Cerințe de co-rezidență

• Serviciul de autentificare trebuie să fie co-rezident cu aplicațiile Xsi, deoarece acele interfețe trebuie să accepte jetoane cu durată lungă de viață pentru autorizarea serviciului. Serviciul de autentificare este necesar pentru a valida acele jetoane.

• Serviciul de autentificare și Xsi pot rula pe același port, dacă este necesar.

• Puteți separa celelalte servicii/aplicații, după cum este necesar pentru scara dvs. (ferma dedicată de gestionare a dispozitivelor XSP|ADP, de exemplu).

• Puteți co-localiza aplicațiile Xsi, CTI, Serviciul de autentificare și DMS.

• Nu instalați alte aplicații sau servicii pe XSP|ADP care sunt utilizate pentru integrarea BroadWorks cu Webex.

• Nu co-localizați aplicația NPS cu alte aplicații.

Interfețe Xsi

Instalați și configurați aplicațiile Xsi-Actions și Xsi-Events așa cum este descris în Ghidul de configurare a interfeței Cisco BroadWorks Xtended Services.

O singură instanță a aplicațiilor Xsi-Events trebuie implementată pe XSP|ADP utilizat pentru interfața CTI.

Toate Xsi-Events utilizate pentru integrarea Broadworks cu Webex trebuie să aibă același CallControlApplicationName definit în Applications/XSI-Events/GeneralSettings. De exemplu:

ADP_CLI/Aplicații/XSI-Events/GeneralSettings> obține

CallControlApplicationName = com.broadsoft.xsi-events

Când un utilizator este conectat la Webex, Webex creează un abonament pentru utilizatorul din AS pentru a primi evenimente de telefonie pentru prezență și istoricul apelurilor. Abonamentul este asociat cu CallControlApplicationName, iar AS îl folosește pentru a ști către care Xsi-Events să trimită evenimentele de telefonie.

Configurați serviciul de autentificare (cu validarea tokenului CI)

Utilizaţi această procedură pentru a configura Serviciul de autentificare pentru a utiliza validarea tokenului CI cu TLS. Această metodă de autentificare este recomandată dacă rulați R22 sau o versiune ulterioară și sistemul dvs. o acceptă.

1. Obținerea acreditărilor OAuth pentru Webex pentru Cisco BroadWorks.

2. Instalați următoarele patch-uri pe fiecare server XSP|ADP. Instalați patch- urile care sunt adecvate versiunii dvs.:

   • Pentru R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • Pentru R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Pentru R24 — nu este necesar un patch

   Orice referire la XSP include fie XSP, fie ADP.

3. Instalați aplicația AuthenticationService pe fiecare serviciu XSP|ADP.

   1. Executaţi următoarea comandă pentru a activa aplicaţia AuthenticationService pe XSP|ADP la calea contextuală /AuthService.

      XSP|ADP_CLI/Maintenance/ManagedObjects> activează aplicația AuthenticationService 22.0_1.1123/AuthService

   2. Rulați această comandă pentru a implementa AuthenticationService pe XSP|ADP:

      XSP | ADP_CLI/Maintenance/ManagedObjects> implementare aplicație/AuthServiceBroadworks SW Manager implementând /AuthService...

4. Începând cu Broadworks build 2022.10, autoritățile de certificate care vin cu Java nu mai sunt incluse automat în magazinul de încredere BroadWorks la trecerea la o nouă versiune de java. AuthenticationService deschide o conexiune TLS la Webex pentru a prelua tokenul de acces și trebuie să aibă următoarele în magazinul său de încredere pentru a valida adresa URL IDBroker și Webex:

   • IDEntrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Verificați dacă aceste certificate sunt prezente sub următorul CLI

   adp_cli/system/SSLCommonSettings/Trust/Defaults> obține

   Dacă nu este prezent, executați următoarea comandă pentru a importa trusturile Java implicite:

   ADP_CLI/Sistem/SSLCommonSettings/Trust/Defaults> ImportJavaCatTrust

   Alternativ, puteți adăuga manual aceste certificate ca ancore de încredere cu următoarea comandă:

   ADP_CLI/System/SSLCommonSettings/Trust/Broadworks> ActualizeTrust <alias><trustAnchorFile>

   Dacă ADP este actualizat de la o versiune anterioară, autoritățile de certificare din vechea versiune sunt importate automat în noua versiune și vor continua să fie importate până când sunt eliminate manual.

   Aplicația AuthenticationService este exceptată de la setarea ValidatePeerIdentity sub ADP_CLI/System/SSLCommonSettings/GeneralSettings și validează întotdeauna identitatea peer. Consultați FD de validare a certificatului Cisco Broadworks X509 pentru mai multe informații despre această setare.

5. Configuraţi furnizorii de identitate executând următoarele comenzi pe fiecare server XSP|ADP:

   XSP | ADP_CLI/Aplicații/AuthenticationService/IdentityProviders/Cisco> obține

   • setați ID-ul clientID de la pasul 1

   • setați activat adevărat

   • setați ClientSecret Client-Secret-din-pasul1

   • setați ciResponseBodyMaxSizeInbytes 65536

   • set IssuerName <URL>—Pentru adresa URL, introduceți adresa URL IssuerName care se aplică clusterului CI. A se vedea tabelul următor.

   • set IssuerURL —Pentru adresa <URL>URL, introduceți adresa IssuerURL care se aplică clusterului CI. A se vedea tabelul următor.

   • set TokenInFourl —Introduceți <IdPProxy URL>adresa URL Proxy IdP care se aplică Clusterului dvs. de echipe. Vezi al doilea tabel care urmează.

   Tabelul 1. Setați IssuerName și IssuerURL

   Dacă Clusterul CI este...	Setați IssuerName și IssuerURL la...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Dacă nu cunoașteți clusterul CI, puteți obține informațiile din detaliile clientului din vizualizarea Help Desk din Control Hub.

   Tabelul 2. Setați tokenInFourl

   Dacă Clusterul echipelor este...	Setați TokenInFourl la... (Adresa URL proxy IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Dacă nu cunoașteți Clusterul de echipe, puteți obține informațiile din detaliile clientului din vizualizarea Help Desk din Control Hub. Pentru testare, puteți verifica dacă tokenInfoURL este valid înlocuind porțiunea „idp/authenticate” a adresei URL cu „ping”.

6. Specificați dreptul Webex care trebuie să fie prezent în profilul de utilizator din Webex executând următoarea comandă:

   XSP | ADP_CLI/Aplicații/AuthenticationService/IdentityProviders/Cisco/scopes> setați domeniul de aplicare broadworks-connector:utilizator

7. Configurați furnizorii de identitate pentru Cisco Federation utilizând următoarele comenzi pe fiecare server XSP|ADP:

   xsp|ADP_CLI/Aplicații/AuthenticationService/IdentityProviders/Cisco/Federation> obține

   • setați FLSurl https://cifls.webex.com/federation

   • setați RefreshPeriodInMinutes 60

   • setați RefreshToken Refresh-Token-din-pasul1

8. Rulați următoarea comandă pentru a valida dacă configurația FLS funcționează. Această comandă va returna lista furnizorilor de identitate:

   xsp|ADP_CLI/Aplicații/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Obține

9. Configurați gestionarea tokenurilor utilizând următoarele comenzi pe fiecare server XSP|ADP:

   • XSP|ADP_CLI/Aplicații/Autentificare/Managementul tokenului>

   • setați tokenIssuer BroadWorks

   • setați tokenDurationInHours 720

10. Generați și partajați chei RSA. Trebuie să generați chei pe un XSP|ADP, apoi să le copiați în toate celelalte XSP|ADP. Acest lucru se datorează următorilor factori:

    • Trebuie să utilizați aceleași perechi de chei publice/private pentru criptarea/decriptarea jetonului în toate instanțele serviciului de autentificare.

    • Perechea de chei este generată de serviciul de autentificare atunci când este necesar pentru prima dată să emită un token.

    Dacă ciclați tastele sau modificați lungimea cheii, trebuie să repetați următoarea configurație și să reporniți toate XSP|ADP-urile.

    1. Selectați un XSP|ADP pe care să îl utilizați pentru generarea unei perechi de chei.

    2. Utilizați un client pentru a solicita un token criptat de la acel XSP|ADP, solicitând următoarea adresă URL din browserul clientului:

       https://<XSP|ADP-IPAddress>/authService/token? cheie = base64 URL (ClientPublicKey)

       (Aceasta generează o pereche de chei private/publice pe XSP|ADP, dacă nu exista deja una)

    3. Locația magazinului cheie nu este configurabilă. Exportați tastele:

       XSP|ADP_CLI/Aplicații/AutentificareService/Managementul cheilor> Exportchei

    4. Copiați fișierul exportat /var/Broadworks/tmp/AuthService.keys în aceeași locație de pe celălalt XSP|ADPS, suprascriând un fișier.keys mai vechi, dacă este necesar.

    5. Importați cheile de pe fiecare dintre celelalte XSP|ADP:

       xsp| ADP_CLI/Aplicații/AuthenticareService/Managementul cheilor> ImportKeys /var/Broadworks/TMP/AuthService.keys

11. Furnizați adresa URL AuthService containerului web. Containerul web al XSP|ADP are nevoie de adresa URL AuthService pentru a putea valida jetoanele. Pe fiecare dintre XSP|ADP-urile:

    1. Adăugați adresa URL a serviciului de autentificare ca serviciu de autentificare extern pentru BroadWorks Communications Utility:

       xsp|ad p_cli/sistem/CommunicationUtility/Setări implicități/ExternalAuthentication/AuthService> setați adresa URL http://127.0.0.1:80/authService

    2. Adăugați adresa URL a serviciului de autentificare la container:

       xsp|adp _cli/întreținere/ContainerOptions> adăugați tomcat bw.authservice.AuthServiceUrl http://127.0.0.1:80/authService

       Acest lucru permite Webex să utilizeze Serviciul de autentificare pentru a valida jetoanele prezentate ca acreditări.

    3. Verificați parametrul cu get.

    4. Reporniți XSP|ADP.

Eliminați cerința de autentificare a clientului pentru serviciul de autentificare (numai R24)

Dacă aveți serviciul de autentificare configurat cu validare CI Token pe R24, trebuie să eliminați și Cerința de autentificare client pentru serviciul de autentificare. Rulați următoarea comandă CLI:

ADP_CLI/Interfață/HTTP/SSLCommonSettings/ClientAuthentication/WebApps> setați autentificareService ClientAuthReq fals <interfaceIp><port>

Configurarea TLS și a cifrelor pe interfețele HTTP (pentru XSI și serviciul de autentificare)

Serviciile de autentificare, Xsi-Actions și aplicațiile Xsi-Events utilizează interfețe server HTTP. Nivelurile de configurabilitate TLS pentru aceste aplicații sunt următoarele:

Cel mai general = Sistem > Transport > HTTP > Interfață HTTP Server = Cel mai specific

Contextele CLI pe care le utilizați pentru a vizualiza sau modifica diferitele setări SSL sunt:

Citirea configurației interfeței TLS HTTP Server pe XSP|ADP

1. Conectați-vă la XSP|ADP și navigați la XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer>

2. Introduceți comanda get și citiți rezultatele. Ar trebui să vedeți interfețele (adresele IP) și, pentru fiecare, dacă sunt sigure și dacă necesită autentificare client.

Apache tomcat mandatează un certificat pentru fiecare interfață securizată; sistemul generează un certificat auto-semnat dacă are nevoie de unul.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Adăugarea protocolului TLS 1.2 la interfața server ului HTTP

Interfața HTTP care interacționează cu Webex Cloud trebuie configurată pentru TLSv1.2. Cloudul nu negociază versiuni anterioare ale protocolului TLS.

Pentru a configura protocolul TLSv1.2 pe interfața HTTP Server:

1. Conectați-vă la XSP|ADP și navigați la XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Introduceți comanda get 443 <interfaceIp>pentru a vedea ce protocoale sunt deja utilizate pe această interfață.

3. Introduceți comanda add 443 TLSv1.2 pentru <interfaceIp>a vă asigura că interfața poate utiliza TLS 1.2 atunci când comunicați cu cloud.

Editarea configurației cifrurilor TLS pe interfața serverului HTTP

Pentru a configura cifrele necesare:

1. Conectați-vă la XSP|ADP și navigați la XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Introduceți comanda get 443 <interfaceIp>pentru a vedea ce cifruri sunt deja utilizate pe această interfață. Trebuie să existe cel puțin una dintre suitele recomandate de Cisco (consultați Cerințe de identitate și securitate XSP|ADP din secțiunea Prezent are generală).

3. Introduceți comanda add 443 <interfaceIp><cipherName>pentru a adăuga un cifru la interfața HTTP Server.

   CLI XSP|ADP necesită numele suitei de cifrare standard IANA, nu numele suitei de cifrare OpenSSL. De exemplu, pentru a adăuga cifra OpenSSL ECDHE- ECDSA-CHACHA20-POLY1305 la interfața serverului HTTP, ați utiliza: xsp|ADP_CLI/interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Consul tați https://ciphersuite.info/ pentru a găsi suita după oricare nume.

Configurarea gestionării dispozitivelor pe XSP|ADP, Server de aplicații și server de profil

Profile Server și XSP|ADP sunt obligatorii pentru Device Management. Acestea trebuie configurate conform instrucțiunilor din Ghi dul de configurare a gestionării dispozitivelor BroadWorks.