דרישות תושבות משותפת

• שירות האימות חייב להיות תושב משותף עם יישומי Xsi, מכיוון שממשקים אלה חייבים לקבל אסימונים ארוכי טווח לצורך אישור שירות. שירות האימות נדרש כדי לאמת אסימונים אלה.

• שירות אימות ו- Xsi יכולים לפעול באותה יציאה במידת הצורך.

• באפשרותך להפריד בין שירותים/יישומים אחרים כנדרש עבור קנה המידה שלך (למשל, חוות XSP|ADP ייעודית לניהול מכשירים).

• אתה יכול לאתר יחד את יישומי Xsi, CTI, שירות אימות ו- DMS.

• אל תתקין יישומים או שירותים אחרים ב- XSP|ADP המשמשים לשילוב BroadWorks עם Webex.

• אל תמקם את יישום ה- NPS יחד עם יישומים אחרים.

ממשקי Xsi

התקן וקבע את התצורה של יישומי Xsi-Actions ו- Xsi-Events כמתואר במדריך תצורת ממשק שירותי Cisco BroadWorks Xtended Services.

יש לפרוס רק מופע אחד של יישומי Xsi-Events ב- XSP|ADP המשמש לממשק CTI.

כל אירועי ה- Xsi המשמשים לשילוב Broadworks עם Webex חייבים להיות בעלי אותו CallControlApplicationName המוגדר תחת יישומים/אירועי XSI/הגדרות כלליות. לדוגמה:

adp_CLI/יישומים/אירועי XSI/הגדרות כללית> קבל

CallControlApplication Name = com.broadsoft.xsi-אירועים

כאשר משתמש מחובר ל- Webex, Webex יוצר מנוי למשתמש ב- AS כדי לקבל אירועי טלפוניה עבור נוכחות והיסטוריית שיחות. המנוי משויך ל- CallControlApplicationName וה- AS משתמש בו כדי לדעת לאיזה Xsi-Events לשלוח את אירועי הטלפוניה.

קביעת תצורה של שירות אימות (עם אימות אסימון CI)

השתמש בהליך זה כדי להגדיר את שירות האימות לשימוש באימות אסימון CI עם TLS. שיטת אימות זו מומלצת אם אתה מפעיל R22 ומעלה והמערכת שלך תומכת בה.

1. השגת אישורי OAuth עבור Webex עבור סיסקו ברודוורקס.

2. התקן את התיקונים הבאים בכל שרת XSP|ADP. התקן את התיק ונים המתאימים לשחרור שלך:

   • עבור R22:

     אפ.פלטפורמה 22.0.1123.אפ376508

     אפ.XSP.22.0.1123.אפ376508

     אפ.XSP.22.0.1123.אפ368601

   • עבור R23:

     אפ.XSP.23.0.1075.אפ376509

     אפ.פלטפורמה 23.0.1075.אפ376509

   • עבור R24 - אין צורך בתיקון

   כל התייחסות ל- XSP כוללת XSP או ADP.

3. התקן את היישום AuthenticationService בכל שירות XSP|ADP.

   1. הפעל את הפקודה הבאה כדי להפעיל את יישום AuthenticationService ב- XSP|ADP לנתיב ההקשר /AuthService.

      XSP|ADP_CLI/תחזוקה/אובייקטים מנוהלים> הפעל שירות אימות יישומים 22.0_1.1123/AuthService

   2. הפעל פקודה זו כדי לפרוס את שירות האימות ב- XSP|ADP:

      XSP | ADP_CLI/תחזוקה/אובייקטים מנוהלים> פריסת יישומ/AuthServiceמנהל התוכנה של Broadworks פריסת /AuthService...

4. החל מ- Broadworks build 2022.10, רשויות האישורים שמגיעות עם Java כבר אינן נכללות אוטומטית בחנות האמון של BroadWorks בעת המעבר לגירסה חדשה של ג'אווה. ה- AuthenticationService פותח חיבור TLS ל- Webex כדי לאחזר את אסימון הגישה, וצריך לכלול את הדברים הבאים במחסן האמון שלו כדי לאמת את כתובת ה- IDBroker ו- Webex:

   • IDEntrust שורש מסחרי CA 1

   • קדימה דאדי רוט Certificate Authority - G2

   ודא שאישורים אלה קיימים תחת ה- CLI הבא

   adp_cli/מערכת/SSLCommonהגדרות/אמונות/ברירת מחדל > קבל

   אם לא קיים, הפעל את הפקודה הבאה כדי לייבא את אמון Java המוגדר כברירת מחדל:

   adp_CLI/מערכת/SSLCommonהגדרות/אמונות/ברירת מחדל > ייבואJavaTrust

   לחלופין, באפשרותך להוסיף אישורים אלה באופן ידני כעוגני אמון באמצעות הפקודה הבאה:

   ADP_CLI/מערכת/SSLהגדרות משותפות/אמונות/עבודות רחבות> עדכון אמון <alias><trustAnchorFile>

   אם ה- ADP משודרג ממהדורה קודמת, רשויות האישורים מהמהדורה הישנה מיובאות אוטומטית למהדורה החדשה וימשיכו לייבא עד להסרתן ידנית.

   היישום AuthenticationService פטור מההגדרה ValidatePeerIdentity תחת ADP_CLI/System/SSLCommonSettings/GeneralSettings, ותמיד מאמת את זהות העמית. לקבלת מידע נוסף על הגדרה זו, עיין ב- FD אימות תעודות של Cisco Broadworks X509.

5. הגדר את ספקי הזהות על-ידי הפעלת הפקודות הבאות בכל שרת XSP|ADP:

   XSP | ADP_CLI/יישומים/אימות/ספקי זהות/Cisco> קבל

   • הגדר מזהה לקוח מסוג לקוח משלב 1

   • הגדר מופעל נכון

   • הגדר לקוח סודי לקוח-משלב 1

   • הגדרת סירספונסגוס מקסימאסיזבייטים 65536

   • הגדר שם מנפיק <URL>—עבור כתובת האתר, הז ן את כתובת האתר של שם הנפיק שחלה על אשכול CI שלך. ראה טבלה הבאה.

   • הגדר את IssuerURL <URL>—עבור כתובת האתר, הז ן את כתובת האתר של הנפיק שחלה על אשכול CI שלך. ראה את הטבלה הבאה.

   • הגדר tokenInFourl <IdPProxy URL>—הזן את כתובת ה- Proxy של IdP שחלה על אשכול הצוותים שלך. ראה את הטבלה השנייה שלהלן.

   טבלה 1. הגדרת שם מנפיק וכתובת האתר של מנפיק

   אם אשכול CI הוא...	הגדר את שם הנפיק ואת כתובת האתר של הנפיק ל...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   אם אינך מכיר את אשכול ה- CI שלך, תוכל לקבל את המידע מפרטי הלקוח בתצוגת Help Desk של Control Hub.

   טבלה 2. הגדר אסימונים בפורל

   אם אשכול צוותים הוא...	הגדר את הטוקןאינפורל ל... (כתובת אתר פרוקסי של IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   אם אינך מכיר את אשכול הצוו תים שלך, תוכל לקבל את המידע מפרטי הלקוח בתצוגת Help Desk של Control Hub. לבדיקה, באפשרותך לוודא כי ה- TokenInfoURL תקף על ידי החלפת החלק "idp/authenticate" בכתובת האתר ב - "ping".

6. ציין את זכאות Webex שחייבת להיות קיימת בפרופיל המשתמש ב- Webex על-ידי הפעלת הפקודה הבאה:

   xsp|ADP_CLI/יישומים/אימות/שירותים/ספקי זהות/Cisco/היקפות> הגדר היקף מחבר-רחבים:משתמש

7. הגדר ספקי זהות עבור Cisco Federation באמצעות הפ קודות הבאות בכל שרת XSP|ADP:

   XSP | ADP_CLI/יישומים/אימות/שירותים/ספקי זהות/Cisco/פדרה> קבל

   • הגדר FLSurl https://cifls.webex.com/federation

   • הגדר תקופת רענון בדקות 60

   • הגדר טופס רענון RefreshToken משלב 1

8. הפעל את הפקודה הבאה כדי לאמת שתצורת ה- FLS שלך פועלת. פקודה זו תחזיר את רשימת ספקי הזהות:

   xsp|ADP_CLI/יישומים/שירותי אישור/ספקי זהות/Cisco/פדרציה/מפת אשכולת> קבל

9. קביעת תצורה של ניהול אסימונים באמצעות הפקודות הבאות בכל שרת XSP|ADP:

   • XSP | ADP_CLI/יישומים/שירותי אימות/ניהול אסימון>

   • הגדר אסימוןמנפיק ברודוורקס

   • הגדר את משך הסמןבשעות 720

10. צור ושתף מפתחות RSA. עליך ליצור מפתחות ב- XSP|ADP אחד ואז להעתיק אותם לכל שאר XSP|ADPs. זאת בשל הגורמים הבאים:

    • עליך להשתמש באותם זוגות מפתחות ציבוריים/פרטיים להצפנה/פענוח אסימונים בכל המופעים של שירות האימות.

    • זוג המפתחות נוצר על ידי שירות האימות כאשר הוא נדרש לראשונה להנפיק אסימון.

    אם אתה מחליף מקשים או משנה את אורך המפתח, עליך לחזור על התצורה הבאה ולהפעיל מחדש את כל ה- XSP|ADP.

    1. בחר XSP|ADP אחד שישמש ליצירת זוג מפתחות.

    2. השתמש בלקוח כדי לבקש אסימון מוצפן מאותו XSP|ADP, על ידי בקשת כתובת האתר הבאה מהדפדפן של הלקוח:

       https://<XSP|ADP-IPAddress>/authService/token? מפתח = בסיס64URL (מפתח ציבורי לקוח)

       (זה יוצר זוג מפתחות פרטי/ציבורי ב- XSP|ADP, אם כבר לא היה כזה)

    3. מיקום חנות המפתחות אינו ניתן להגדרה. ייצא את המקשים:

       XSP|ADP_CLI/יישומים/שירותי אימות/ניהול מפתחים> מפתחות ייצוא

    4. העתק את הקובץ המיוצא /var/Broadworks/tmp/AuthService.keys לאותו מיקום ב- XSP|ADPS האחרים, ו החלף קובץ ישן יותר של .keys במידת הצורך.

    5. ייבא את המפתחות בכל אחד מ- XSP|ADPs האחרים:

       xsp| ADP_CLI/יישומים/שירותי אימות/ניהול מפתחים> מפתחות ייבוא/VAR/הרחבות/TMP/AuthService.Keys

11. ספק את כתובת ה- AuthService למיכל האינטרנט. מיכל האינטרנט של XSP|ADP זקוק לכתובת האתר AuthService כדי שיוכל לאמת אסימונים. בכל אחד מ- XSP|ADPs:

    1. הוסף את כתובת האתר של שירות האימות כשירות אימות חיצוני עבור כלי התקשורת של BroadWorks:

       xsp|ad p_cli/מערכת/כלי תקשורת/הגדרות ברירת מחדל/אימות חיצוני/AuthService> הגדר כתובת אתר http://127.0.0.1:80/authService

    2. הוסף את כתובת האתר של שירות האימות למיכל:

       xsp|adp _cli/תחזוקה/אפשרויות מכולה> הוסף את Tomcat BW.AuthService.AuthServiceURL http://127.0.0.1:80/authService

       פעולה זו מאפשרת ל- Webex להשתמש בשירות האימות כדי לאמת אסימונים המוצגים כאישורים.

    3. בדוק את הפרמטר עם get.

    4. הפעל מחדש את ה- XSP|ADP.

הסר דרישת אימות לקוח עבור שירות אימות (R24 בלבד)

אם שירות האימות מוגדר עם אימות CI Token ב- R24, עליך גם להסיר את דרישת אימות הלקוח עבור שירות האימות. הפעל את הפקודה הבאה של CLI:

adp_CLI/ממשק/HTTP/SSLCommonהגדרות/אימות לקוח/אפליקציות Web> הגדר אימותשירות לקוח AuthReq שקר <interfaceIp><port>

קביעת תצורה של TLS וצופנים בממשקי HTTP (עבור XSI ושירות אימות)

יישומי שירות האימות, פעולות Xsi ו- Xsi-Events משתמשים בממשקי שרת HTTP. רמות התצורה של TLS עבור יישומים אלה הן כדלקמן:

כללי ביותר = מערכת > תחבורה > HTTP > ממשק שרת HTTP = הספציפי ביותר

ההקשרים של CLI שבהם אתה משתמש כדי להציג או לשנות את הגדרות SSL השונות הם:

קריאת תצורת ממשק TLS של שרת HTTP ב- XSP|ADP

1. היכנס ל- XSP|ADP ונווט אל XSP|ADP_CLI/ממשק/HTTP/HTTP/HTTPשר>

2. הזן את הפקודה get וקרא את התוצאות. אתה אמור לראות את הממשקים (כתובות IP), ועבור כל אחד מהם, האם הם מאובטחים ו האם הם דורשים אימות לקוח.

Apache tomcat מחייב אישור לכל ממשק מאובטח; המערכת מייצרת אישור חתום בעצמה אם היא זקוקה לאחד.

XSP|ADP_CLI/Interface/Http/HttpServer> get

הוספת פרוטוקול TLS 1.2 לממשק שרת HTTP

יש להגדיר את ממשק HTTP המקיים אינטראקציה עם ענן Webex עבור TLSv1.2. הענן אינו מנהל משא ומתן על גרסאות קודמות של פרוטוקול TLS.

כדי להגדיר את פרוטוקול TLSv1.2 בממשק שרת HTTP:

1. היכנס ל- XSP|ADP ונווט אל XSP|ADP_CLI/ממשק/HTTP/HTTP/HTTPשר/SSLהגדרות/פרוטוקולים>

2. הזן את הפקודה קבל 443 <interfaceIp>כדי לראות אילו פרוטוקולים כבר משמשים בממשק זה.

3. הזן את הפקודה הוסף 443 TLSv1.2 כדי <interfaceIp>להבטיח שהממשק יכול להשתמש ב- TLS 1.2 בעת תקשורת עם הענן.

עריכת תצורת צופן TLS בממשק שרת HTTP

כדי להגדיר את הצופנים הנדרשים:

1. היכנס ל- XSP|ADP ונווט אל XSP|ADP_CLI/ממשק/HTTP/HTTP/HTTPשר/SSLהגדרות/צופנות>

2. הזן את הפקודה קבל 443 <interfaceIp>כדי לראות אילו צופנים כבר משמשים בממשק זה. חייבת להיות לפחות אחת מהחבילות המומלצות של סיסקו (ראה דרישות זהות ואבטחה של XSP|ADP בסעיף סקירה כללית).

3. הזן את הפקודה הוסף 443 <interfaceIp><cipherName>כדי להוסיף צופן למ משק שרת HTTP.

   CLI XSP|ADP דורש את שם חבילת הצופן הסטנדרטית של IANA, לא את שם חבילת הצופן OpenSSL. לדוגמה, כדי להוסיף את צופן OpenSSL ECDHE- ECDSA-CHACHA20-POLY1305 לממשק שרת HTTP, עליך להשתמש ב: XSP|ADP_CLI/ממשק/HTTP/HTTP/HTTPשר/SSLהגדרות/צופנות> להוסיף 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   ראה https://ciphersuite.info/ כדי למצוא את הסוויטה בשני השמות.

קביעת תצורה של ניהול התקנים ב- XSP|ADP, שרת יישומים ושרת פרופילים

שרת פרופיל ו- XSP|ADP הם חובה לניהול התקנים. יש להגדיר אותם בהתאם להוראות במד ריך התצורה לניהול התקנים של BroadWorks.