Együtt tartózkodási követelmények

• A hitelesítési szolgáltat ásnak együtt kell lennie az Xsi alkalmazásokkal, mivel ezeknek az interfészeknek hosszú élettartamú tokeneket kell elfogadniuk a szolgáltatás engedélyezéséhez. A hitelesítési szolgáltatás szükséges a tokenek érvényesítéséhez.

• A hitelesítési szolgáltatás és az Xsi ugyanazon a porton futhat, ha szükséges.

• A többi szolgáltatást vagy alkalmazást a méretarányhoz szükséges módon elkülönítheti (például dedikált eszközkezelő XSP|ADP farm).

• Az Xsi, a CTI, az Authentication Service és a DMS alkalmazásokat is megtalálhatja.

• Ne telepítsen más alkalmazásokat vagy szolgáltatásokat az XSP|ADP-kre, amelyeket a BroadWorks és a Webex integrál ására használnak.

• Ne helyezze el együtt az NPS alkalmazást semmilyen más alkalmazással.

Xsi interfészek

Telepítse és konfigurálja az Xsi-Actions és az Xsi-Events alkalmazásokat a Cisco Broad Works Xtended Services Interface Configuration Guide című dokumentumban leírtak szerint.

Az XSI-Events alkalmazások közül csak egy példányt kell telepíteni a CTI interfészhez használt XSP|ADP-n .

A Broadworks és a Webex integrálásához használt összes XSI-eseménynek ugyanazzal a CallControlApplicationName kell rendelkeznie, amelyet az Applications/XSI-Events/GeneralSettings alatt definiálnak. Például:

ADP_CLI/Alkalmazások/XSI-események/Általános beállítások> beszerezés

CallControlApplicationName = com.broadsoft.xsi-események

Amikor egy felhasználó bekapcsolódik a Webex-be, a Webex előfizetést hoz létre a felhasználó számára az AS-n annak érdekében, hogy telefonos eseményeket fogadjon a jelenlét és a hívások előzményeire vonatkozóan. Az előfizetés a CallControlApplicationName programhoz van társítva, és az AS azt használja arra, hogy tudja, melyik Xsi-Events-hez küldi el a telefonos eseményeket.

Hitelesítési szolgáltatás konfigurálása (CI Token érvényesítéssel)

Ezzel az eljárással konfigurálhatja a hitelesítési szolgáltatást a CI Token Validation használatához TLS-sel. Ez a hitelesítési módszer akkor ajánlott, ha az R22 vagy újabb verziót futtatja, és a rendszer támogatja azt.

1. OAuth hitelesítő adatok beszerzése a Webex for Cisco BroadWorks számára.

2. Telepítse a következő javításokat minden XSP|ADP kiszolgálóra. Telepítse a kiadásnak megfelelő javításokat:

   • Az R22 esetében:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     Ap.XSP.22.0.1123.AP368601

   • Az R23 esetében:

     Ap.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • R24 esetén — nincs szükség javításra

   Az XSP-re való bármely hivatkozás magában foglalja az XSP-t vagy az ADP-t.

3. Telepítse az AuthenticationService alkalmazást minden XSP|ADP szolgáltatásra.

   1. Futtassa a következő parancsot az XSP|ADP AuthenticationService alkalmazás aktiválásához a /AuthService környezeti útvonalra.

      XSP|ADP_CLI/Maintenance/ManageDObjects> aktiválja az alkalmazás-hitelesítési szolgáltatást 22.0_1.1123/AuthService

   2. Futtassa ezt a parancsot az AuthenticationService XSP|ADP rendszeren történő telepítéséhez:

      XSP|ADP_CLI/Maintenance/ManageDObjects> alkalmazás telepítése /AuthServiceBroadworks SW Manager telepítése /AuthService...

4. A Broadworks build 2022.10 verziójától kezdve a Java-val érkező tanúsítványok már nem kerülnek automatikusan a BroadWorks megbízhatósági áruházba, amikor a java új verziójára váltunk. A hitelesítési szolgáltatás TLS-kapcsolatot nyit meg a Webex-hez a hozzáférési token letöltéséhez, és az IDBroker és a Webex URL-ek érvényesítéséhez az alábbiaknak kell lennie a megbízhatóságában:

   • IDentrust Kereskedelmi gyökér CA 1

   • Go Daddy Root Certificate Authority - G2

   Ellenőrizze, hogy ezek a tanúsítványok a következő CLI-ben vannak-e jelen

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> beszerezés

   Ha nincs jelen, futtassa a következő parancsot az alapértelmezett Java-megbízhatóságok importálásához:

   ADP_CLI/Rendszer/SSLCommonSettings/Trusts/Defaults> ImportJavaCatRust

   Alternatív megoldásként a következő paranccsal manuálisan is hozzáadhatja ezeket a tanúsítványokat megbízhatósági horgonyokként:

   ADP_CLI/Rendszer/SSLCommonSettings/Trusts/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Ha az ADP-t egy korábbi kiadásról frissítik, akkor a régi kiadásból származó tanúsító hatóságok automatikusan importálódnak az új kiadásba, és továbbra is importálják őket, amíg manuálisan nem távolítják el őket.

   A AuthenticationService alkalmazás mentesül az ADP_CLI/System/SSLCommonSettings/GeneralSettings alatt a ValidatePeerIdentity beállítás alól, és mindig érvényesíti a peer identitást. A beállítással kapcsolatos további információkért lásd a Cisco Broadworks X509 Certificate Validation FD- t.

5. Az Identity Providers konfigurálása a következő parancsok futtatásával minden XSP|ADP kiszolgálón:

   XSP | ADP_CLI/Alkalmazások/AuthenticationService/IdentityProviders/CISCO> beszerezés

   • ügyfélazonosító beállítása az 1-lépésből

   • beállítás engedélyezve igaz

   • beállítsa az ClientSecret Client-Secret-from-Step-1

   • CIResponseBodyMaxSizeInBytes beállítása 65536

   • állítsa be a kibocsátónev <URL>et — Az URL -hez adja meg a CI-klaszterre alkalmazandó IssuerName URL-t. Lásd az alábbi táblázatot.

   • állítsa be a kibocsátóURL <URL>-t — Az URL -hez adja meg a CI-klaszterre alkalmazandó kiadóURL-t. Lásd az alábbi táblázatot.

   • set TokenInFourl <IdPProxy URL>— Adja meg a Teams Klaszterre vonatkozó iDP Proxy URL-címet. Lásd a következő második táblázatot.

   Táblázat 1. Adja meg a kibocsátónevet és a kibocsátóURL-t

   Ha a CI Cluster...	Állítsa be az IssuerName és az IssuerURL értéket...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Ha nem ismeri a CI- klaszter t, az információkat az Ügyfél adataiból szerezheti be a Vezérlőközpont Help Desk nézetében.

   Táblázat 2. TokenInFourl készlet

   Ha a Teams Cluster...	Állítsa a TokeninFourl-t... (IDP proxy URL-címe)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Ha nem ismeri a Teams-klas ztert, az információkat az Ügyfél adataiból szerezheti be a Vezérlőközpont Help Desk nézetében. A teszteléshez ellenőrizheti, hogy a TokenInFourl érvényes-e, ha az URL "idp/hitelesítés" részét helyettesíti a "ping” -re.

6. A következő parancs futtatásával adja meg azt a Webex-jogosultságot, amelynek meg kell jelennie a Webex felhasználói profiljában:

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/CISCO/Scopes> beállított hatókör széleskör-csatlakozó:felhasználó

7. A Cisco Federation Identity Providers konfigurálása a következő parancsokkal minden XSP|ADP kiszolgálón:

   XSP | ADP_CLI/Applications/AuthenticationService/IdentityProviders/CISCO/Federation> get

   • FLsURL készlet https://cifls.webex.com/federation

   • beállítsa a RefreshPeriodInMinutes 60

   • beállítsa a RefreshToken frissítési token-from-lépés1

8. Futtassa a következő parancsot annak ellenőrzéséhez, hogy az FLS-konfiguráció működik-e. Ez a parancs visszaadja az identitás-szolgáltatók listáját:

   XSP | ADP_CLI/Alkalmazások/AuthService/IdentityProviders/CISCO/Federation/ClusterMap> Get

9. Konfigurálja a Tokenkezelést az alábbi parancsokkal az egyes XSP| ADP kiszolgálókon:

   • XSP|ADP_CLI/Alkalmazások/Hitelesítési szolgáltatás/Tokenkezelés>

   • tokenkészletIssue BroadWorks

   • Set TokEndurationInHours 720

10. RSA kulcsok létrehozása és megosztása. Egy XSP|ADP-n kell létrehoznia kulcsokat, majd másolnia kell azokat az összes többi XSP|ADP- re. Ez a következő tényezőknek köszönhető:

    • Ugyanazokat a nyilvános/privát kulcspárokat kell használnia a token titkosításához/visszafejtéséhez a hitelesítési szolgáltatás minden példányában.

    • A kulcspárt a hitelesítési szolgáltatás hozza létre, amikor először egy token kiadására van szükség.

    Ha bekapcsolja a billentyűket vagy megváltoztatja a billentyűhossz, meg kell ismételnie a következő konfigurációt, és újra kell indítania az összes XSP|ADP-t.

    1. Válasszon ki egy XSP|ADP-t, amelyet kulcspár létrehozásához használhat.

    2. Az ügyfél használatával titkosított tokenet kérhet az adott XSP|ADP-től, a következő URL-et kérve az ügyfél böngészőjéből:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (ClientPublicKey)

       (Ez egy privát/nyilvános kulcspárt hoz létre az XSP|ADP-n, ha még nem volt ilyen)

    3. A kulcstár helye nem konfigurálható. A kulcsok exportálása:

       XSP | ADP_CLI/Alkalmazások/Hitelesítési szolgáltatás/Kulcskezelés> Exportkulcsok

    4. Másolja az exportált /var/Broadworks/tmp/AuthService.keys fájlt ugyanarra a helyre a másik XSP|ADPS-en, és szükség esetén felülírja a régebbi .keys fájlt.

    5. Importálja a kulcsokat a többi XSP|ADP-re:

       XSP | ADP_CLI/Alkalmazások/Hitelesítési szolgáltatás/Kulcskezelés> Importkulcsok /var/Broadworks/TMP/AuthService.keys

11. Adja meg az AuthService URL-t a webtárolóhoz. Az XSP|ADP webtárolójának szüksége van az AuthService URL-re, hogy érvényesíthesse a tokeneket. Mindegyik XSP|ADP-n:

    1. Adja hozzá a hitelesítési szolgáltatás URL-jét külső hitelesítési szolgáltatásként a BroadWorks Communications segédprogramhoz:

       XSP|AD P_CLI/Rendszer/Kommunikációs segédprogram/Alapértelmezett beállítások/Külső hitelesítés/AuthService> url beállítása http://127.0.0.1:80/authService

    2. Adja hozzá a hitelesítési szolgáltatás URL-jét a tárolóhoz:

       XSP|ADP_CLI/Maintenance/ContainerOptions> adjon hozzá tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       Ez lehetővé teszi a Webex számára, hogy a hitelesítési szolgáltatást használja hitelesítő adatként bemutatott tokenek érvényesítésére.

    3. Ellenőrizze a paramétert a get segítségével.

    4. Indítsa újra az XSP|ADP-t.

Távolítsa el az ügyfélhitelesítési követelményt az Auth szolgáltatáshoz (csak R24)

Ha a hitelesítési szolgáltatást a CI Token érvényesítéssel konfigurálta az R24-en, akkor el kell távolítania a hitelesítési szolgáltatás ügyfélhitelesítési követelményét is. Futtassa a következő CLI parancsot:

ADP_CLI/Interfész/HTTP/SSLCommonSettings/Ügyfélhitelesítés/Webalkalmazások> hitelesítési szolgáltatási ügyfélAuthreq hamis beállítása <interfaceIp><port>

TLS és titkosítások konfigurálása a HTTP interfészeken (XSI és hitelesítési szolgáltatás esetén)

A hitelesítési szolgáltatás, az Xsi-Actions és az Xsi-Events alkalmazások HTTP-kiszolgáló interfészeket használnak . Ezen alkalmazások TLS konfigurálhatóságának szintjei a következők:

Legáltalánosabb = Rendszer > Szállítás > HTTP > HTTP szerver interfész = Legspecifikusabb

A különböző SSL beállítások megtekintéséhez vagy módosításához használt CLI-összefüggések a következők:

A HTTP-kiszolgáló TLS interfész konfigurációjának olvasása az XSP|ADP rendszeren

1. Jelentkezzen be az XSP|ADP-be, és keresse meg az XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Írja be a get par ancsot, és olvassa el az eredményeket. Látnia kell az interfészeket (IP-címeket), és mindegyiknél azt, hogy biztonságosak-e, és igényel nek-e kliens hitelesítést.

Az Apache tomcat minden biztonságos felületre tanúsítványt ír elő; a rendszer önaláírt tanúsítvá nyt generál, ha szüksége van rá.

XSP|ADP_CLI/Interface/Http/HttpServer> get

TLS 1.2 protokoll hozzáadása a HTTP-kiszolgál ó felületéhez

A Webex Cloud szolgáltatással kölcsönhatásba lépő HTTP-felületet konfigurálni kell a TLSv1.2-hez. A felhő nem tárgyalja a TLS protokoll korábbi verzióit.

A TLSv1.2 protokoll konfigurálása a HTTP-kiszolgáló felületén:

1. Jelentkezzen be az XSP|ADP-be, és keresse meg az XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Protocols> oldalt

2. Írja be a get 443 par <interfaceIp>ancsot, hogy megnézze, mely protokollokat használják már ezen a felületen.

3. Írja be a 443 TLSv1.2 add <interfaceIp>parancsot annak biztosításához, hogy a felület használhassa a TLS 1.2-t a felhővel való kommunikáció során.

TLS-titkosítók konfigurációjának szerkesztése a HTTP-kiszolgáló felületén

A szükséges titkosítók konfigurálása:

1. Jelentkezzen be az XSP|ADP-be, és keresse meg az XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers> oldalt

2. Írja be a get 443 par <interfaceIp>ancsot, hogy megnézze, mely titkosításokat használnak már ezen a felületen. A Cisco által ajánlott csomagok közül legalább egynek kell lennie (lásd az XSP|ADP azonosítási és biztonsági követelményeit az Áttekintés rész ben).

3. Írja be a 443 add parancsot, hogy tit <interfaceIp><cipherName>kosítást adjon hozzá a HTTP-kiszolgál ó felületéhez.

   Az XSP|ADP CLI-hez az IANA szabványos titkosító csomag neve szükséges, nem pedig az OpenSSL titkosító csomag neve. Például az ECDHE-ECDSA-CHACHA20-POLY1305 OpenSSL titkosítás hozzáadásához a HTTP-kiszolgáló felületéhez használja: XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers> adjon hozzá 192.0.2.7 443 TLS_ECDHE_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   A csomag bármelyik név alapján megtalálásához lásd a https://ciphersuite.info/ címet.

Eszközkezelés konfigurálása XSP|ADP-n, alkalmazáskiszolgálón és profilkiszolgálón

A profilkiszolgáló és az XSP|ADP kötelező az Eszközkezeléshez. Ezeket a BroadWor ks eszközkezelési konfigurációs útmutató utasításainak megfelelően kell konfigurálni.