Requisitos de co-residência

• O Serviço de Autenticação deve ser co-residente com os aplicativos Xsi, porque essas interfaces devem aceitar tokens de longa duração para autorização do serviço. O serviço de autenticação é necessário para validar esses tokens.

• O serviço de autenticação e o Xsi podem ser executados na mesma porta, se necessário.

• Você pode separar os outros serviços/aplicativos conforme necessário para sua escala (gerenciamento de dispositivos dedicado XSP|ADP farm, por exemplo).

• Você pode co-localizar os aplicativos Xsi, CTI, Authentication Service e DMS.

• Não instale outros aplicativos ou serviços no XSP|ADPS que são usados para integrar o BroadWorks com o Webex.

• Não coloque o aplicativo NPS em conjunto com nenhum outro aplicativo.

Interfaces Xsi

Instale e configure os aplicativos Xsi-Actions e Xsi-Events conforme descrito no Guia de Configuração da Interface Cisco BroadWorks Xtended Services.

Somente uma instância dos aplicativos Xsi-Events deve ser implantada no XSP|ADP usado para a interface CTI .

Todos os Xsi-Events usados para integrar o Broadworks com o Webex devem ter o mesmo CallControlApplicationName definido em applications/XSI-Events/GeneralSettings. Por exemplo:

ADP_CLI/aplicativos/XSI-Events/Configurações gerais > obter

callControlApplicationName = com.broadsoft.xsi-events

Quando um usuário é integrado ao Webex, o Webex cria uma assinatura para o usuário no AS para receber eventos de telefonia para presença e histórico de chamadas. A assinatura é associada ao CallControlApplicationName e o AS a usa para saber para quais Xsi-Events enviar os eventos de telefonia.

Configurar o serviço de autenticação (com validação de token CI)

Use esse procedimento para configurar o Serviço de Autenticação para usar a Validação de Token CI com TLS. Esse método de autenticação é recomendado se você estiver executando o R22 ou superior e seu sistema o suportar.

1. Obtendo credenciais OAuth para seu Webex for Cisco BroadWorks.

2. Instale os seguintes patches em cada servidor XSP|ADP. Instale os patches apropriados à sua versão:

   • Para R22:

     AP.platform.22.0.1123.ap376508

     AP.xsp.22.0.1123.ap376508

     AP.xsp.22.0.1123.ap368601

   • Para R23:

     AP.xsp.23.0.1075.AP376509

     AP.platform.23.0.1075.ap376509

   • Para R24 — nenhum patch é necessário

   Qualquer referência ao XSP inclui XSP ou ADP.

3. Instale o aplicativo AuthenticationService em cada serviço XSP|ADP.

   1. Execute o comando a seguir para ativar o aplicativo AuthenticationService no XSP|ADP para o caminho de contexto /AuthService.

      XSP | ADP_CLI/Maintenance/Managed Objects > ativar o serviço de autenticação de aplicativos 22.0_1.1123/AuthService

   2. Execute este comando para implantar o AuthenticationService no XSP|ADP:

      XSP|ADP_CLI/Maintenance/Managed Objects> implantar aplicativo /AuthServiceBroadworks SW Manager implantando /AuthService...

4. A partir do Broadworks build 2022.10, as autoridades de certificados que vêm com o Java não são mais incluídas automaticamente no repositório confiável da BroadWorks ao mudar para uma nova versão do java. O AuthenticationService abre uma conexão TLS com o Webex para buscar o token de acesso e precisa ter o seguinte em seu armazenamento confiável para validar o IDBroker e o URL do Webex:

   • IdenTrust Commercial Root CA 1

   • Vá, papai, Root Certificate Authority - G2

   Verifique se esses certificados estão presentes na seguinte CLI

   ADP_CLI/System/SSLCommonSettings/trusts/defaults> get

   Se não estiver presente, execute o seguinte comando para importar as relações de confiança padrão do Java:

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> Importar JavaCaTrust

   Como alternativa, você pode adicionar manualmente esses certificados como âncoras de confiança com o seguinte comando:

   ADP_CLI/System/SSL Configurações comuns/trusts/Broadworks > Atualizar confiança <alias><trustAnchorFile>

   Se o ADP for atualizado de uma versão anterior, as autoridades de certificação da versão antiga serão automaticamente importadas para a nova versão e continuarão a ser importadas até serem removidas manualmente.

   O aplicativo AuthenticationService está isento da configuração ValidatePeerIdentity em ADP_CLI/System/SSLCommonSettings/GeneralSettings e sempre valida a identidade do par. Consulte o FD de validação do certificado Cisco Broadworks X509 para obter mais informações sobre essa configuração.

5. Configure os provedores de identidade executando os seguintes comandos em cada servidor XSP|ADP:

   XSP | ADP_CLI/Aplicativos/Serviço de Autenticação/Provedores de Identidade/Cisco > get

   • defina ClientID Client-ID-from-step1

   • definir ativado como verdadeiro

   • defina clientSecret client-secret-from-step1

   • defina CIResponseBodyMaxSize em bytes 65536

   • set issuerName <URL>— Para o URL, insira o URL issuerName que se aplica ao seu cluster de CI. Veja a tabela a seguir.

   • set issuerURL — Para o URL<URL>, insira o issuerURL que se aplica ao seu cluster de CI. Veja a tabela a seguir.

   • set tokenInfoURL — Insira a <IdPProxy URL>URL do proxy IdP que se aplica ao seu cluster de equipes. Veja a segunda tabela a seguir.

   Tabela 1. Defina o nome do emissor e o URL do emissor

   Se o CI Cluster for...	Defina issuerName e issuerURL como...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Se você não conhece seu cluster de CI, pode obter as informações dos detalhes do cliente na visualização Help Desk do Control Hub.

   Tabela 2. Defina o token em quatro

   Se o Teams Cluster for...	Defina TokenInfoURL como... (URL do proxy IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Se você não conhece seu cluster de equipes, pode obter as informações dos detalhes do cliente na visualização do Help Desk do Control Hub. Para testar, você pode verificar se o TokenInfoURL é válido substituindo a parte "idp/authenticate" do URL por "ping”.

6. Especifique o direito Webex que deve estar presente no perfil do usuário no Webex executando o seguinte comando:

   XSP | ADP_CLI/Applications/AuthenticationService/IdentityProviders/Cisco/Scopes > definir escopo broadworks-connector:user

7. Configure provedores de identidade para a Cisco Federation usando os seguintes comandos em cada servidor XSP|ADP:

   XSP | ADP_CLI/Aplicativos/Serviço de Autenticação/Provedores de Identidade/Cisco/Federação > obtenha

   • defina flsURL https://cifls.webex.com/federation

   • defina o período de atualização em minutos 60

   • defina refreshToken Refresh-Token-from-Step1

8. Execute o comando a seguir para validar se a configuração do FLS está funcionando. Esse comando retornará a lista de provedores de identidade:

   XSP | ADP_CLI/Applications/AuthService/IdentityProviders/Cisco/Federation/ClusterMap > Obter

9. Configure o gerenciamento de tokens usando os seguintes comandos em cada servidor XSP|ADP :

   • XSP | ADP_CLI/Aplicativos/Serviço de autenticação/gerenciamento de tokens >

   • definir TokenIssuer BroadWorks

   • defina a duração do token em 7 a 20 horas

10. Gere e compartilhe chaves RSA. Você deve gerar chaves em um XSP|ADP e depois copiá-las em todos os outros XSP|ADPs. Isso se deve aos seguintes fatores:

    • Você deve usar os mesmos pares de chaves públicas/privadas para criptografia/descriptografia de tokens em todas as instâncias do serviço de autenticação.

    • O par de chaves é gerado pelo serviço de autenticação quando é necessário emitir um token pela primeira vez.

    Se você alternar as teclas ou alterar o tamanho da chave, precisará repetir a configuração a seguir e reiniciar todos os XSP|ADPs.

    1. Selecione um XSP|ADP a ser usado para gerar um par de chaves.

    2. Use um cliente para solicitar um token criptografado desse XSP|ADP, solicitando a seguinte URL do navegador do cliente:

       https://<XSP|ADP-IPAddress>/authService/token? chave = base64URL (chave pública do cliente)

       (Isso gera um par de chaves privadas/públicas no XSP|ADP, se ainda não houver um)

    3. O local do armazenamento de chaves não é configurável. Exporte as chaves:

       XSP | ADP_CLI/Aplicativos/Serviço de autenticação/Gerenciamento de chaves > Exportar chaves

    4. Copie o arquivo exportado /var/broadworks/tmp/authservice.keys para o mesmo local no outro XSP|ADPS, sobrescrevendo um arquivo.keys mais antigo, se necessário.

    5. Importe as chaves em cada um dos outros XSP|ADPs:

       XSP | adp_cli/aplicativos/serviço de autenticação/gerenciamento de chaves > chaves de importação /var/broadworks/tmp/authservice.keys

11. Forneça a URL do AuthService para o contêiner da web. O contêiner web do XSP|ADP precisa da URL AuthService para poder validar os tokens. Em cada um dos XSP|ADPS:

    1. Adicione o URL do serviço de autenticação como um serviço de autenticação externo para o BroadWorks Communications Utility:

       XSP | ADP_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthService> defina o URL http://127.0.0.1:80/authService

    2. Adicione o URL do serviço de autenticação ao contêiner:

       XSP | adp_cli/maintenance/containerOptions> adicionar tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       Isso permite que o Webex use o serviço de autenticação para validar os tokens apresentados como credenciais.

    3. Verifique o parâmetro com get.

    4. Reinicie o XSP|ADP.

Remover o requisito de autenticação do cliente para o serviço de autenticação (somente R24)

Se você tiver o Serviço de Autenticação configurado com a validação do Token CI no R24, também precisará remover o Requisito de Autenticação do Cliente para o Serviço de Autenticação. Execute o seguinte comando CLI:

adp_cli/interface/http/ssl/commonsettings/clientAuthentication/webapps> definir AuthenticationService ClientAuthReq como false <interfaceIp><port>

Configurando TLS e cifras nas interfaces HTTP (para XSI e serviço de autenticação)

Os aplicativos Authentication Service, Xsi-Actions e Xsi-Events usam interfaces de servidor HTTP. Os níveis de configurabilidade do TLS para esses aplicativos são os seguintes:

Mais geral = Sistema > Transporte > HTTP > Interface do servidor HTTP = Mais específico

Os contextos da CLI que você usa para visualizar ou modificar as diferentes configurações de SSL são:

Lendo a configuração da interface TLS do servidor HTTP no XSP|ADP

1. Faça login no XSP|ADP e navegue até XSP|adp_cli/interface/http/httpserver>

2. Digite o comando get e leia os resultados. Você deve ver as interfaces (endereços IP) e, para cada uma, se elas são seguras e se exigem autenticação do cliente.

O Apache tomcat exige um certificado para cada interface segura; o sistema gera um certificado autoassinado se precisar de um.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Adicionando o protocolo TLS 1.2 à interface do servidor HTTP

A interface HTTP que está interagindo com o Webex Cloud deve ser configurada para TLSv1.2. A nuvem não negocia versões anteriores do protocolo TLS.

Para configurar o protocolo TLSv1.2 na interface do servidor HTTP:

1. Faça login no XSP|ADP e navegue até XSP|adp_cli/interface/http/httpserver/SSLSettings/Protocols>

2. Digite o comando get 443 <interfaceIp>para ver quais protocolos já estão sendo usados nessa interface.

3. Insira o comando add 443 TLSv1.2 <interfaceIp>para garantir que a interface possa usar o TLS 1.2 ao se comunicar com a nuvem.

Editando a configuração de cifras TLS na interface do servidor HTTP

Para configurar as cifras necessárias:

1. Faça login no XSP|ADP e navegue até XSP|adp_cli/interface/http/httpserver/SSLSettings/Ciphers>

2. Digite o comando get 443 <interfaceIp>para ver quais cifras já estão sendo usadas nessa interface. Deve haver pelo menos uma das suítes recomendadas pela Cisco (consulte Requisitos de identidade e segurança XSP|ADP na seção Visão geral).

3. Digite o comando add 443 <interfaceIp><cipherName>para adicionar uma cifra à interface do servidor HTTP.

   A CLI do XSP|ADP exige o nome do conjunto de cifras padrão da IANA, não o nome do conjunto de cifras OpenSSL. Por exemplo, para adicionar a cifra OpenSSL ECDHE-ECDSA-CHACHA20-POLY1305 à interface do servidor HTTP, você usaria: XSP|ADP_CLI/interface/HTTP/HTTPServer/SSLSettings/Ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Consulte https://ciphersuite.info/ para encontrar a suíte com qualquer um dos nomes.

Configurar o gerenciamento de dispositivos no XSP|ADP, no servidor de aplicativos e no servidor de perfis

O Profile Server e o XSP|ADP são obrigatórios para o gerenciamento de dispositivos. Eles devem ser configurados de acordo com as instruções do Guia de Configuração de Gerenciamento de Dispositivos do BroadWorks.