XSP|ADPs und überschreiben Sie gegebenenfalls eine ältere .keys-Datei.

    5. Importieren Sie die Schlüssel auf jedem der anderen XSP|ADPs:

       XSP|ADP_CLI/Anwendungen/Authentifizierungsdienst/KeyManagement> ImportKeys /var/broadworks/tmp/authservice.keys

11. Geben Sie die AuthService-URL für den Web-Container an. Der Web-Container von XSP|ADP benötigt die AuthService-URL, damit er Tokens validieren kann. Auf jedem der XSP|ADPs:

    1. Fügen Sie die URL des Authentifizierungsdienstes als externen Authentifizierungsdienst für die BroadWorks Communications Utility hinzu:

       XSP|ADP_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> URL festlegen http://127.0.0.1:80/authService

    2. Fügen Sie die URL des Authentifizierungsdienstes zum Container hinzu:

       xsp|adp_cli/maintenance/containerOptions> fügen Sie Tomcat bw.authservice.authServiceUrl hinzu http://127.0.0.1:80/authService

       Dadurch kann Webex den Authentifizierungsdienst verwenden, um Tokens zu validieren, die als Anmeldeinformationen dargestellt werden.

    3. Überprüfen Sie den Parameter mit get.

    4. Starten Sie XSP|ADP neu.

Client-Authentifizierungsanforderung für den Authentifizierungsdienst entfernen (nur R24)

Wenn Sie den Authentifizierungsdienst mit CI-Token-Validierung auf R24 konfiguriert haben, müssen Sie auch die Client-Authentifizierungsanforderung für den Authentifizierungsdienst entfernen. Führen Sie den folgenden CLI-Befehl aus:

adp_cli/interface/http/sslCommonSettings/ClientAuthentication/WebApps> setzen Sie AuthenticationService ClientAuthReq auf falsch <interfaceIp><port>

Konfiguration von TLS und Chiffren auf den HTTP-Schnittstellen (für XSI und Authentication Service)

Die Anwendungen Authentication Service, Xsi-Actions und Xsi-Events verwenden HTTP-Serverschnittstellen. Die Stufen der TLS-Konfigurierbarkeit für diese Anwendungen sind wie folgt:

Am allgemeinsten = System > Transport > HTTP > HTTP-Serverschnittstelle = Sehr spezifisch

Die CLI-Kontexte, die Sie verwenden, um die verschiedenen SSL-Einstellungen anzuzeigen oder zu ändern, sind:

Lesen der HTTP-Server-TLS-Schnittstellenkonfiguration auf dem XSP|ADP

1. Melden Sie sich bei XSP|ADP an und navigieren Sie zu XSP|ADP_CLI/Interface/Http/HttpServer>

2. Geben Sie den Befehl get ein und lesen Sie die Ergebnisse. Sie sollten die Schnittstellen (IP-Adressen) sehen und für jede, ob sie sicher sind und ob sie eine Client-Authentifizierung erfordern.

Apache Tomcat schreibt für jede sichere Schnittstelle ein Zertifikat vor; das System generiert ein selbstsigniertes Zertifikat, falls es eines benötigt.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Hinzufügen des TLS 1.2-Protokolls zur HTTP-Serverschnittstelle

Die HTTP-Schnittstelle, die mit der Webex Cloud interagiert, muss für TLSv1.2 konfiguriert sein. Die Cloud handelt keine früheren Versionen des TLS-Protokolls aus.

Um das TLSv1.2-Protokoll auf der HTTP-Server-Schnittstelle zu konfigurieren:

1. Melden Sie sich bei XSP|ADP an und navigieren Sie zu XSP|ADP_CLI/Interface/Http/HttpServer/SSLSettings/Protocols>

2. Geben Sie den Befehl get 443 <interfaceIp>ein, um zu sehen, welche Protokolle bereits auf dieser Schnittstelle verwendet werden.

3. Geben Sie den Befehl add 443 TLSv1.2 <interfaceIp>ein, um sicherzustellen, dass die Schnittstelle TLS 1.2 bei der Kommunikation mit der Cloud verwenden kann.

Konfiguration der TLS-Chiffren auf der HTTP-Serverschnittstelle bearbeiten

Um die erforderlichen Chiffren zu konfigurieren:

1. Melden Sie sich bei XSP|ADP an und navigieren Sie zu XSP|ADP_CLI/Interface/Http/HttpServer/SSLSettings/Ciphers>

2. Geben Sie den Befehl get 443 <interfaceIp>ein, um zu sehen, welche Chiffren auf dieser Schnittstelle bereits verwendet werden. Es muss mindestens eine der von Cisco empfohlenen Suiten geben (siehe XSP|ADP Identitäts- und Sicherheitsanforderungen im Abschnitt Überblick).

3. Geben Sie den Befehl add 443 <interfaceIp><cipherName>ein , um der HTTP-Server-Schnittstelle eine Chiffre hinzuzufügen.

   Die XSP|ADP-CLI erfordert den Namen der IANA-Standardchiffrensuite, nicht den Namen der OpenSSL-Verschlüsselungssammlung. Um zum Beispiel die OpenSSL-Verschlüsselung ECDHE-ECDSA-CHACHA20-POLY1305 zur HTTP-Serverschnittstelle hinzuzufügen, würden Sie verwenden: xsp|adp_cli/interface/http/httpserver/sslsettings/ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Besuchen Sie https://ciphersuite.info/, um die Suite nach einem der beiden Namen zu finden.

Gerätemanagement auf XSP|ADP, Anwendungsserver und Profilserver konfigurieren

Profilserver und XSP|ADP sind für die Geräteverwaltung erforderlich. Sie müssen gemäß den Anweisungen im BroadWorks Device Management Configuration Guide konfiguriert werden.