Yhteisasumisen vaatimukset

• Todennuspalvelun on sijaittava rinnakkain Xsi-sovellusten kanssa, koska näiden rajapintojen on hyväksyttävä pitkäikäiset tokenit palvelun valtuutusta varten. Todennuspalvelu vaaditaan näiden tokenien validoimiseksi.

• Todennuspalvelu ja Xsi voivat tarvittaessa toimia samassa portissa.

• Voit erottaa toisen services/applications skaalasi vaatimusten mukaisesti (esimerkiksi erillinen laitehallinta XSP|ADP -tila).

• Voit sijoittaa Xsi-, CTI-, todennuspalvelun ja DMS-sovellukset samaan paikkaan.

• Älä asenna muita sovelluksia tai palveluita XSP|-tiedonsiirtopaneelille, joita käytetään BroadWorksin integrointiin Webexin kanssa.

• Älä sijoita NPS-hakemusta samaan paikkaan minkään muun hakemuksen kanssa.

Xsi-liitännät

Asenna ja määritä Xsi-Actions- ja Xsi-Events-sovellukset Cisco BroadWorks Xtended Services Interface Configuration Guide -oppaassakuvatulla tavalla.

Vain yksi Xsi-Events-sovellusten instanssi tulisi ottaa käyttöön CTI-rajapinnassa käytettävällä XSP|ADP:llä.

Kaikilla Broadworksin ja Webexin integroinnissa käytettävillä Xsi-tapahtumilla on oltava sama callControlApplicationName-nimi, joka on määritetty kohdassa Applications/Xsi-Events/GeneralSettings. Esimerkiksi:

ADP_CLI/Applications/Xsi-Events/GeneralSettings> get

callControlApplicationName = com.broadsoft.xsi-events

Kun käyttäjä on rekisteröitynyt Webexiin, Webex luo käyttäjälle tilauksen AS:ään, jotta hän voi vastaanottaa puhelintapahtumia läsnäolon ja puheluhistorian osalta. Tilaus on liitetty callControlApplicationName-nimeen, ja AS käyttää sitä tietääkseen, mihin Xsi-Events-tapahtumiin puhelinliikennetapahtumat lähetetään.

Todennuspalvelun määrittäminen (CI-tunnuksen validoinnilla)

Tämän toimenpiteen avulla voit määrittää todennuspalvelun käyttämään CI-tunnusvalidointia TLS:n kanssa. Tätä todennusmenetelmää suositellaan, jos käytössäsi on R22 tai uudempi ja järjestelmäsi tukee sitä.

1. OAuth-tunnistetietojen hankkiminen Webex-käyttöjärjestelmääsi varten Cisco BroadWorksissa.

2. Asenna seuraavat korjauspäivitykset jokaiselle XSP|ADP-palvelimelle. Asenna julkaisuusi sopivat korjaustiedostot:

   • R22:lle:

     AP.platform.22.0.1123.ap376508

     AP.xsp.22.0.1123.ap376508

     AP.xsp.22.0.1123.ap368601

   • R23:lle:

     AP.xsp.23.0.1075.ap376509

     AP.platform.23.0.1075.ap376509

   • R24-mallille – laastaria ei tarvita

   Kaikki viittaukset XSP:hen sisältävät joko XSP:n tai ADP:n.

3. Asenna AuthenticationService -sovellus jokaiseen XSP|ADP-palveluun.

   1. Suorita seuraava komento aktivoidaksesi AuthenticationService-sovelluksen XSP|ADP:ssä /authService kontekstipolku.

      XSP|ADP_CLI/Maintenance/ManagedObjects> activate application AuthenticationService 22.0_1.1123/authService

   2. Suorita tämä komento ottaaksesi AuthenticationServicen käyttöön XSP|ADP:ssä:

      XSP|ADP_CLI/Maintenance/ManagedObjects> deploy application /authServiceBroadWorks SW Manager deploying /authService...

4. Broadworksin koontiversiosta 2022.10 alkaen Javan mukana tulevia varmenteiden myöntäjiä ei enää automaattisesti sisällytetä BroadWorksin luottamussäilöön vaihdettaessa uuteen Javan versioon. AuthenticationService avaa TLS-yhteyden Webexiin noutaakseen käyttöoikeustunnuksen ja tarvitsee seuraavat tiedot luotettavuussäilössään IDBrokerin ja Webexin URL-osoitteen validointia varten:

   • IdenTrustin kaupallinen juuri-CA 1

   • Go Daddy -juurivarmenteiden myöntäjä - G2

   Varmista, että nämä varmenteet ovat läsnä seuraavassa komentorivikomennossa

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> get

   Jos niitä ei ole, tuo oletusarvoiset Java-luottamukset suorittamalla seuraava komento:

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> importJavaCATrust

   Vaihtoehtoisesti voit lisätä nämä varmenteet manuaalisesti luotettavuusankkureiksi seuraavalla komennolla:

   ADP_CLI/System/SSLCommonSettings/Trusts/BroadWorks> updateTrust

   Jos ADP päivitetään edellisestä versiosta, vanhan version varmenteiden myöntäjät tuodaan automaattisesti uuteen versioon ja niitä tuodaan, kunnes ne poistetaan manuaalisesti.

   AuthenticationService-sovellus on vapautettu validatePeerIdentity-asetuksesta ADP:_n alla. CLI/System/SSLCommonSettings/GeneralSettings, ja vahvistaa aina vertaisen identiteetin. Lisätietoja tästä asetuksesta on Cisco Broadworks X509 -varmenteen validointitoiminnon käyttöohjeessa.

5. Määritä tunnistetietojen tarjoajat suorittamalla seuraavat komennot jokaisella XSP|ADP-palvelimella:

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco> get

   • set clientId client-Id-From-Step1

   • set enabled true

   • set clientSecret client-Secret-From-Step1

   • set ciResponseBodyMaxSizeInBytes 65536

   • set issuerName — Kirjoita kohtaan URLIssuerName-URL-osoite, joka koskee CI-klusteriasi. Katso seuraavaa taulukkoa.

   • set issuerUrl — Kirjoita kohtaan URLCI-klusteriisi liittyvä IssuerUrl. Katso seuraavaa taulukkoa.

   • set tokenInfoUrl —Anna Teams-klusteriisi liittyvä IdP-välityspalvelimen URL-osoite. Katso seuraavaa toista taulukkoa.

   Taulukko 1. Aseta issuerName ja issuerURL

   Jos CI-klusteri on...	Aseta issuerName- ja issuerURL-arvoiksi...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Jos et tiedä CI-klusteriasi, voit hakea tiedot Control Hubin tukipalvelunäkymän asiakastiedoista.

   Taulukko 2. Aseta tokenInfoURL

   Jos Teams-klusteri on...	Aseta tokenInfoURL-kohdaksi...(IdP-välityspalvelimen URL-osoite)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Jos et tiedä Teams-klusteriasi, voit hakea tiedot Control Hubin tukipalvelunäkymän asiakastiedoista. Testausta varten voit varmistaa tokenInfoURL:n kelvollisuuden korvaamalla URL-osoitteen "idp/authenticate"-osan merkillä "ping".

6. Määritä Webex-käyttöoikeus, jonka on oltava Webex-käyttäjäprofiilissa, suorittamalla seuraava komento:

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Scopes> set scope broadworks-connector:user

7. Määritä Cisco Federationin identiteetintarjoajat seuraavilla komennoilla jokaisella XSP|ADP-palvelimella:

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Federation> get

   • set flsUrl https://cifls.webex.com/federation

   • set refreshPeriodInMinutes 60

   • set refreshToken refresh-Token-From-Step1

8. Suorita seuraava komento varmistaaksesi, että FLS-kokoonpanosi toimii. Tämä komento palauttaa luettelon tunnistetietojen tarjoajista:

   XSP|ADP_CLI/Applications/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Get

9. Määritä Token Management seuraavilla komennoilla jokaisella XSP|ADP-palvelimella:

   • XSP|ADP_CLI/Applications/AuthenticationService/TokenManagement>

   • set tokenIssuer BroadWorks

   • set tokenDurationInHours 720

10. Luo ja jaa RSA-avaimia. Sinun on luotava avaimet yhdelle XSP|-tiedonsiirtopäätteelle ja kopioitava ne sitten kaikkiin muihin XSP|-tiedonsiirtopäätteisiin. Tämä johtuu seuraavista tekijöistä:

    • Sinun täytyy käyttää samaa public/private avainparit tokenille encryption/decryption kaikissa todennuspalvelun instansseissa.

    • Avainpari luodaan todennuspalvelun toimesta, kun sitä ensimmäisen kerran vaaditaan tokenin myöntämiseen.

    Jos kierrätät avaimia tai muutat avaimen pituutta, sinun on toistettava seuraava määritys ja käynnistettävä kaikki XSP|ADP:t uudelleen.

    1. Valitse yksi XSP|ADP avainparin luomiseen.

    2. Käytä asiakasohjelmaa pyytääksesi salattua tunnusta kyseiseltä XSP|ADP:ltä pyytämällä seuraavaa URL-osoitetta asiakkaan selaimelta:

       https:///authService/token?key=BASE64URL(clientPublicKey)

       (Tämä luo yksityisen / julkinen avainpari XSP|ADP:ssä, jos sellaista ei jo ollut)

    3. Avainsäilön sijaintia ei voi määrittää. Vie avaimet:

       XSP|ADP_CLI/Applications/authenticationService/KeyManagement> exportKeys

    4. Kopioi viety tiedosto /var/broadworks/tmp/authService.keys samaan paikkaan muilla XSP|-ADP-laitteilla ja korvaa tarvittaessa vanhempi .keys -tiedosto.

    5. Tuo avaimet kaikkiin muihin XSP|-ADP-yksiköihin:

       XSP|ADP_CLI/Applications/authenticationService/KeyManagement> importKeys /var/broadworks/tmp/authService.keys

11. Anna verkkosäilön authService-URL-osoite. XSP|ADP:n verkkosäiliö tarvitsee authService-URL-osoitteen, jotta se voi validoida tokenit. Jokaisella XSP|ADP:llä:

    1. Lisää todennuspalvelun URL-osoite ulkoiseksi todennuspalveluksi BroadWorks Communications Utility -apuohjelmalle:

       XSP|ADP_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> set url http://127.0.0.1:80/authService

    2. Lisää todennuspalvelun URL-osoite säilöön:

       XSP|ADP_CLI/Maintenance/ContainerOptions> add tomcat bw.authservice.authServiceUrl http://127.0.0.1:80/authService

       Tämä mahdollistaa Webexin käyttää todennuspalvelua tunnistetietoina esitettyjen tokenien validointiin.

    3. Tarkista parametri painikkeella get.

    4. Käynnistä XSP|ADP uudelleen.

Poista asiakkaan todennusvaatimus todennuspalvelulta (vain R24)

Jos todennuspalvelu on määritetty CI-tunnuksen validoinnilla R24:ssä, sinun on myös poistettava todennuspalvelun asiakkaan todennusvaatimus. Suorita seuraava komentorivikäyttöliittymässä oleva komento:

ADP_CLI/Interface/Http/SSLCommonSettings/ClientAuthentication/WebApps> set AuthenticationService clientAuthReq false

TLS:n ja salausmenetelmien määrittäminen HTTP-rajapinnoissa (XSI:tä ja todennuspalvelua varten)

Todennuspalvelu-, Xsi-Actions- ja Xsi-Events-sovellukset käyttävät HTTP-palvelinrajapintoja. Näiden sovellusten TLS-konfiguroitavuustasot ovat seuraavat:

Yleisin = Järjestelmä > Kuljetus > HTTP > HTTP-palvelinrajapinta = Tarkin

Eri SSL-asetusten tarkasteluun tai muokkaamiseen käytettävät CLI-kontekstit ovat:

HTTP-palvelimen TLS-rajapinnan määritysten lukeminen XSP:ssä|ADP

1. Kirjaudu sisään XSP|ADP:hen ja siirry osoitteeseen XSP|ADP_CLI/Interface/Http/HttpServer>

2. Kirjoita get -komento ja lue tulokset. Sinun pitäisi nähdä rajapinnat (IP-osoitteet) ja kunkin kohdalla, ovatko ne suojattuja ja vaativatko ne asiakkaan todennusta.

Apache tomcat vaatii varmenteen jokaiselle suojatulle rajapinnalle; järjestelmä luo itse allekirjoitetun varmenteen tarvittaessa.

XSP|ADP_CLI/Interface/Http/HttpServer> get

TLS 1.2 -protokollan lisääminen HTTP-palvelinliittymään

Webex Cloudin kanssa vuorovaikutuksessa olevan HTTP-rajapinnan on oltava määritetty TLSv1.2:lle. Pilvi ei neuvottele TLS-protokollan aiemmista versioista.

TLSv1.2-protokollan määrittäminen HTTP-palvelinrajapinnassa:

1. Kirjaudu sisään XSP|ADP:hen ja siirry osoitteeseen XSP|ADP_CLI/Interface/Http/HttpServer/SSLSettings/Protocols>

2. Kirjoita komento get 443 nähdäksesi, mitä protokollia tässä rajapinnassa jo käytetään.

3. Syötä komento add 443 TLSv1.2 varmistaaksesi, että käyttöliittymä voi käyttää TLS 1.2:ta kommunikoidessaan pilven kanssa.

TLS-salausten määritysten muokkaaminen HTTP-palvelinliittymässä

Vaadittujen salausalgoritmien määrittäminen:

1. Kirjaudu sisään XSP|ADP:hen ja siirry osoitteeseen XSP|ADP_CLI/Interface/Http/HttpServer/SSLSettings/Ciphers>

2. Kirjoita komento get 443 nähdäksesi, mitä salausalgoritmeja tässä rajapinnassa jo käytetään. Ciscon suosittelemista paketeista on oltava vähintään yksi (katso XSP|ADP Identity and Security Requirements Yleiskatsaus-osiossa).

3. Lisää salauskoodi HTTP-palvelinrajapintaan kirjoittamalla komento add 443 .

   XSP|ADP CLI vaatii IANA:n standardin mukaisen salauspaketin nimen, ei openSSL:n salauspaketin nimeä. Esimerkiksi lisätäksesi openSSL-salauksen ECDHE-ECDSA-CHACHA20-POLY1305 HTTP-palvelinrajapintaan, käyttäisit seuraavaa: XSP|ADP_CLI/Interface/Http/HttpServer/SSLSettings/Ciphers>add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Katso https://ciphersuite.info/ löytääksesi sviitin kummallakin nimellä.

Laitehallinnan määrittäminen XSP:ssä|ADP:ssä, sovelluspalvelimessa ja profiilipalvelimessa

Profiilipalvelin ja XSP|ADP ovat pakollisia laitehallinnassa. Ne on konfiguroitava BroadWorks Device Management Configuration Guide-oppaan ohjeiden mukaisesti.