Requisiti di co-residenza

• Il servizio di autenticazione deve essere co-residente con le applicazioni Xsi, perché tali interfacce devono accettare token di lunga durata per l'autorizzazione del servizio. Il servizio di autenticazione è necessario per convalidare tali token.

• Il servizio di autenticazione e Xsi possono funzionare sulla stessa porta, se necessario.

• Può separare gli altri servizi/applicazioni come richiesto per la sua bilancia (gestione dei dispositivi dedicata XSP|ADP farm, ad esempio).

• Può co-localizzare le applicazioni Xsi, CTI, Authentication Service e DMS.

• Non installi altre applicazioni o servizi su XSP|ADP utilizzati per integrare BroadWorks con Webex.

• Non colloca l'applicazione NPS con nessun'altra applicazione.

Interfacce Xsi

Installa e configura le applicazioni Xsi-Actions e Xsi-Events come descritto nella Guida alla configurazione dell'interfaccia Cisco BroadWorks Xtended Services.

Solo un'istanza delle applicazioni Xsi-Events deve essere distribuita sull'XSP|ADP utilizzato per l'interfaccia CTI .

Tutti gli Xsi-Events utilizzati per integrare Broadworks con Webex devono avere lo stesso CallControlApplicationName definito in Applications/Xsi-Events/GeneralSettings. Ad esempio:

ADP_CLI/Applications/XSI-Events/Impostazioni generali > get

CallControlApplicationName = com.broadsoft.xsi-events

Quando un utente è connesso a Webex, Webex crea un abbonamento per l'utente sull'AS per ricevere eventi di telefonia per la presenza e la cronologia delle chiamate. L'abbonamento è associato a CallControlApplicationName e l'AS lo utilizza per sapere a quali Xsi-Events inviare gli eventi di telefonia.

Configurare il servizio di autenticazione (con convalida del token CI)

Utilizza questa procedura per configurare il servizio di autenticazione per utilizzare la convalida dei token CI con TLS. Questo metodo di autenticazione è consigliato se utilizza R22 o versioni successive e il suo sistema lo supporta.

1. Ottenere le credenziali OAuth per il suo Webex per Cisco BroadWorks.

2. Installi le seguenti patch su ogni server XSP|ADP. Installi le patch appropriate per la sua versione:

   • Per R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • Per R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Per R24: nessuna patch richiesta

   Qualsiasi riferimento a XSP include XSP o ADP.

3. Installi l'applicazione AuthenticationService su ogni servizio XSP|ADP .

   1. Esegui il seguente comando per attivare l' applicazione AuthenticationService su XSP|ADP nel percorso di contesto /AuthService.

      XSP | ADP_CLI/Maintenance/ManagedObjects > attiva il servizio di autenticazione dell'applicazione 22.0_1.1123/AuthService

   2. Esegui questo comando per distribuire AuthenticationService su XSP|ADP:

      xsp|ADP_CLI/Maintenance/ManagedObjects> distribuire l'applicazione/AuthServiceBroadworks SW Manager distribuendo /AuthService...

4. A partire dalla build 2022.10 di Broadworks, le autorità di certificazione fornite con Java non vengono più incluse automaticamente nel trust store di BroadWorks quando si passa a una nuova versione di java. L'AuthenticationService apre una connessione TLS a Webex per recuperare il token di accesso e deve avere quanto segue nel suo truststore per convalidare l'IDBroker e l'URL Webex:

   • IdenTrust Commercial Root CA 1

   • Vai Daddy Root Certificate Authority - G2

   Verifichi che questi certificati siano presenti nella seguente CLI

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> get

   Se non è presente, esegui il seguente comando per importare i trust Java predefiniti:

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> Importa Javacatrust

   In alternativa, può aggiungere manualmente questi certificati come ancoraggi di fiducia con il seguente comando:

   ADP_CLI/System/SSLCommonSettings/Trusts/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Se l'ADP viene aggiornato da una versione precedente, le autorità di certificazione della vecchia versione vengono importate automaticamente nella nuova release e continueranno a essere importate fino a quando non verranno rimosse manualmente.

   L'applicazione AuthenticationService è esente dall'impostazione ValidatePeerIdentity in ADP_CLI/System/SSLCommonSettings/GeneralSettings e convalida sempre l'identità peer. Consulta il Cisco Broadworks X509 Certificate Validation FD per maggiori informazioni su questa impostazione.

5. Configura gli Identity Provider eseguendo i seguenti comandi su ogni server XSP|ADP:

   XSP | ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco > get

   • imposta ClientID Client-ID-from-Step1

   • set enabled true

   • imposta ClientSecret Client-Secret-from-Step1

   • imposta la dimensione massima del corpo di risposta CI in byte 65536

   • set IssuerName <URL>— Per l'URL, inserisca l'URL IssuerName che si applica al suo cluster CI. Vedere la tabella seguente.

   • set IssuerURL <URL>— Per l'URL, inserisca l'IssuerURL che si applica al suo cluster CI. Vedere la tabella seguente.

   • set tokenInfoURL <IdPProxy URL>— Inserisca l'URL del proxy IdP che si applica al suo cluster Teams. Si veda la seconda tabella che segue.

   Tabella 1. Imposta IssuerName e IssuerURL

   Se CI Cluster è...	Imposta IssuerName e IssuerUrl su...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Se non conosce il suo cluster CI, può ottenere le informazioni dai dati del cliente nella vista Help Desk di Control Hub.

   Tabella 2. Imposta il token in quattro L

   Se Teams Cluster è...	Imposta TokenInFourl su... (URL proxy IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Se non conosce il suo Teams Cluster, può ottenere le informazioni dai dati del cliente nella vista Help Desk di Control Hub. Per i test, può verificare che il tokenInfoURL sia valido sostituendo la parte "idp/authenticate" dell'URL con "ping».

6. Specificare l'autorizzazione Webex che deve essere presente nel profilo utente in Webex eseguendo il seguente comando:

   XSP|ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/scopes> set scope broadworks-connector:user

7. Configura i provider di identità per Cisco Federation utilizzando i seguenti comandi su ogni server XSP|ADP:

   XSP | ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Federation> get

   • imposta FLSurl https://cifls.webex.com/federation

   • impostare il periodo di aggiornamento in minuti 60

   • imposta RefreshToken Refresh-Token-from-Step1

8. Esegua il comando seguente per verificare che la sua configurazione FLS funzioni. Questo comando restituirà l'elenco degli Identity Provider:

   XSP | ADP_CLI/Applications/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Ottieni

9. Configura la gestione dei token utilizzando i seguenti comandi su ogni server XSP|ADP :

   • XSP | ADP_CLI/Applicazioni/Servizio di autenticazione/Gestione dei token>

   • imposta token Issuer BroadWorks

   • impostare la durata del token in ore 720

10. Genera e condivide chiavi RSA. Deve generare le chiavi su un XSP|ADP e poi copiarle su tutti gli altri XSP|ADP. Ciò è dovuto ai seguenti fattori:

    • Deve utilizzare le stesse coppie di chiavi pubbliche/private per la crittografia/decrittografia dei token in tutte le istanze del servizio di autenticazione.

    • La coppia di chiavi viene generata dal servizio di autenticazione quando viene richiesto per la prima volta l'emissione di un token.

    Se alterna le chiavi o modifica la lunghezza delle chiavi, deve ripetere la seguente configurazione e riavviare tutti gli XSP|ADP.

    1. Seleziona un XSP|ADP da utilizzare per generare una coppia di chiavi.

    2. Utilizzi un client per richiedere un token crittografato da quel XSP|ADP, richiedendo il seguente URL dal browser del cliente:

       https://<XSP|ADP-IPAddress>/authService/token? chiave=Base64URL (chiave pubblica del cliente)

       (Questo genera una coppia di chiavi privata/pubblica su XSP|ADP, se non ce n'era già una)

    3. L'ubicazione del negozio chiave non è configurabile. Esporta le chiavi:

       XSP | ADP_CLI/Applications/AuthenticationService/Gestione delle chiavi > Esporta chiavi

    4. Copia il file esportato /var/Broadworks/tmp/AuthService.keys nella stessa posizione sull'altro XSP|ADP, sovrascrivendo un file .keys più vecchio, se necessario.

    5. Importi le chiavi su ciascuno degli altri XSP|ADP:

       XSP | ADP_CLI/Applications/AuthenticationService/Gestione delle chiavi > Importa chiavi /var/Broadworks/tmp/authservice.keys

11. Fornisca l'URL AuthService al contenitore web. Il contenitore web di XSP|ADP necessita dell'URL AuthService per poter convalidare i token. Su ciascuno degli XSP|ADP:

    1. Aggiungere l'URL del servizio di autenticazione come servizio di autenticazione esterno per la BroadWorks Communications Utility:

       xsp | ADP_CLI/System/CommunicationUtility/Impostazioni predefinite/Autenticazione esterna/AuthService > imposta l'url http://127.0.0.1:80/authService

    2. Aggiungere l'URL del servizio di autenticazione al contenitore:

       xsp | ADP_CLI/Maintenance/ContainerOptions > aggiungi tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       Ciò consente a Webex di utilizzare il servizio di autenticazione per convalidare i token presentati come credenziali.

    3. Controlli il parametro con get.

    4. Riavvii XSP|ADP.

Rimuovere il requisito di autenticazione del client per il servizio di autenticazione (solo R24)

Se il servizio di autenticazione è configurato con la convalida del token CI su R24, deve anche rimuovere il requisito di autenticazione del client per il servizio di autenticazione. Esegua il seguente comando CLI:

ADP_CLI/interface/http/SSLCommonSettings/ClientAuthentication/WebApps> imposta AuthenticationService ClientAuthReq false <interfaceIp><port>

Configurazione di TLS e cifrari sulle interfacce HTTP (per XSI e servizio di autenticazione)

Le applicazioni Authentication Service, Xsi-Actions e Xsi-Events utilizzano interfacce server HTTP. I livelli di configurabilità TLS per queste applicazioni sono i seguenti:

Più generale = Sistema > Trasporto > HTTP > Interfaccia server HTTP = Più specifico

I contesti della CLI che utilizza per visualizzare o modificare le diverse impostazioni SSL sono:

Lettura della configurazione dell'interfaccia TLS del server HTTP su XSP|ADP

1. Accedere a XSP|ADP e accedere a XSP|ADP_CLI/interface/HTTP/HTTPServer>

2. Inserisca il comando get e legga i risultati. Dovrebbe vedere le interfacce (indirizzi IP) e, per ciascuna, se sono sicure e se richiedono l'autenticazione del client.

Apache tomcat richiede un certificato per ogni interfaccia sicura; il sistema genera un certificato autofirmato se necessario.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Aggiungere il protocollo TLS 1.2 all'interfaccia del server HTTP

L'interfaccia HTTP che interagisce con Webex Cloud deve essere configurata per TLSv1.2. Il cloud non negozia versioni precedenti del protocollo TLS .

Per configurare il protocollo TLSv1.2 sull'interfaccia HTTP Server:

1. Accedere a XSP|ADP e accedere a XSP|ADP_CLI/interface/HTTP/HTTPServer/SSLSettings/Protocols>

2. Inserisca il comando get 443 <interfaceIp>per vedere quali protocolli sono già utilizzati su questa interfaccia.

3. Inserisca il comando add 443 TLSv1.2 <interfaceIp>per assicurarsi che l'interfaccia possa utilizzare TLS 1.2 durante la comunicazione con il cloud.

Modifica della configurazione dei cifrari TLS sull'interfaccia del server HTTP

Per configurare i cifrari richiesti:

1. Accedere a XSP|ADP e accedere a XSP|ADP_CLI/interface/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Inserisca il comando get 443 <interfaceIp>per vedere quali cifrari sono già utilizzati su questa interfaccia. Deve essercene almeno una delle suite consigliate da Cisco (vedere XSP|Requisiti di identità e sicurezza ADP nella sezione Panoramica).

3. Inserisca il comando add 443 <interfaceIp><cipherName>per aggiungere un codice all'interfaccia del server HTTP.

   L'interfaccia a riga di comando XSP|ADP richiede il nome della suite di crittografia standard IANA, non il nome della suite di crittografia OpenSSL. Ad esempio, per aggiungere il codice OpenSSL ECDHE-ECDSA-CHACHA20-POLY1305 all'interfaccia del server HTTP, utilizzerebbe: XSP|ADP_CLI/interface/HTTP/HTTPSERVER/SSLSettings/CIPHERS> aggiungere 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Vedere https://ciphersuite.info/ per trovare la suite con entrambi i nomi.

Configurare la gestione dei dispositivi su XSP|ADP, Application Server e Profile Server

Profile Server e XSP|ADP sono obbligatori per la gestione dei dispositivi. Devono essere configurati secondo le istruzioni contenute nella BroadWorks Device Management Configuration Guide.