Requisitos de co-residencia

• El servicio de autenticación debe ser co-residente con aplicaciones Xsi, ya que esas interfaces deben aceptar tokens de larga duración para la autorización del servicio. El servicio de autenticación es necesario para validar esos tokens.

• El servicio de autenticación y Xsi pueden ejecutarse en el mismo puerto si es necesario.

• Puede separar los otros servicios/aplicaciones según sea necesario para su báscula (granja XSP|ADP de administración de dispositivos dedicada, por ejemplo).

• Puede ubicar conjuntamente las aplicaciones Xsi, CTI, Autentication Service y DMS.

• No instale otras aplicaciones o servicios en XSP|ADP que se utilizan para integrar BroadWorks con Webex.

• No coubique la aplicación NPS con ninguna otra aplicación.

Interfaces Xsi

Instale y configure las aplicaciones Xsi-Actions y Xsi-Events como se describe en la Guía de configuración de la interfaz de Cisco BroadWorks Xtended Services.

Sólo se debe implementar una instancia de las aplicaciones Xsi-Events en el XSP|ADP utilizado para la interfaz CTI.

Todos los eventos XSI utilizados para integrar Broadworks con Webex deben tener el mismo CallControlApplicationName definido en Applications/XSI-Events/GeneralSettings. Por ejemplo:

ADP_CLI/Aplicaciones/Eventos XSI/Configuración general> obtener

CallControlApplicationName = com.broadsoft.xsi-events

Cuando un usuario se incorpora a Webex, Webex crea una suscripción para el usuario en el AS con el fin de recibir eventos de telefonía para presencia e historial de llamadas. La suscripción está asociada con el CallControlApplicationName y el AS lo usa para saber a qué Xsi-Events enviar los eventos de telefonía.

Configurar el servicio de autenticación (con validación de token CI)

Utilice este procedimiento para configurar el Servicio de autenticación para usar la validación de token CI con TLS. Este método de autenticación se recomienda si está ejecutando R22 o superior y su sistema lo admite.

1. Obtención de credenciales de OAuth para su Webex para Cisco BroadWorks.

2. Instale los siguientes parches en cada servidor XSP|ADP. Instale los parches que sean apropiados para su versión:

   • Para R22:

     AP.Platform.22.0.1123.AP376508

     AP.xsp.22.0.1123.AP376508

     AP.xsp.22.0.1123.AP368601

   • Para R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Para R24: no se requiere parche

   Cualquier referencia a XSP incluye XSP o ADP.

3. Instale la aplicación AuthenticationService en cada servicio XSP|ADP.

   1. Ejecute el siguiente comando para activar la aplicación AuthenticationService en XSP|ADP a la ruta de acceso de contexto /AuthService.

      XSP|ADP_CLI/Mantenance/ManagedObjects> activar el servicio de autenticación de aplicaciones 22.0_1.1123/AuthService

   2. Ejecute este comando para implementar AuthenticationService en XSP|ADP:

      XSP|ADP_CLI/Mantenance/ManagedObjects> implementar aplicación/AuthServiceBroadWorks SW Manager implementando /AuthService...

4. A partir de la compilación 2022.10 de Broadworks, las autoridades de certificados que vienen con Java ya no se incluyen automáticamente en el almacén de confianza de BroadWorks al cambiar a una nueva versión de Java. AuthenticationService abre una conexión TLS a Webex para obtener el token de acceso y necesita tener lo siguiente en su almacén de confianza para validar el IDBroker y la URL de Webex:

   • IdenTrust Raíz comercial CA 1

   • Vamos, papá Root Certificate Authority - G2

   Verifique que estos certificados estén presentes bajo la siguiente CLI

   ADP_CLI/System/SSLCommonSettings/Confianzas/Predeterminados> obtener

   Si no está presente, ejecute el siguiente comando para importar las confianzas Java predeterminadas:

   ADP_CLI/System/SSLCommonSettings/Confianzas/Defaults> Importar JavaScript Trust

   Alternativamente, puede agregar manualmente estos certificados como anclajes de confianza con el siguiente comando:

   ADP_CLI/System/SSL/Configuración común/Confianzas/Broadworks > Actualizar confianza <alias><trustAnchorFile>

   Si el ADP se actualiza desde una versión anterior, las autoridades de certificación de la versión anterior se importan automáticamente a la nueva versión y continuarán importándose hasta que se eliminen manualmente.

   La aplicación AuthenticationService está exenta de la configuración ValidatePeerIdentity en ADP_CLI/System/SSLCommonSettings/GeneralSettings y siempre valida la identidad de pares. Consulte el FD de validación del certificado Cisco Broadworks X509 para obtener más información sobre esta configuración.

5. Configure los proveedores de identidad ejecutando los siguientes comandos en cada servidor XSP|ADP:

   XSP|ADP_CLI/Aplicaciones/Servicio de Autenticación/Proveedores de Identidad/Cisco> obtener

   • establecer el ID del cliente desde el paso 1

   • establecer habilitado verdadero

   • establecer ClientSecret ClientSecret-Client-Secret-de-Step1

   • establecer CIResponseBodyMaxSizeInBytes 65536

   • establecer IssuerName<URL>: para la dirección URL, escriba la dirección URL del nombre del emisor que se aplica a su clúster de CI. Consulte la siguiente tabla.

   • establecer issuerURL: para la dirección URL<URL>, escriba la URL del emisor que se aplica a su clúster de CI. Vea la siguiente tabla.

   • set tokenInFourl<IdPProxy URL>: introduzca la URL del proxy IdP que se aplica a su clúster de Teams. Vea la segunda tabla que sigue.

   Tabla 1. Establecer el nombre del emisor y la URL del emisor

   Si CI Cluster es...	Establezca IssuerName y issuerURL en...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Si no conoce su CI Cluster, puede obtener la información de los detalles del cliente en la vista Mesa de ayuda de Control Hub.

   Tabla 2. Establecer el tokenen Fourl

   Si Teams Cluster es...	Establezca el TokenInFourl en... (URL del proxy del IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Si no conoce su Clúster de equipos, puede obtener la información de los detalles del cliente en la vista Mesa de ayuda de Control Hub. Para realizar pruebas, puede verificar que el tokenInFoURL es válido reemplazando la parte "idp/authenticate" de la URL por "ping”.

6. Especifique la autorización de Webex que debe estar presente en el perfil de usuario en Webex ejecutando el siguiente comando:

   XSP|ADP_CLI/Aplicaciones/Servicio de Autenticación/IdentityProviders/Cisco/Scopes> establecer alcance broadworks-connector:usuario

7. Configure los proveedores de identidad para Cisco Federation mediante los siguientes comandos en cada servidor XSP|ADP:

   XSP|ADP_CLI/Aplicaciones/Servicio de Autenticación/Proveedores de Identidad/Cisco/Federación> obtener

   • establecer la URL FLS https://cifls.webex.com/federation

   • establezca el período de actualización en minutos 60

   • configurar RefreshToken Refresh-Token-from-Step1

8. Ejecute el siguiente comando para validar que su configuración FLS está funcionando. Este comando devolverá la lista de proveedores de identidad:

   XSP|ADP_CLI/Aplicaciones/AuthService/IdentityProviders/CISCO/Federation/ClusterMap> Obtener

9. Configure la administración de tokens mediante los siguientes comandos en cada servidor XSP|ADP :

   • XSP|ADP_CLI/Aplicaciones/Servicio de Autenticación/Administración de token >

   • establecer tokenIssuer BroadWorks

   • establezca la duración del tokenen en horas 720

10. Genere y comparta claves RSA. Debe generar claves en un XSP|ADP y luego copiarlos en todos los demás XSP|ADP. Esto se debe a los siguientes factores:

    • Debe usar los mismos pares de claves públicas/privadas para el cifrado/descifrado de tokens en todas las instancias del servicio de autenticación.

    • El par de claves es generado por el servicio de autenticación cuando primero se requiere emitir un token.

    Si realiza ciclos de teclas o cambia la longitud de la clave, debe repetir la siguiente configuración y reiniciar todos los XSP|ADP.

    1. Seleccione un XSP|ADP para generar un par de claves.

    2. Utilice un cliente para solicitar un token cifrado de ese XSP|ADP, solicitando la siguiente URL desde el navegador del cliente:

       https://<XSP|ADP-IPAddress>/authService/token? clave = base64URL (ClientPublicKey)

       (Esto genera un par de claves privadas/públicas en el XSP|ADP, si aún no había uno)

    3. La ubicación del almacén de claves no es configurable. Exporte las claves:

       XSP|ADP_CLI/Aplicaciones/Servicio de autenticación/Administración de claves > Exportar claves

    4. Copie el archivo exportado /var/broadworks/tmp/AuthService.keys a la misma ubicación en el otro XSP|ADP, sobrescribiendo un archivo.keys anterior si es necesario.

    5. Importe las claves en cada uno de los otros XSP|ADP:

       XSP|ADP_CLI/Aplicaciones/Servicio de Autenticación/Administración de clave> Importar claves /var/Broadworks/TMP/AuthService.Keys

11. Proporcione la URL de AuthService al contenedor web. El contenedor web de XSP|ADP necesita la URL AuthService para que pueda validar tokens. En cada uno de los XSP|ADP:

    1. Agregue la dirección URL del servicio de autenticación como un servicio de autenticación externo para BroadWorks Communications Utility:

       XSP|ADP_CLI/System/CommunicationUtility/DefaultSettings/Autenticación externa/AuthService> establecer URL http://127.0.0.1:80/authService

    2. Agregue la dirección URL del servicio de autenticación al contenedor:

       xsp|ADP_CLI/Mantenance/ContainerOptiones> agregar tomcat bw.AuthService.AuthServiceURL http://127.0.0.1:80/authService

       Esto permite a Webex utilizar el Servicio de autenticación para validar los tokens presentados como credenciales.

    3. Compruebe el parámetro con get.

    4. Reinicie el XSP|ADP.

Eliminar el requisito de autenticación del cliente para el servicio de autenticación (solo R24)

Si tiene el Servicio de autenticación configurado con la validación del token CI en R24, también debe eliminar el requisito de autenticación del cliente para el servicio de autenticación. Ejecute el siguiente comando CLI:

ADP_CLI/Interface/HTTP/SSL/CommonSettings/ClientAuthentication/WebApps> establecer AutenticationService ClientAuthReq falso <interfaceIp><port>

Configuración de TLS y cifrados en las interfaces HTTP (para XSI y servicio de autenticación)

Las aplicaciones Authentication Service, Xsi-Actions y Xsi-Events utilizan interfaces de servidor HTTP. Los niveles de configurabilidad TLS para estas aplicaciones son los siguientes:

Más general = Sistema > Transporte > HTTP > Interfaz del servidor HTTP = Más específico

Los contextos CLI que utiliza para ver o modificar las diferentes configuraciones SSL son:

Lectura de la configuración de la interfaz TLS del servidor HTTP en XSP|ADP

1. Inicie sesión en XSP|ADP y navegue a XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Escriba el comando get y lea los resultados. Debería ver las interfaces (direcciones IP) y, para cada una, si son seguras y si requieren autenticación de cliente.

Apache Tomcat exige un certificado para cada interfaz segura; el sistema genera un certificado autofirmado si lo necesita.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Agregar el protocolo TLS 1.2 a la interfaz del servidor HTTP

La interfaz HTTP que interactúa con Webex Cloud debe configurarse para TLSv1.2. La nube no negocia versiones anteriores del protocolo TLS.

Para configurar el protocolo TLSv1.2 en la interfaz del servidor HTTP:

1. Inicie sesión en XSP|ADP y navegue a XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Protocols>

2. Introduzca el comando get 443 <interfaceIp>para ver qué protocolos ya se utilizan en esta interfaz.

3. Introduzca el comando add 443 TLSv1.2 <interfaceIp>para asegurarse de que la interfaz pueda usar TLS 1.2 cuando se comunique con la nube.

Edición de la configuración de cifrados TLS en la interfaz del servidor HTTP

Para configurar los cifrados requeridos:

1. Inicie sesión en XSP|ADP y navegue a XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Introduzca el comando get 443 <interfaceIp>para ver qué cifrados ya se utilizan en esta interfaz. Debe haber al menos una de las suites recomendadas por Cisco (consulte Requisitos de identidad y seguridad de XSP|ADP en la sección Descripción general).

3. Escriba el comando add 443 <interfaceIp><cipherName>para agregar un cifrado a la interfaz del servidor HTTP.

   La CLI XSP|ADP requiere el nombre del conjunto de cifrado estándar de IANA, no el nombre del conjunto de cifrado OpenSSL. Por ejemplo, para agregar el cifrado OpenSSL ECDHE-ECDSA-CHACHA20-POLY1305 a la interfaz del servidor HTTP, utilice: XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers> agregar 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Consulte https://ciphersuite.info/ para encontrar la suite con cualquier nombre.

Configurar la administración de dispositivos en XSP|ADP, servidor de aplicaciones y servidor de perfiles

Profile Server y XSP|ADP son obligatorios para la administración de dispositivos. Deben configurarse de acuerdo con las instrucciones de la Guía de configuración de administración de dispositivos de BroadWorks.