Krav til sambosted

• Autentiseringstjen esten må være medbosatt i Xsi-applikasjoner, fordi disse grensesnittene må godta tokens med lang levetid for tjenesteautorisasjon. Autentiseringstjenesten kreves for å validere disse tokenene.

• Autentiseringstjeneste og Xsi kan kjøres på samme port om nødvendig.

• Du kan separere de andre tjenester/programmene etter behov for skalaen din (dedikert enhetsadministrasjon XSP|ADP-farm, for eksempel).

• Du kan samlokalisere Xsi-, CTI-, Authentication Service- og DMS-applikasjonene.

• Ikke installer andre programmer eller tjenester på XSP|ADP-ene som brukes til å integrere BroadWorks med Webex.

• Ikke samlokaliser NPS-applikasjonen med andre applikasjoner.

Xsi-grensesnitt

Installer og konfigurer Xsi-Actions- og Xsi-Events-applikasjonene som beskrevet i Cisco BroadWorks X tended Services Interface Configuration Guide.

Bare én forekomst av Xsi-Events-applikasjonene skal distribueres på XSP|ADP som brukes til CTI-grensesnittet.

Alle Xsi-Events som brukes til å integrere Broadworks med Webex må ha samme CallControlApplicationName definert under Applications/XSI-Events/GeneralSettings. For eksempel:

adp_cli/applikasjoner/XSI-hendelser/Generelinnstillinger> få

CallControlApplicationName = com.broadsoft.xsi-events

Når en bruker er koblet til Webex, oppretter Webex et abonnement for brukeren på AS for å motta telefonhendelser for tilstedeværelse og anropshistorikk. Abonnementet er knyttet til CallControlApplicationName, og AS bruker det til å vite hvilke Xsi-Events telefonhendelsene som skal sendes til.

Konfigurer godkjenningstjeneste (med CI-tokenvalidering)

Bruk denne fremgangsmåten til å konfigurere godkjenningstjenesten til å bruke CI-tokenvalidering med TLS. Denne godkjenningsmetoden anbefales hvis du kjører R22 eller høyere, og systemet støtter det.

1. Innhenting av OAuth-legitimasjon for Webex for Cisco BroadWorks.

2. Installer følgende oppdateringer på hver XSP|ADP-server. Installer oppdatering ene som passer til utgivelsen din:

   • For R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • For R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • For R24 — ingen oppdatering nødvendig

   Enhver referanse til XSP inkluderer enten XSP eller ADP.

3. Installer AuthenticationService- programmet på hver XSP|ADP-tjeneste.

   1. Kjør følgende kommando for å aktivere AuthenticationService- programmet på XSP|ADP til /AuthService-kontekstbanen.

      xsp|adp_cli/Maintenance/ManagedObjects> aktiver applikasjonsautentiseringstjeneste 22.0_1.1123/AuthService

   2. Kjør denne kommandoen for å distribuere AuthenticationService på XSP|ADP:

      XSP|ADP_CLI/Maintenance/ManagedObjects> distribuere applikasjon/AuthServiceBroadworks SW Manager som distribuerer /AuthService...

4. Fra og med Broadworks build 2022.10 blir sertifikatmyndighetene som følger med Java ikke lenger automatisk inkludert i BroadWorks klareringsbutikk når du bytter til en ny versjon av java. AuthenticationService åpner en TLS-tilkobling til Webex for å hente tilgangstoken, og må ha følgende i tillitsloggen for å validere IDBroker og Webex URL:

   • IdenTrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Kontroller at disse sertifikatene er til stede under følgende CLI

   adp_cli/system/SSLCommonSettings/Trust/Defaults> få

   Hvis den ikke er til stede, kjør følgende kommando for å importere standard Java-tillitsverdier:

   ADP_CLI/System/SSLCommonSettings/Tillits/Standard> ImportJavaCatTrust

   Alternativt kan du legge til disse sertifikatene manuelt som klareringsankere med følgende kommando:

   ADP_CLI/System/SSLCommonSettings/Trust/Broadworks> OppdaterTrust <alias><trustAnchorFile>

   Hvis ADP oppgraderes fra en tidligere versjon, importeres sertifikatmyndighetene fra den gamle versjonen automatisk til den nye versjonen, og importeres til de fjernes manuelt.

   AuthenticationService-programmet er unntatt fra ValidatePeerIdentity-innstillingen under ADP_CLI/System/SSLCommonSettings/GeneralSettings, og validerer alltid peer-identiteten. Se Cisco Broadworks X509 Certificate Validation FD for mer informasjon om denne innstillingen.

5. Konfigurer identitetsleverandørene ved å kjøre følgende kommandoer på hver XSP|ADP-server:

   xsp|ADP_CLI/Programmer/AuthenticationService/IdentityProviders/Cisco> få

   • angi ClientID Client-ID-fra-Step1

   • sett aktivert sant

   • sett ClientSecret Client-Secret-fra-Step1

   • sett ciResponseBodyMaxSizeInbytes 65536

   • angi utstedernavn — An <URL>gi utstedsnav -URL-adressen som gjelder for CI-klyngen for URL-adressen. Se følgende tabell.

   • angi IssuerURL <URL>—For URL-adressen angir du utstederURL- adressen som gjelder CI-klyngen. Se følgende tabell.

   • angi tokenInFourl <IdPProxy URL>—Skriv inn IdP-proxy-URL-adressen som gjelder for Teams-klyngen. Se den andre tabellen som følger.

   Tabell 1. Angi utstedernavn og utstederURL

   Hvis CI Cluster er...	Angi IssuerName og IssuerURL til...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Hvis du ikke kjenner CI-klyngen din, kan du hente informasjonen fra kundedetaljer i Help Desk-visningen i Control Hub.

   Tabell 2. Sett tokenInFourl

   Hvis Teams Cluster er...	Sett TokenInFourl til... (IdP-proxy-URL)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Hvis du ikke kjenner Teams-klyng en din, kan du hente informasjonen fra kundedetaljer i Help Desk-visningen i Control Hub. For testing kan du bekrefte at tokenInfoURL er gyldig ved å erstatte delen "idp/autentisere" av nettadressen med "ping».

6. Angi Webex-rettigheten som må være tilstede i brukerprofilen i Webex ved å kjøre følgende kommando:

   XSP|AD P_CLI/Programs/AuthenticationService/IdentityProviders/Cisco/scopes> angi omfang bredverks-tilkobling:bruker

7. Konfigurer identitetsleverandører for Cisco Federation ved å bruke følgende kommandoer på hver XSP|ADP-server:

   xsp|ADP_CLI/Programmer/AuthenticationService/IdentityProviders/Cisco/Federation> få

   • sett FLSurl https://cifls.webex.com/federation

   • sett RefreshPeriod InMinutes 60

   • sett RefreshToken Refresh-token fra-Step1

8. Kjør følgende kommando for å bekrefte at FLS-konfigurasjonen fungerer. Denne kommandoen returnerer listen over identitetsleverandører:

   xsp|ADP_CLI/Programmer/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Få

9. Konfigurer Token Management ved hjelp av følgende kommandoer på hver XSP| ADP-server:

   • XSP|ADP_CLI/Programmer/Autentiseringstjeneste/Tokenadministrasjon>

   • sett TokenIssuer BroadWorks

   • sett tokenDurationInHours 720

10. Generer og del RSA-nøkler. Du må generere nøkler på en XSP|ADP og deretter kopiere dem til alle andre XSP|ADP-er. Dette skyldes følgende faktorer:

    • Du må bruke de samme offentlige/private nøkkelparene for tokenkryptering/dekryptering på tvers av alle forekomster av godkjenningstjenesten.

    • Nøkkelparet genereres av autentiseringstjenesten når det først kreves å utstede et token.

    Hvis du sykler taster eller endrer nøkkellengden, må du gjenta følgende konfigurasjon og starte alle XSP|ADP-ene på nytt.

    1. Velg én XSP|ADP som skal brukes til å generere et nøkkelpar.

    2. Bruk en klient til å be om et kryptert token fra denne XSP|ADP, ved å be om følgende URL fra klientens nettleser:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (ClientPublicKey)

       (Dette genererer et privat/offentlig nøkkelpar på XSP|ADP, hvis det ikke allerede var et)

    3. Nøkkelbutikkens plassering er ikke konfigurerbar. Eksporter tastene:

       XSP|ADP_CLI/Programmer/Autentiseringstjeneste/Nøkkeladministrasjon> Eksportnøkler

    4. Kopier den eksporterte filen /var/Broadworks/tmp/AuthService.keys til samme plassering på de andre XSP|ADP-ene, og overskriv en eldre .keys-fil om nødvendig.

    5. Importer nøklene på hver av de andre XSP|ADP-ene:

       xsp| adp_cli/applikasjoner/autentiseringstjeneste/nøkkeladministrasjon> importnøkler /var/broadworks/tmp/authservice.keys

11. Oppgi AuthService-URL-adressen til webbeholderen. XSP|ADPs webbeholder trenger AuthService-URL slik at den kan validere tokens. På hver av XSP|ADP-ene:

    1. Legg til autentiseringstjenestens URL som en ekstern godkjenningstjeneste for BroadWorks Communications Utility:

       xsp|ad p_cli/system/kommunikasjonsutstyr/standardinnstillinger/ekstern autentisering/AuthService> angi url http://127.0.0.1:80/authService

    2. Legg til autentiseringstjenestens URL i beholderen:

       xsp|adp _cli/Maintenance/ContainerOptions> legg til tomcat bw.authService.AuthServiceUrl http://127.0.0.1:80/authService

       Dette gjør det mulig for Webex å bruke godkjenningstjenesten til å validere tokens presentert som legitimasjon.

    3. Sjekk parameteren med get.

    4. Start XSP|ADP på nytt.

Fjern klientgodkjenningskrav for autentiseringstjeneste (kun R24)

Hvis du har godkjenningstjenesten konfigurert med validering av CI-token på R24, må du også fjerne klientgodkjenningskravet for godkjenningstjenesten. Kjør følgende CLI-kommando:

ADP_CLI/Grensesnitt/HTTP/SSLCommonSettings/ClientAuthentication/WebApps> angi autentiseringService ClientAuthReq falsk <interfaceIp><port>

Konfigurere TLS og chiffer på HTTP-grensesnittene (for XSI og autentiseringstjeneste)

Autentiseringstjenesten, Xsi-Actions og Xsi-Events-applikasjonene bruker HTTP-server grensesnitt. Nivåer av TLS-konfigurerbarhet for disse applikasjonene er som følger:

Mest generelt = System> Transport > HTTP > HTTP-servergrensesnitt = Mest spesifikk

CLI-kontekstene du bruker til å vise eller endre de forskjellige SSL-innstillingene er:

Lesing av HTTP-server TLS-grensesnittkonfigurasjon på XSP|ADP

1. Logg på XSP|ADP og naviger til XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Skriv inn get -kommandoen og les resultatene. Du bør se grensesnit tene (IP-adressene) og, for hver, om de er sikre og om de krever klientautentisering.

Apache tomcat krever et sertifikat for hvert sikkert grensesnitt; systemet genererer et selvsignert sertifikat hvis det trenger et.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Legge til TLS 1.2-protokoll til HTTP-servergrensesnittet

HTTP-grensesnittet som samhandler med Webex Cloud må konfigur eres for TLSv1.2. Skyen forhandler ikke om tidligere versjoner av TLS- protokollen.

Slik konfigurerer du TLSv1.2-protokollen på HTTP-servergrensesnittet:

1. Logg på XSP|ADP og naviger til XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Skriv inn kommandoen få 443 <interfaceIp>for å se hvilke protokoller som allerede er brukt på dette grensesnittet.

3. Skriv inn kommandoen legg til 443 TLSv1.2 <interfaceIp>for å sikre at grensesnittet kan bruke TLS 1.2 når du kommuniserer med skyen.

Redigering av TLS-chifferkonfigurasjon på HTTP-servergrensesnittet

Slik konfigurerer du de nødvendige chiffrene:

1. Logg på XSP|ADP og naviger til XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Skriv inn kommandoen få 443 <interfaceIp>for å se hvilke chi ffer som allerede er brukt på dette grensesnittet. Det må være minst én av de anbefalte suit ene fra Cisco (se XSP|ADP Identity and Security Requirements i Oversik t- delen).

3. Skriv inn kommandoen legg til 443 <interfaceIp><cipherName>for å legge til en kryptering i HTTP-server grensesnittet.

   XSP|ADP CLI krever IANA-standardkrypteringspakkenavnet, ikke navnet på OpenSSL-krypteringspakken. For eksempel, for å legge til OpenSSL-krypteringen ECDHE- ECDSA-CHACHA20-POLY1305 til HTTP-servergrensesnittet, vil du bruke: XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers> legg til 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Se https://ciphersuite.info/ for å finne suiten med begge navnene.

Konfigurere enhetsadministrasjon på XSP|ADP, applikasjonsserver og profilserver

Profilserver og XSP|ADP er obligatoriske for enhetsadministrasjon. De må konfigureres i henhold til instruksjonene i BroadWorks Device Management Configuration Guide.