Wymagania dotyczące współrezydencji

• Usługa uwierzytelniania musi być współrezydentem z aplikacjami Xsi, ponieważ interfejsy te muszą akceptować długotrwałe tokeny do autoryzacji usługi. Usługa uwierzytelniania jest wymagana do weryfikacji tych tokenów.

• Usługa uwierzytelniania i Xsi mogą działać na tym samym porcie, jeśli jest to wymagane.

• Możesz oddzielić inne usługi/aplikacje zgodnie z wymaganiami wagi (na przykład dedykowane zarządzanie urządzeniami XSP|ADP farm).

• Możesz współlokalizować aplikacje Xsi, CTI, Authentication Service i DMS.

• Nie instaluj innych aplikacji lub usług na XSP|ADP, które są używane do integracji BroadWorks z Webex.

• Nie należy współlokować aplikacji NPS z żadnymi innymi aplikacjami.

Interfejsy Xsi

Zainstaluj i skonfiguruj aplikacje Xsi-Actions i Xsi-Events zgodnie z opisem w przewodniku konfiguracji interfejsu Cisco Broad Works Xtended Services.

Tylko jedna instancja aplikacji XSI-Events powinna być wdrożona na XSP|ADP używanym dla interfejsu CTI .

Wszystkie zdarzenia Xsi używane do integracji Broadworks z Webex muszą mieć tę samą nazwę callControlApplicationName zdefiniowaną w obszarze Applications/XSI-events/Ustawienia ogólne. Na przykład:

ADP_CLI/Aplikacje/XSI-events/Ustawienia ogólne> pobierz

callControlApplicationName = zdarzenia com.broadsoft.xsi

Gdy użytkownik jest włączony do Webex, Webex tworzy subskrypcję dla użytkownika w systemie AS w celu odbierania zdarzeń telefonicznych dotyczących obecności i historii połączeń. Subskrypcja jest powiązana z nazwą CallControlApplicationName, a AS używa jej, aby wiedzieć, do których zdarzeń XSI-Events ma wysyłać zdarzenia telefoniczne.

Skonfiguruj usługę uwierzytelniania (z walidacją tokenów CI)

Procedura ta służy do skonfigurowania usługi uwierzytelniania tak, aby używała sprawdzania poprawności tokenów CI za pomocą protokołu TLS. Ta metoda uwierzytelniania jest zalecana, jeśli używasz wersji R22 lub nowszej, a Twój system ją obsługuje.

1. Uzyskanie danych uwierzytelniających OAuth dla urządzenia Webex dla Cisco BroadWorks.

2. Zainstaluj następujące poprawki na każdym serwerze XSP|ADP. Zainstaluj poprawki , które są odpowiednie dla twojego wydania:

   • Dla R22:

     AP.Platform.22.0.1123.AP376508

     Ap.XSP.22.0.1123.AP376508

     Ap.XSP.22.0.1123.AP368601

   • Dla R23:

     Ap.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • W przypadku R24 — nie jest wymagana łatka

   Wszelkie odniesienia do XSP obejmują XSP lub ADP.

3. Zainstaluj aplikację AuthenticationService na każdej usłudze XSP|ADP.

   1. Uruchom następujące polecenie, aby aktywować aplikację AuthenticationService na XSP|ADP do ścieżki kontekstowej /AuthService.

      XSP|ADP_CLI/Maintenance/ManagedObjects> aktywuj aplikację AuthenticationService 22.0_1.1123/AuthService

   2. Uruchom to polecenie, aby wdrożyć usługę AuthenticationService na XSP|ADP:

      XSP|ADP_CLI/Maintenance/ManagedObjects> wdrażanie aplikacji /AuthServiceBroadworks SW Manager wdrażanie /AuthService...

4. Począwszy od wersji Broadworks 2022.10, organy certyfikatów, które są dostarczane z Javą, nie są już automatycznie włączane do magazynu zaufania BroadWorks po przejściu na nową wersję java. Usługa AuthenticationService otwiera połączenie TLS z Webex, aby pobrać token dostępu, i musi mieć następujące informacje w swoim sklepie zaufanym, aby zweryfikować adres URL IDBroker i Webex:

   • Korzeń komercyjny IDtrust CA 1

   • Go Daddy Root Certificate Authority - G2

   Sprawdź, czy te certyfikaty są obecne w następującym interfejsie wiersza polecenia

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> pobierz

   Jeśli nie ma, uruchom następujące polecenie, aby zaimportować domyślne zaufania Java:

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> ImportJavaCatRust

   Alternatywnie można ręcznie dodać te certyfikaty jako kotwy zaufania za pomocą następującego polecenia:

   ADP_CLI/System/SSLCommonSettings/Trusts/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Jeśli ADP zostanie zaktualizowany z poprzedniej wersji, organy certyfikacji ze starej wersji są automatycznie importowane do nowej wersji i będą nadal importowane do momentu ręcznego usunięcia.

   Aplikacja AuthenticationService jest wyłączona z ustawienia ValidatePeerIdentity w obszarze ADP_CLI/System/SSLCommonSettings/GeneralSettings i zawsze weryfikuje tożsamość równorzędną. Więcej informacji na temat tego ustawienia można znaleźć w sekcji FD dotyczącej walidacji certyfikatów Cisco Broadworks X509.

5. Skonfiguruj dostawców tożsamości, uruchamiając następujące polecenia na każdym serwerze XSP|ADP:

   XSP | ADP_CLI/Aplikacje/Usługa uwierzytelniania/Dostawcy tożsamości/CISCO> pobierz

   • ustaw identyfikator klienta Id klienta-from-Step1

   • ustawić włączoną wartość true

   • ustaw ClientSecret Client-Secret-from-Step1

   • zestaw CiResponseBodyMaxSizeInBytes 65536

   • ustawić IssuerName <URL>— Dla adresu URL wprowadź adres URL IssuerName, który ma zastosowanie do klastra CI. Patrz poniższa tabela.

   • ustawić IssuerURL — Dla adresu <URL>URL wprowadź adres URL wydawcy, który ma zastosowanie do klastra CI. Patrz poniższa tabela.

   • set TokenInFourl <IdPProxy URL>— wprowadź adres URL serwera proxy iDP, który ma zastosowanie do klastra Teams. Zobacz drugą tabelę, która następuje.

   Tabela 1. Ustaw nazwę wydawcy i adres URL wydawcy

   Jeśli klaster CI jest...	Ustaw IssuerName i IssuerURL na...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Jeśli nie znasz swojego klastra CI, możesz uzyskać informacje z danych klienta w widoku Help Desk w Centrum sterowania.

   Tabela 2. Zestaw TokenInFourl

   Jeśli klaster zespołów jest...	Ustaw TokeninFourl na... (Adres URL serwera proxy IDP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Jeśli nie znasz klastra Te ams, możesz uzyskać informacje z danych klienta w widoku Help Desk w Centrum sterowania. W celu przetestowania można sprawdzić, czy tokenInFourl jest prawidłowy, zastępując część adresu URL „idp/uwierzytelnić” na „ping”.

6. Określ uprawnienia Webex, które muszą być obecne w profilu użytkownika w Webex, uruchamiając następujące polecenie:

   XSP|AD P_CLI/Applications/AuthenticationService/Dostawcy tożsamości/CISCO/Zakres> zestaw szerokopasmowy konektor:użytkownik

7. Skonfiguruj dostawców tożsamości dla Cisco Federation za pomocą następujących poleceń na każdym serwerze XSP|ADP:

   XSP | ADP_CLI/Aplikacje/Usługa uwierzytelniania/Dostawcy tożsamości/CISCO/Federacja> pobierz

   • zestaw FLsURL https://cifls.webex.com/federation

   • zestaw RefreshPeriodInMinutes 60

   • ustaw RefreshToken Refresh Token-from-Step1

8. Uruchom następujące polecenie, aby sprawdzić, czy konfiguracja FLS działa. To polecenie zwróci listę dostawców tożsamości:

   XSP | ADP_CLI/Aplikacje/AuthService/Dostawcy tożsamości/CISCO/Federacja/Mapa> Pobierz

9. Skonfiguruj zarządzanie tokenami za pomocą następujących poleceń na każdym serwerze XSP|ADP :

   • XSP|ADP_CLI/Aplikacje/Usługa uwierzytelniania/Zarządzanie tokenami >

   • zestaw tokenWydawca BroadWorks

   • zestaw toKendurationInHours 720

10. Generuj i udostępniaj klucze RSA. Musisz wygenerować klucze na jednym XSP|ADP, a następnie skopi ować je do wszystkich innych XSP|ADP. Wynika to z następujących czynników:

    • Do szyfrowania/deszyfrowania tokenów we wszystkich instancjach usługi uwierzytelniania należy używać tych samych par kluczy publicznych/prywatnych.

    • Para kluczy jest generowana przez usługę uwierzytelniania, gdy po raz pierwszy wymagane jest wydanie tokena.

    Jeśli cyklikujesz klawisze lub zmienisz długość klucza, musisz powtórzyć następującą konfigurację i ponownie uruchomić wszystkie XSP|ADP.

    1. Wybierz jeden XSP|ADP do generowania pary kluczy.

    2. Użyj klienta, aby zażądać zaszyfrowanego tokena z tego XSP|ADP, żądając następującego adresu URL z przeglądarki klienta:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (ClientPublicKey)

       (Generuje to parę kluczy prywatnych/publicznych na XSP|ADP, jeśli jeszcze jej nie było)

    3. Lokalizacja magazynu kluczy nie jest konfigurowalna. Eksportuj klucze:

       XSP|ADP_CLI/Aplikacje/Usługa uwierzytelniania/Zarządzanie kluczami> Klucze eksportu

    4. Skopiuj wyeksportowany plik /var/broadworks/tmp/authservice.keys do tego samego miejsca na innym pliku XSP|ADPS, nadpisując starszy plik.keys w razie potrzeby.

    5. Importuj klucze na każdym z pozostałych XSP|ADP:

       XSP | ADP_CLI/Aplikacje/Usługa uwierzytelniania/Zarządzanie kluczami> Importklucze /var/Broadworks/TMP/AuthService.keys

11. Podaj adres URL usługi AuthService do kontenera internetowego. Kontener internetowy XSP|ADP potrzebuje adresu URL AuthService, aby mógł sprawdzać poprawność tokenów. Na każdym z XSP|ADP:

    1. Dodaj adres URL usługi uwierzytelniania jako zewnętrzną usługę uwierzytelniania dla narzędzia BroadWorks Communications:

       XSP|AD P_CLI/System/Narzędzie komunikacyjne/Ustawienia domyślne/Uwierzytelnianie zewnętrzne/AuthService> ustaw adres URL http://127.0.0.1:80/authService

    2. Dodaj adres URL usługi uwierzytelniania do kontenera:

       xsp|ADP _CLI/Maintenance/ContainerOptions> dodaj tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       Umożliwia to Webex korzystanie z usługi uwierzytelniania do sprawdzania poprawności tokenów prezentowanych jako poświadczenia.

    3. Sprawdź parametr za pomocą get.

    4. Uruchom ponownie XSP|ADP.

Usuń wymóg uwierzytelniania klienta dla usługi auth (tylko R24)

Jeśli usługa uwierzytelniania została skonfigurowana z walidacją tokena CI na R24, musisz również usunąć Wymóg uwierzytelniania klienta dla usługi uwierzytelniania. Uruchom następujące polecenie CLI:

ADP_CLI/Interface/HTTP/SSLCommonSettings/Uwierzytelnianie klienta/WebApps> ustaw uwierzytelnianieUsługa ClientAuthReq false <interfaceIp><port>

Konfigurowanie proto kołu TLS i szyfrów na interfejsach HTTP (dla XSI i usługi uwierzytelniania)

Aplikacje usługi uwierzytelniania, Xsi-Actions i Xsi-Ev ents używają interfejsów serwera HTTP. Poziomy konfiguracji TLS dla tych aplikacji są następujące:

Najbardziej ogólne = System > Transport > HTTP > Interfejs serwera HTTP = Najbardziej specyficzny

Konteksty interfejsu wiersza polecenia używanych do przeglą dania lub modyfikowania różnych ustawień SSL to:

Odczytywanie konfiguracji interfejsu TLS serwera HTTP na XSP|ADP

1. Zaloguj się do XSP|ADP i przejdź do XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Wprowadź polecenie get i przeczytaj wyniki. Powinieneś zobaczyć interfejsy (adresy IP) i, dla każdego, czy są one bezpieczne i czy wymagają uwierzytelniania klienta.

Apache tomcat nakazuje certyfikat dla każdego bezpiecznego interfejsu; system generuje certyfikat podpisany samodzielnie, jeśli go potrzebuje.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Dodawanie protokołu TLS 1.2 do interfejsu serwera HTTP

Interfejs HTTP wchodzący w interakcję z chmurą Webex musi być skonfigurowany dla TLSv1.2. Chmura nie negocjuje wcześniejszych wersji protokołu TLS.

Aby skonfigurować protokół TLSv1.2 w interfejsie serwera HTTP:

1. Zaloguj się do XSP|ADP i przejdź do XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Protocols>

2. Wprowadź polecenie get 443<interfaceIp>, aby zobaczyć, które protokoły są już używane w tym interfejsie.

3. Wprowadź polecenie dodaj 443 TLSv1.2<interfaceIp>, aby upewnić się, że interfejs może używać protokołu TLS 1.2 podczas komunikacji z chmurą.

Edycja konfiguracji szyfrów TLS w interfejsie serwera HTTP

Aby skonfigurować wymagane szyfry:

1. Zaloguj się do XSP|ADP i przejdź do XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Cyphers>

2. Wprowadź polecenie get 443<interfaceIp>, aby zobaczyć, które szyfry są już używane w tym interfejsie. Musi być co najmniej jeden z pakietów zalec anych przez Cisco (patrz wymagania dotyczące tożsamości i bezpieczeństwa XSP|ADP w sekcji Przegląd).

3. Wprowadź polecenie dodaj 443<interfaceIp>, <cipherName>aby dodać szyfr do interfejsu serwera HTTP.

   Interfejs wiersza polecenia XSP|ADP wymaga standardowej nazwy pakietu szyfrów IANA, a nie nazwy pakietu szyfrów OpenSSL. Na przykład, aby dodać szyfr OpenSSL ECD HE-ECDSA-CHACHA20-POLY1305 do interfejsu serwera HTTP, należy użyć: XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers> dodaj 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Zobacz https://ciphersuite.info/, aby znaleźć pakiet według dowolnej nazwy.

Konfigurowanie zarządzania urządzeniami na XSP|ADP, serwerze aplikacji i serwerze profili

Serwer profili i XSP|ADP są obowiązkowe dla zarządzania urządzeniami. Muszą być skonfigurowane zgodnie z instrukcjami zawartymi w Przewodniku konfiguracji zarządzania urządzeniami BroadWor ks.