Vereisten voor co-ingezetenschap

• De authenticatieservice moet samen met Xsi-toepassingen werken, omdat die interfaces tokens met een lange levensduur moeten accepteren voor de autorisatie van de service. De authenticatieservice is vereist om deze tokens te valideren.

• De authenticatieservice en Xsi kunnen indien nodig op dezelfde poort worden uitgevoerd.

• U kunt de andere diensten/toepassingen van elkaar scheiden als dat nodig is voor uw weegschaal (bijvoorbeeld een XSP|ADP-farm voor speciaal apparaatbeheer).

• U kunt de toepassingen Xsi, CTI, Authentication Service en DMS samen lokaliseren.

• Installeer geen andere toepassingen of services op de XSP|ADP's die worden gebruikt voor de integratie van BroadWorks met Webex.

• Plaats de NPS-toepassing niet samen met andere toepassingen.

Xsi-interfaces

Installeer en configureer de toepassingen Xsi-Actions en Xsi-Events zoals beschreven in de Cisco BroadWorks Xtended Services Interface Configuration Guide.

Er mag slechts één exemplaar van de Xsi-Events-toepassingen worden geïmplementeerd op de XSP|ADP die wordt gebruikt voor de CTI-interface.

Voor alle Xsi-Events die worden gebruikt voor de integratie van Broadworks met Webex moet dezelfde CallControlApplicationName zijn gedefinieerd onder Applications/XSI-Events/GeneralSettings. Bijvoorbeeld:

adp_cli/applications/xsi-events/algemene instellingen> get

CallControlApplicationName = com.broadsoft.xsi-events

Wanneer een gebruiker aan boord is van Webex, maakt Webex een abonnement voor de gebruiker op het AS om telefoongebeurtenissen te ontvangen voor de aanwezigheid en gespreksgeschiedenis. Het abonnement is gekoppeld aan de CallControlApplicationName en de AS gebruikt deze om te weten naar welke Xsi-Events de telefoniegebeurtenissen moeten worden gestuurd.

Authenticatieservice configureren (met CI-tokenvalidatie)

Gebruik deze procedure om de authenticatieservice zo te configureren dat CI Token Validation met TLS wordt gebruikt. Deze authenticatiemethode wordt aanbevolen als u R22 of hoger gebruikt en uw systeem dit ondersteunt.

1. OAuth-inloggegevens verkrijgen voor uw Webex voor Cisco BroadWorks.

2. Installeer de volgende patches op elke XSP|ADP-server. Installeer de patches die geschikt zijn voor uw release:

   • Voor R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • Voor R23:

     AP.Xsp.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Voor R24: geen patch nodig

   Elke verwijzing naar XSP omvat XSP of ADP.

3. Installeer de AuthenticationService-toepassing op elke XSP|ADP-service.

   1. Voer de volgende opdracht uit om de AuthenticationService-toepassing op de XSP|ADP naar het contextpad /AuthService te activeren.

      xsp|ADP_CLI/Maintenance/ManagedObjects> activeer de authenticatieservice voor toepassingen 22.0_1.1123/AuthService

   2. Voer deze opdracht uit om de AuthenticationService te implementeren op de XSP|ADP:

      xsp|adp_cli/Maintenance/ManagedObjects> toepassing implementeren /AuthService Broadworks SW Manager deploying /AuthService...

4. Vanaf Broadworks build 2022.10 worden de certificeringsinstanties die met Java worden meegeleverd niet langer automatisch opgenomen in de BroadWorks Trust Store wanneer naar een nieuwe versie van Java wordt overgeschakeld. De AuthenticationService opent een TLS-verbinding met Webex om het toegangstoken op te halen, en moet het volgende in de truststore hebben om de IDBroker- en Webex-URL te valideren:

   • IdenTrust Commercial Root CA 1

   • Naar Daddy Root Certificate Authority - G2

   Controleer of deze certificaten aanwezig zijn onder de volgende CLI

   adp_cli/system/SSLCommonSettings/Trusts/Defaults> get

   Indien niet aanwezig, voer dan de volgende opdracht uit om de standaard Java-trusts te importeren:

   adp_cli/system/SSLCommonSettings/Trusts/Defaults > Import Java Trust

   Als alternatief kunt u deze certificaten handmatig als vertrouwensankers toevoegen met het volgende commando:

   adp_cli/System/SSL Algemene instellingen/Trusts/Broadworks > UpdateTrust <alias><trustAnchorFile>

   Als de ADP wordt geüpgraded ten opzichte van een vorige release, worden de certificeringsinstanties van de oude release automatisch geïmporteerd naar de nieuwe release en blijven ze geïmporteerd totdat ze handmatig worden verwijderd.

   De AuthenticationService-toepassing is vrijgesteld van de instelling ValidatePeerIdentity onder adp_cli/System/SSLCommonSettings/GeneralSettings, en valideert altijd de peer-identiteit. Zie de Cisco Broadworks X509 Certificate Validation FD voor meer informatie over deze instelling.

5. Configureer de identiteitsproviders door op elke XSP|ADP-server de volgende opdrachten uit te voeren:

   xsp|ADP_CLI/Applications/AuthenticationService/Identity Providers/Cisco > get

   • client-ID client-ID instellen vanuit stap 1

   • set ingeschakeld (true)

   • ClientSecret Client-Secret-from-Step1 instellen

   • Stel de maximale grootte van de CIResponseBody in Bytes 65536

   • stel IssuerName in <URL>— Voer voor de URL de IssuerName-URL in die van toepassing is op uw CI-cluster. Zie de volgende tabel.

   • set issuerURL <URL>— Voer voor de URL de IssuerURL in die van toepassing is op uw CI-cluster. Zie de volgende tabel.

   • set tokenInFourL <IdPProxy URL>— Voer de URL van de IdP-proxy in die van toepassing is op uw Teams-cluster. Zie de tweede tabel die volgt.

   Tabel 1. Stel de naam van de uitgever en de URL van de uitgever in

   Als CI Cluster...	Stel IssuerName en IssuerURL in op...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Als u uw CI-cluster niet kent, kunt u de informatie verkrijgen via de klantgegevens in de helpdeskweergave van Control Hub.

   Tabel 2. Stel het token in op vier

   Als Teams Cluster...	Stel token in FourL in op... (URL van de IdP-proxy)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Als u uw Teams-cluster niet kent, kunt u de informatie verkrijgen via de klantgegevens in de Helpdesk-weergave van Control Hub. Om te testen kunt u controleren of de tokenInFourL geldig is door het gedeelte "idp/authenticate" van de URL te vervangen door "ping”.

6. Specificeer de Webex-rechten die aanwezig moeten zijn in het gebruikersprofiel in Webex door de volgende opdracht uit te voeren:

   xsp|ADP_CLI/Applications/Authentication Service/Identity Providers/Cisco/Scopes> set scope broadworks-connector : gebruiker

7. Configureer identiteitsproviders voor Cisco Federation met de volgende opdrachten op elke XSP|ADP-server:

   xsp|ADP_CLI/Applications/AuthenticationService/Identity Providers/Cisco/Federation> get

   • stel FLsURL in op https://cifls.webex.com/federation

   • Vernieuwingsperiode instellen in Minutes 60

   • stel RefreshToken Refresh-token uit stap 1 in

8. Voer de volgende opdracht uit om te controleren of uw FLS-configuratie werkt. Met dit commando wordt de lijst van identiteitsproviders geretourneerd:

   xsp|ADP_CLI/Applications/AuthService/IdentityProviders/Cisco/Federation/ClusterMap

9. Configureer het tokenbeheer met de volgende opdrachten op elke XSP|ADP-server:

   • xsp|adp_cli/toepassingen/authenticatieservice/tokenbeheer>

   • tokenuitgever BroadWorks instellen

   • Stel de duur van het token in uren 720

10. Genereer en deel RSA-sleutels. U moet sleutels genereren op één XSP|ADP en ze vervolgens naar alle andere XSP|ADP's kopiëren. Dit is te wijten aan de volgende factoren:

    • U moet dezelfde openbare/private sleutelparen gebruiken voor de codering/ontsleuteling van tokens in alle instanties van de authenticatieservice.

    • Het sleutelpaar wordt gegenereerd door de authenticatiedienst wanneer het voor het eerst nodig is om een token uit te geven.

    Als u toetsen gebruikt of de sleutellengte wijzigt, moet u de volgende configuratie herhalen en alle XSP|ADP's opnieuw starten.

    1. Selecteer één XSP|ADP om te gebruiken voor het genereren van een sleutelpaar.

    2. Gebruik een client om een versleuteld token aan te vragen bij die XSP|ADP, door de volgende URL op te vragen in de browser van de klant:

       https://<XSP|ADP-IPAddress>/authService/token? key=Base64URL (ClientPublicKey)

       (Dit genereert een privé/openbaar sleutelpaar op de XSP|ADP, als dat nog niet het geval was)

    3. De locatie van de sleutelopslag is niet configureerbaar. Exporteer de sleutels:

       xsp | ADP_CLI/Applications/Authentication Service/Sleutelbeheer > Sleutels exporteren

    4. Kopieer het geëxporteerde bestand /var/Broadworks/tmp/AuthService.keys naar dezelfde locatie op de andere XSP|ADP's en overschrijf zo nodig een ouder .keys-bestand.

    5. Importeer de sleutels op elk van de andere XSP|ADP's:

       xsp|adp_cli/Applications/AuthenticationService/Sleutelbeheer > Sleutels importeren/var/Broadworks/tmp/AuthService.sleutels

11. Geef de AuthService-URL naar de webcontainer op. De webcontainer van XSP|ADP heeft de AuthService-URL nodig om tokens te kunnen valideren. Op elk van de XSP|ADP's:

    1. Voeg de URL van de authenticatieservice toe als externe authenticatieservice voor de BroadWorks Communications Utility:

       xsp|ADP_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> stel de URL in http://127.0.0.1:80/authService

    2. Voeg de URL van de authenticatieservice toe aan de container:

       xsp|adp_cli/Maintenance/ContainerOptions> kater toevoegen bw.authservice.authserviceURL http://127.0.0.1:80/authService

       Dit stelt Webex in staat om de authenticatieservice te gebruiken om tokens te valideren die als inloggegevens worden gepresenteerd.

    3. Controleer de parameter met get.

    4. Start de XSP|ADP opnieuw.

Clientauthenticatievereiste voor Auth Service verwijderen (alleen R24)

Als u de authenticatieservice hebt geconfigureerd met CI-tokenvalidatie op R24, moet u ook de vereisten voor cliëntauthenticatie voor de authenticatieservice verwijderen. Voer de volgende CLI-opdracht uit:

adp_cli/interface/http/SSLCommonSettings/ClientAuthentication/webApps> stel AuthenticationService ClientAuthReq false in <interfaceIp><port>

TLS en cijfers configureren op de HTTP-interfaces (voor XSI en Authentication Service)

De toepassingen Authentication Service, Xsi-Actions en Xsi-Events maken gebruik van HTTP-serverinterfaces. De niveaus van TLS-configureerbaarheid voor deze toepassingen zijn als volgt:

Meest algemeen = Systeem > Transport > HTTP > HTTP-serverinterface = Meest specifiek

De CLI-contexten die u gebruikt om de verschillende SSL-instellingen te bekijken of te wijzigen zijn:

De TLS-interfaceconfiguratie van de HTTP-server lezen op de XSP|ADP

1. Meld u aan bij XSP|ADP en navigeer naar XSP|adp_cli/interface/http/httpServer>

2. Voer de opdracht get in en lees de resultaten. U zou de interfaces (IP-adressen) moeten zien en, voor elk ervan, of ze veilig zijn en of ze cliëntauthenticatie vereisen.

Apache Tomcat vereist een certificaat voor elke beveiligde interface; het systeem genereert een zelfondertekend certificaat als dat nodig is.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Het TLS 1.2-protocol aan de HTTP-serverinterface toevoegen

De HTTP-interface die interageert met de Webex Cloud moet worden geconfigureerd voor TLSv1.2. De cloud onderhandelt niet over eerdere versies van het TLS-protocol.

Om het TLSv1.2-protocol op de HTTP Server-interface te configureren:

1. Meld u aan bij XSP|ADP en navigeer naar XSP|adp_cli/interface/http/httpServer/SSLSettings/Protocols>

2. Voer de opdracht get 443 <interfaceIp>in om te zien welke protocollen al worden gebruikt op deze interface.

3. Voer de opdracht add 443 TLSv1.2 <interfaceIp>in om ervoor te zorgen dat de interface TLS 1.2 kan gebruiken bij communicatie met de cloud.

De TLS-coderingsconfiguratie op de HTTP-serverinterface bewerken

Om de vereiste cijfers te configureren:

1. Meld u aan bij XSP|ADP en navigeer naar XSP|adp_cli/interface/http/httpServer/SSLSettings/Ciphers>

2. Voer de opdracht get 443 <interfaceIp>in om te zien welke cijfers al worden gebruikt op deze interface. Er moet minstens één van de door Cisco aanbevolen suites zijn (zie de Identiteits- en beveiligingsvereisten van XSP|ADP in de sectie Overzicht).

3. Voer de opdracht add 443 <interfaceIp>in <cipherName>om een cijfer toe te voegen aan de HTTP Server-interface.

   De XSP|ADP CLI vereist de naam van de standaard IANA-coderingssuite, niet de naam van de OpenSSL-coderingssuite. Als u bijvoorbeeld het OpenSSL-cijfer ECDHE-ECDSA-CHACHA20-POLY1305 aan de HTTP-serverinterface wilt toevoegen, gebruikt u: xsp|adp_cli/interface/httpServer/SSLSettings/ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHA20_POLY1305

   Ga naar https://ciphersuite.info/ om de suite met een van beide namen te vinden.

Apparaatbeheer configureren op XSP|ADP, toepassingsserver en profielserver

Profile Server en XSP|ADP zijn verplicht voor apparaatbeheer. Ze moeten worden geconfigureerd volgens de instructies in de BroadWorks Device Management Configuration Guide.