Exigences de co-résidence

• Le service d'authentification doit être co-résident avec les applications Xsi, car ces interfaces doivent accepter des jetons à longue durée de vie pour l'autorisation du service. Le service d'authentification est requis pour valider ces jetons.

• Le service d'authentification et Xsi peuvent fonctionner sur le même port si nécessaire.

• Vous pouvez séparer les autres services/applications selon les besoins de votre balance (ferme XSP|ADP dédiée à la gestion des appareils, par exemple).

• Vous pouvez partager les applications Xsi, CTI, Authentication Service et DMS.

• N'installez pas d'autres applications ou services sur le XSP|ADP qui sont utilisés pour intégrer BroadWorks à Webex.

• Ne colocalisez pas l'application NPS avec d'autres applications.

Interfaces XSI

Installez et configurez les applications Xsi-Actions et Xsi-Events comme décrit dans le guide de configuration de l'interface Cisco BroadWorks Xtended Services.

Une seule instance des applications Xsi-Events doit être déployée sur le XSP|ADP utilisé pour l'interface CTI.

Tous les événements Xsi utilisés pour intégrer Broadworks à Webex doivent avoir le même CallControlApplicationName défini dans Applications/XSI-Events/GeneralSettings. Par exemple :

ADP_CLI/Applications/XSI-Events/GeneralSettings > obtenir

CallControlApplicationName = com.broadsoft.xsi-events

Lorsqu'un utilisateur est intégré à Webex, Webex lui crée un abonnement sur l'AS afin de recevoir les événements téléphoniques relatifs à la présence et à l'historique des appels. L'abonnement est associé au CallControlApplicationName et l'AS l'utilise pour savoir à quels Xsi-Events envoyer les événements téléphoniques.

Configurer le service d'authentification (avec validation des jetons CI)

Suivez cette procédure pour configurer le service d'authentification afin qu'il utilise la validation des jetons CI avec TLS. Cette méthode d'authentification est recommandée si vous utilisez la version R22 ou supérieure et que votre système la prend en charge.

1. Obtenir des informations d'identification OAuth pour votre Webex pour Cisco BroadWorks.

2. Installez les correctifs suivants sur chaque serveur XSP|ADP. Installez les patchs adaptés à votre version :

   • Pour la R22 :

     AP.Platform.22.0.1123.AP376508

     AP.xsp.22.0.1123.AP376508

     AP.xsp.22.0.1123.AP368601

   • Pour la R23 :

     AP.xsp.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Pour R24, aucun patch n'est requis

   Toute référence à XSP inclut XSP ou ADP.

3. Installez l'application AuthenticationService sur chaque service XSP|ADP.

   1. Exécutez la commande suivante pour activer l' application AuthenticationService sur le XSP|ADP vers le chemin contextuel /AuthService.

      XSP|ADP_CLI/Maintenance/ManagedObjects > Activez le service d'authentification de l'application 22.0_1.1123/AuthService

   2. Exécutez cette commande pour déployer le AuthenticationService sur le XSP|ADP :

      XSP|ADP_CLI/Maintenance/ManagedObjects > déployer l'application /AuthServiceBroadworks SW Manager déployant /AuthService...

4. À partir de la version 2022.10 de Broadworks, les autorités de certification fournies avec Java ne sont plus automatiquement incluses dans le BroadWorks Trust Store lors du passage à une nouvelle version de Java. Le AuthenticationService ouvre une connexion TLS à Webex pour récupérer le jeton d'accès, et a besoin des informations suivantes dans sa boutique de confiance pour valider l'IDBroker et l'URL Webex :

   • IdentiTrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Vérifiez que ces certificats sont présents dans l'interface de ligne de commande suivante

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> obtenir

   S'il n'est pas présent, exécutez la commande suivante pour importer les approbations Java par défaut :

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> Importer JavacaTrust

   Vous pouvez également ajouter manuellement ces certificats en tant qu'ancres de confiance à l'aide de la commande suivante :

   ADP_CLI/System/SSLCommonSettings/Trusts/BroadWorks > Mettre à jour Trust <alias><trustAnchorFile>

   Si l'ADP est mis à niveau par rapport à une version précédente, les autorités de certification de l'ancienne version sont automatiquement importées vers la nouvelle version et continueront d'être importées jusqu'à ce qu'elles soient supprimées manuellement.

   L'application AuthenticationService est exemptée du paramètre ValidatePeerIdentity sous ADP_CLI/System/SSLCommonSettings/GeneralSettings, et valide toujours l'identité de l'homologue. Consultez le CD de validation du certificat Cisco Broadworks X509 pour plus d'informations sur ce paramètre.

5. Configurez les fournisseurs d'identité en exécutant les commandes suivantes sur chaque serveur XSP|ADP :

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco> obtenir

   • définir l'identifiant client à partir de l'étape 1

   • set enabled true

   • définir ClientSecret Client-Secret-from-Step1

   • set CIResponseBodyMaxSizeInBytes 65536

   • set IssuerName <URL>—Pour l'URL, saisissez l'URL IssuerName qui s'applique à votre CI Cluster. Voir le tableau suivant.

   • set issuerURL —Pour l'URL<URL>, saisissez l'IssuerURL qui s'applique à votre CI Cluster. Voir le tableau suivant.

   • set TokenInfoURL : saisissez l'URL du proxy IdP qui s'applique à votre <IdPProxy URL>cluster Teams. Voir le deuxième tableau qui suit.

   Tableau 1. Définissez IssuerName et IssuerURL

   Si CI Cluster est...	Définissez IssuerName et IssuerURL sur...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Si vous ne connaissez pas votre cluster CI, vous pouvez obtenir les informations dans les informations relatives au client dans la vue Help Desk de Control Hub.

   Tableau 2. Définir le jeton en forme d'URL

   Si Teams Cluster est...	Réglez TokenInfoURL sur... (URL du proxy IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Si vous ne connaissez pas votre cluster Teams, vous pouvez obtenir les informations dans les informations relatives au client dans la vue Help Desk de Control Hub. À des fins de test, vous pouvez vérifier la validité du TokenInfoURL en remplaçant la partie « idp/authenticate » de l'URL par « ping ».

6. Spécifiez le droit Webex qui doit figurer sur le profil utilisateur de Webex en exécutant la commande suivante :

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Scopes> Set Scope Broadworks-Connector:user

7. Configurez les fournisseurs d'identité pour Cisco Federation à l'aide des commandes suivantes sur chaque serveur XSP|ADP :

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Federation > obtenir

   • définissez FLsURL https://cifls.webex.com/federation

   • définir la période de rafraîchissement en minutes 60

   • définir RefreshToken RefreshToken-from-Step1

8. Exécutez la commande suivante pour vérifier que votre configuration FLS fonctionne. Cette commande renverra la liste des fournisseurs d'identité :

   XSP|ADP_CLI/Applications/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Obtenir

9. Configurez la gestion des jetons à l'aide des commandes suivantes sur chaque serveur XSP|ADP  :

   • XSP|ADP_CLI/Applications/AuthenticationService/TokenManagement >

   • set TokenIsher BroadWorks

   • durée définie en heures 720

10. Générez et partagez des clés RSA. Vous devez générer des clés sur un XSP|ADP, puis les copier sur tous les autres XSP|ADP. Cela est dû aux facteurs suivants :

    • Vous devez utiliser les mêmes paires de clés publiques/privées pour le chiffrement/déchiffrement des jetons sur toutes les instances du service d'authentification.

    • La paire de clés est générée par le service d'authentification lorsqu'il est requis pour la première fois pour émettre un jeton.

    Si vous modifiez les touches ou si vous modifiez leur longueur, vous devez répéter la configuration suivante et redémarrer tous les XSP|ADP.

    1. Sélectionnez un XSP|ADP à utiliser pour générer une paire de clés.

    2. Utilisez un client pour demander un jeton crypté à ce XSP|ADP, en demandant l' URL suivante depuis le navigateur du client :

       https://<XSP|ADP-IPAddress>/authService/token ? key=Base64URL (ClientPublicKey)

       (Cela génère une paire de clés privée/publique sur le XSP|ADP, s'il n'y en avait pas déjà une)

    3. L'emplacement du magasin clé n'est pas configurable. Exportez les clés :

       XSP|ADP_CLI/Applications/AuthenticationService/KeyManagement> Exporter des clés

    4. Copiez le fichier exporté /var/Broadworks/tmp/AuthService.keys au même endroit sur les autres fichiers XSP|ADPS, en remplaçant un ancien fichier .keys si nécessaire.

    5. Importez les clés de chacun des autres XSP|ADP :

       XSP|ADP_CLI/Applications/AuthenticationService/KeyManagement> Import Keys/var/Broadworks/tmp/AuthService.keys

11. Fournissez l'URL AuthService du conteneur Web. Le conteneur Web du XSP|ADP a besoin de l'URL AuthService pour valider les jetons. Sur chacun des XSP|ADP :

    1. Ajoutez l'URL du service d'authentification en tant que service d'authentification externe pour l'utilitaire BroadWorks Communications :

       XSP|ADP_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> définir l'URL http://127.0.0.1:80/authService

    2. Ajoutez l'URL du service d'authentification au conteneur :

       XSP|ADP_CLI/Maintenance/ContainerOptions> Ajoutez Tomcat BW.AuthService.AuthServiceUrl http://127.0.0.1:80/authService

       Cela permet à Webex d'utiliser le service d'authentification pour valider les jetons présentés comme informations d'identification.

    3. Vérifiez le paramètre avec get.

    4. Redémarrez le XSP|ADP.

Supprimer l'obligation d'authentification du client pour le service d'authentification (R24 uniquement)

Si le service d'authentification est configuré avec la validation par jeton CI sur R24, vous devez également supprimer l'exigence d'authentification du client pour le service d'authentification. Exécutez la commande CLI suivante :

ADP_CLI/Interface/HTTP/SSLcommonSettings/ClientAuthentication/WebApps> définir AuthenticationService ClientAuthReq sur false <interfaceIp><port>

Configuration du protocole TLS et des chiffrements sur les interfaces HTTP (pour le XSI et le service d'authentification)

Les applications Authentication Service, Xsi-Actions et Xsi-Events utilisent des interfaces de serveur HTTP. Les niveaux de configurabilité TLS pour ces applications sont les suivants :

Le plus général = Système > Transport > HTTP > Interface du serveur HTTP = Le plus spécifique

Les contextes de la CLI que vous utilisez pour afficher ou modifier les différents paramètres SSL sont les suivants :

Lire la configuration de l'interface TLS du serveur HTTP sur le XSP|ADP

1. Connectez-vous au XSP|ADP et accédez à XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Entrez la commande get et lisez les résultats. Vous devriez voir les interfaces (adresses IP) et, pour chacune, si elles sont sécurisées et si elles nécessitent une authentification du client.

Apache Tomcat impose un certificat pour chaque interface sécurisée ; le système génère un certificat auto-signé s'il en a besoin.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Ajouter le protocole TLS 1.2 à l'interface du serveur HTTP

L'interface HTTP qui interagit avec le Webex Cloud doit être configurée pour TLSv1.2. Le cloud ne négocie pas les versions antérieures du protocole TLS.

Pour configurer le protocole TLSv1.2 sur l'interface du serveur HTTP :

1. Connectez-vous au XSP|ADP et accédez à XSP|ADP_CLI/interface/http/http/httpserver/SSLSettings/Protocols>

2. Entrez la commande get 443 <interfaceIp>pour voir quels protocoles sont déjà utilisés sur cette interface.

3. Entrez la commande add 443 TLSv1.2 <interfaceIp>pour vous assurer que l'interface peut utiliser le TLS 1.2 lorsqu'elle communique avec le cloud.

Modifier la configuration des chiffrements TLS sur l'interface du serveur HTTP

Pour configurer les chiffrements requis :

1. Connectez-vous au XSP|ADP et accédez à XSP|ADP_CLI/interface/http/http/httpserver/SSLSettings/Ciphers>

2. Entrez la commande get 443 <interfaceIp>pour voir quels chiffrements sont déjà utilisés sur cette interface. Il doit y en avoir au moins une des suites recommandées par Cisco (voir Exigences en matière d'identité et de sécurité XSP|ADP dans la section Présentation).

3. Entrez la commande add 443 <interfaceIp><cipherName>pour ajouter un code à l' interface du serveur HTTP.

   La CLI XSP|ADP nécessite le nom de la suite de chiffrement standard de l'IANA, et non le nom de la suite de chiffrement OpenSSL. Par exemple, pour ajouter le code OpenSSL ECDHE-ECDSA-CHACHA20-POLY1305 à l'interface du serveur HTTP, vous devez utiliser : XSP|ADP_CLI/interface/http/http/httpserver/SSLSettings/ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Consultez https://ciphersuite.info/ pour trouver la suite, quel que soit son nom.

Configurer la gestion des appareils sur XSP|ADP, le serveur d'applications et le serveur de profils

Profile Server et XSP|ADP sont obligatoires pour la gestion des appareils. Ils doivent être configurés conformément aux instructions du guide de configuration de BroadWorks Device Management.