Yhteisasuinpaikkavaatimukset

• Todennuspalvelun on oltava rinnakkaiskäytössä Xsi-sovellusten kanssa, koska näiden rajapintojen on hyväksyttävä pitkäikäiset tunnukset palvelun valtuutusta varten. Tunnistuspalvelu vaaditaan näiden tunnusten vahvistamiseen.

• Todennuspalvelu ja Xsi voivat toimia tarvittaessa samassa portissa.

• Voit erottaa muut palvelut/sovellukset vaakaasi varten tarpeen mukaan (esimerkiksi erillinen laitteenhallinta XSP|ADP-farmi).

• Voit sijoittaa Xsi-, CTI-, Authentication Service- ja DMS-sovellukset yhdessä.

• Älä asenna XSP|ADP:iin muita sovelluksia tai palveluita, joita käytetään BroadWorksin ja Webexin integro imiseen.

• Älä sijoita NPS-sovellusta muiden sovellusten kanssa.

Xsi-liitännät

Asenna ja määritä Xsi-Actions- ja Xsi-Events-sovellukset Cisco BroadWorks Xtended Services Interface Configuration Guide -ohje essa kuvatulla tavalla.

Vain yksi Xsi-Events-sovellusten esiintymä tulisi ottaa käyttöön XSP|ADP: ssä, jota käytetään CTI -käyttöliittymässä.

Kaikilla Broadworksin ja Webexin integroimiseen käytettävillä Xsi-tapahtumilla on oltava sama CallControlApplicationName, joka on määritetty kohdassa Applications/XSI-Events/GeneralSettings. Esimerkiksi:

ADP_CLI/Sovellukset/XSI-tapahtumat/Yleisasetukset> saada

CallControlApplicationName = com.broadsoft.xsi-events

Kun käyttäjä on kirjautunut Webexiin, Webex luo tilauksen käyttäjälle AS: ssä, jotta puhelutapahtumia voidaan vastaanottaa läsnäolo- ja puheluhistoriaa varten. Tilaus liittyy CallControlApplicationNameen ja AS käyttää sitä tietääkseen, mihin Xsi-Eventsiin puhelintapahtumat lähetetään.

Määritä todennuspalvelu (CI-tunnuksen validoinnilla)

Tämän toimenpiteen avulla voit määrittää todennuspalvelun käyttämään CI-tunnuksen validointia TLS:n kanssa. Tätä todennusmenetelmää suositellaan, jos käytössäsi on R22 tai uudempi ja järjestelmäsi tukee sitä.

1. OAuth-tunnistetietojen hankkiminen Webex for Cisco BroadWorks -laitteellesi.

2. Asenna seuraavat korjaustiedostot jokaiselle XSP|ADP-palvelimelle. Asenna julkais usi mukaiset korjaustiedostot:

   • R22: lle:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • R23: lle:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • R24: lle — korjaustiedostoa ei tarvita

   Kaikki viittaukset XSP: hen sisältävät joko XSP: n tai ADP: n.

3. Asenna AuthenticationService-sovellus jokaiseen XSP|ADP-palveluun.

   1. Suorita seuraava komento aktivoidaksesi AuthenticationService- sovelluksen XSP|ADP:ssä /AuthService-kontekstipolulle.

      xsp|adp_cli/Maintenance/ManagedObjects> aktivoi sovelluksen todennuspalvelu 22.0_1.1123/AuthService

   2. Suorita tämä komento ottaaksesi AuthenticationServicen käyttöön XSP|ADP: ssä :

      XSP | ADP_CLI/Maintenance/ManagedObjts> ota käyttöön sovellus /AuthServiceBroadworks SW Manager ottaa käyttöön /AuthService...

4. Broadworksin koontiversiosta 2022.10 alkaen Javan mukana tulevat varmenteiden viranomaiset eivät enää sisällytetä automaattisesti BroadWorksin luottamusvarastoon, kun siirrytään uuteen java-versioon. AuthenticationService avaa TLS-yhteyden Webexiin käyttöoikeustunnuksen hakemiseksi, ja IDBrokerin ja Webex-URL-osoitteen vahvistamiseksi on oltava seuraavat tiedot luottamusvarastossaan:

   • IdenTrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Varmista, että nämä varmenteet ovat läsnä seuraavassa CLI: ssä

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> get

   Jos sitä ei ole, suorita seuraava komento tuodaksesi oletusarvoiset Java-luottamukset:

   ADP_CLI/Järjestelmä/SSLCommonSettings/Trusts/Defaults> ImportJavaCatTrust

   Vaihtoehtoisesti voit lisätä nämä varmenteet manuaalisesti luottamusankkureiksi seuraavalla komennolla:

   ADP_CLI/Järjestelmä/SSLCommonSettings/Trusts/Broadworks> Päivitä luottamus <alias><trustAnchorFile>

   Jos ADP päivitetään aiemmasta versiosta, vanhan julkaisun varmenneviranomaiset tuodaan automaattisesti uuteen julkaisuun ja tuodaan edelleen, kunnes ne poistetaan manuaalisesti.

   AuthenticationService-sovellus on vapautettu kohdassa ADP_CLI/System/SSLCommonSettings/GeneralSettings ValidatePeerIdentity -asetuksesta ja vahvistaa aina vertaisidentiteetin. Lisätietoja tästä asetuksesta on Cisco Broadworks X509 Certificate Validation FD -asiakirjassa.

5. Määritä henkilöllisyyden tarjoajat suorittamalla seuraavat komennot kullakin XSP|ADP-palvelimella:

   xsp|adp_cli/sovellukset/todennuspalvelu/identiteettiproviders/Cisco> saada

   • määritä ClientID-asiakastunnus vaiheesta1

   • aseta aktivoitu tosi

   • aseta ClientSecret-asiakas-salainen-vaiheesta1

   • Aseta ciResponseBodyMaxSizeInbytes 65536

   • määritä IssuerName <URL>— Kirjoita URL-osoitteeksi CI- klusteriin sovellettava IssuerName-URL-osoite. Katso seuraava taulukko.

   • määritä IssuerURL —Kirjoita URL <URL>-osoitteeksi ISSUER URL, joka koskee CI-klusteriasi. Katso seuraava taulukko.

   • aseta tokenInFourl <IdPProxy URL>—Anna IdP-välityspalvelimen URL-osoite, joka koskee Teams-klusteriasi. Katso toinen seuraava taulukko.

   Taulukko 1. Määritä IssuerName ja IssuerURL

   Jos CI-klusteri on...	Aseta IssuerName ja IssuerURL arvoksi...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Jos et tiedä CI-klu steriasi, voit hankkia tiedot Control Hubin Help Desk -näkymän Asiakastiedoista.

   Taulukko 2. Aseta tokeninFourl

   Jos Teams Cluster on...	Aseta TokenInFourl arvoksi... (IdP-välityspalvelimen URL-osoite)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Jos et tiedä Teams- klusteria, voit hankkia tiedot Ohjauskeskuksen Help Desk -näkymän Asiakastiedoista. Testausta varten voit varmistaa, että tokenInfoURL on kelvollinen korvaamalla URL-osoitteen "idp/authenticate" -osa merkinn ällä "ping ”.

6. Määritä Webex-oikeus, joka on oltava Webexin käyttäjäprofiilissa suorittamalla seuraava komento:

   XSP|AD P_CLI/Sovellukset/AuthenticationService/IdentityProviders/Cisco/Scopes> aseta laaja-alainen liitäntä:käyttäjä

7. Määritä Cisco Federationin identiteettipalvelujen tarjoajat käyttämällä seuraavia komentoja kussakin XSP|ADP-palvelimessa:

   xsp|ADP_CLI/Sovellukset/todennuspalvelu/identiteettiproviders/Cisco/Federation> saada

   • aseta FLSurl https://cifls.webex.com/federation

   • aseta RefreshPeriod InMinutes 60

   • aseta RefreshToken Refresh-token -vaiheesta 1

8. Suorita seuraava komento varmistaaksesi, että FLS-kokoonpano toimii. Tämä komento palauttaa luettelon henkilöllisyyden tarjoajista:

   xsp|ADP_CLI/Sovellukset/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Hae

9. Määritä Token Management käyttämällä seuraavia komentoja jokaisessa XSP| ADP-palvelimessa:

   • XSP|ADP_CLI/Sovellukset/Todennuspalvelu/Tokenhallinta>

   • Aseta TokenIssuer BroadWorks

   • aseta tokenDurationInHours 720

10. Luo ja jaa RSA-avaimet. Sinun on luotava avaimet yhdelle XSP|ADP: lle ja kopioitava ne kaikille muille XSP|ADP:ille. Tämä johtuu seuraavista tekijöistä:

    • Sinun on käytettävä samoja julkisia/yksityisiä avainpareja tunnuksen salaukseen/salauksen purkamiseen kaikissa todennuspalvelun esiintymissä.

    • Tunnistuspalvelu luo avainparin, kun se vaaditaan ensimmäisen kerran tunnuksen antamiseen.

    Jos vaihdat näppäimiä tai muutat näppäimen pituutta, sinun on toistettava seuraava määritys ja käynnistettävä kaikki XSP|ADP:t uudelleen.

    1. Valitse yksi XSP|ADP, jota käytetään avainparin luomiseen.

    2. Käytä asiakasta pyytääksesi salattua tunnusta kyseiseltä XSP|ADP: ltä pyytämällä seuraavaa URL-osoitetta asiakkaan selaimesta:

       https://<XSP|ADP-IPAddress>/authService/token? avain=base64 URL (ClientPublicKey)

       (Tämä luo yksityisen/julkisen avainparin XSP|ADP: lle, jos sellaista ei jo ollut)

    3. Avainvaraston sijainti ei ole konfiguroitavissa. Vie avaimet:

       XSP|ADP_CLI/Sovellukset/Todennuspalvelu/Avainhallinta> Vientiavaimet

    4. Kopioi viety tiedosto /var/Broadworks/tmp/AuthService.keys samaan sijaintiin toisessa XSP|ADP:ssä ja korvaa tarvittaessa vanhempi .keys-tiedosto.

    5. Tuo avaimet kumpaankin toiseen XSP|ADP:hen:

       xsp| adp_cli/sovellukset/todennuspalvelu/avainhallinta> ImportKeys /var/Broadworks/TMP/AuthService.keys

11. Anna AuthService-URL-osoite web-säilöön. XSP|ADP:n verkkosäilö tarvitsee AuthService-URL-osoitteen, jotta se voi vahvistaa tunnukset. Jokaisessa XSP|ADP: ssä:

    1. Lisää todennuspalvelun URL-osoite ulkoisena todennuspalveluna BroadWorks Communications Utility -apuohjelmalle:

       xsp|ad p_cli/järjestelmä/viestintäapuohjelma/oletusasetukset/ulkoinen todennus/AuthService> aseta url http://127.0.0.1:80/authService

    2. Lisää todennuspalvelun URL-osoite säilöön:

       xsp|adp _cli/Maintenance/ContainerOptions> lisää tomcat bw.authService.AuthServiceUrl http://127.0.0.1:80/authService

       Tämän avulla Webex voi käyttää todennuspalvelua tunnistetietoina esitettyjen tunnusten vahvistamiseen.

    3. Tarkista parametri get: llä.

    4. Käynnistä XSP|ADP uudelleen.

Poista asiakkaan todennusvaatimus todennuspalvelusta (vain R24)

Jos todennuspalvelu on määritetty CI-tunnuksen vahvistuksella R24:ssä, sinun on myös poistettava todennuspalvelun asiakkaan todennusvaatimus. Suorita seuraava CLI-komento:

ADP_CLI/Liitäntä/HTTP/SSLCommonSettings/ClientAuthentication/WebApps> aseta todennuspalvelu ClientAuthReq väärä <interfaceIp><port>

TLS: n ja salausten määrittäminen HTTP-rajapinnoissa (XSI- ja todennuspalvelulle)

Todennuspalvelu-, Xsi-Actions- ja Xsi-Events- sovellukset käyttävät HTTP-palvelinrajapintoja. TLS-konfiguroitavuuden tasot näille sovelluksille ovat seuraavat:

Yleisin = Järjestelmä > Kuljetus > HTTP > HTTP-palvelimen rajapinta = Tarkempi

CLI-kontekstit, joita käytät eri SSL-asetusten tarkast elemiseen tai muokkaamiseen, ovat seuraavat:

HTTP-palvelimen TLS-liitäntäkokoonpanon lukeminen XSP|ADP: ssä

1. Kirjaudu sisään XSP|ADP: hen ja siirry kohtaan XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Anna get - komento ja lue tulokset. Sinun pitäisi nähdä rajapinnat (IP-osoitteet) ja kunkin osalta, ovatko ne turvallisia ja edellyttävät kö ne asiakkaan todennusta.

Apache tomcat valtuuttaa varmenteen jokaiselle suojatulle käyttöliittymälle; järjestelmä luo itse allekirjoitetun varmenteen, jos se tarvitsee sellaisen.

XSP|ADP_CLI/Interface/Http/HttpServer> get

TLS 1.2 -protokollan lisääminen HTTP-palvelinliittymään

HTTP-käyttöliittymä, joka on vuorovaikutuksessa Webex Cloudin kanssa, on määrit ettävä TLSv1.2: lle. Pilvi ei neuvottele TLS- protokollan aiemmista versioista.

TLSv1.2-protokollan määrittäminen HTTP-palvelimen käyttöliittymässä:

1. Kirjaudu sisään XSP|ADP: hen ja siirry kohtaan XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Kirjoita komento get 443 nähd <interfaceIp>äksesi, mitä protokollia käytetään jo tässä käyttöliittymässä.

3. Anna komento add 443 TLSv1.2 varmistaaksesi<interfaceIp>, että käyttöliittymä voi käyttää TLS 1.2: ta kommunikoidessaan pilven kanssa.

TLS-salauskokoonpanon muokkaaminen HTTP-palvelinliittymässä

Tarvit tavien salausten määrittäminen:

1. Kirjaudu sisään XSP|ADP: hen ja siirry kohtaan XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Kirjoita komento get 443 nähd <interfaceIp>äksesi, mitä salauksia käytetään jo tässä käyttöliittymässä. Ciscon suosittelemista ohjelmistopaketeista on oltava vähintään yksi (katso XSP|ADP Identity and Security Requirements Yleiskatsaus- osi ossa).

3. Lisää salaus HTTP-palvelimen käyttöliittymään syöttämällä komento add 443 <interfaceIp><cipherName>.

   XSP|ADP CLI vaatii IANA-standardin salauspaketin nimen, ei OpenSSL-salauspaketin nimeä. Jos haluat esimerkiksi lisätä OpenSSL-salauksen ECDHE- ECDSA-CHACHA20-POLY1305 HTTP-palvelimen käyttöliittymään, käytä seuraavaa: XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers> lisää 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Katso https://ciphersuite.info/ löytä äksesi sviitin jommankumman nimen perusteella.

Laitehallinnan määrittäminen XSP|ADP: ssä, sovelluspalvelimessa ja profiilipalvelimessa

Profiilipalvelin ja XSP|ADP ovat pakollisia Laitehallinnassa. Ne on määritettävä BroadWorks Device Management Configuration Guide -oppaan ohjeiden mukaisesti.