Требования к совместному проживанию

• Служба аутентификации должна работать совместно с приложениями Xsi, поскольку для авторизации сервиса эти интерфейсы должны принимать долгоживущие токены. Служба аутентификации необходима для проверки этих токенов.

• При необходимости служба аутентификации и Xsi могут работать на одном порту.

• Другие сервисы/приложения можно разделить в зависимости от масштаба (например, выделенная ферма управления устройствами XSP|ADP).

• Вы можете разместить приложения Xsi, CTI, Authentication Service и DMS в одном месте.

• Не устанавливайте на XSP|ADPS другие приложения или службы, используемые для интеграции BroadWorks с Webex.

• Не размещайте приложение NPS вместе с другими приложениями.

Интерфейсы Xsi

Установите и настройте приложения Xsi-Actions и Xsi-Events, как описано в руководстве по настройке интерфейса расширенных сервисов Cisco BroadWorks.

На XSP|ADP, используемом для интерфейса CTI, следует развернуть только один экземпляр приложений Xsi-Events.

Все события Xsi, используемые для интеграции Broadworks с Webex, должны иметь одно и то же имя приложения CallControlApplication, определенное в разделе Приложения/XSI-события/Общие настройки. Например:

adp_cli/Приложения/XSI-события/Общие настройки> получить

Имя приложения для управления вызовами = com.broadsoft.xsi-events

При подключении пользователя к Webex Webex Webex создает для него подписку на AS, чтобы получать информацию о событиях телефонии для просмотра информации о присутствии и истории вызовов. Подписка связана с именем CallControlApplicationName, и AS использует его для определения того, на какие Xsi-Events отправлять события телефонии.

Настройка службы аутентификации (с проверкой токена CI)

Используйте эту процедуру, чтобы настроить службу аутентификации на использование валидации токенов CI с помощью TLS. Этот метод аутентификации рекомендуется использовать, если вы используете R22 или выше и ваша система его поддерживает.

1. Получение учетных данных OAuth для вашего Webex для Cisco BroadWorks.

2. Установите следующие патчи на каждом сервере XSP|ADP. Установите исправления, соответствующие вашей версии:

   • Для R22:

     Платформа AP.22.0.1123.ap376508

     Приложение XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • Для R23:

     AP.XSP.23.0.1075.AP376509

     Ссылка на платформу 23.0.1075.ap376509

   • Для R24 — патч не требуется

   Любая ссылка на XSP включает XSP или ADP.

3. Установите приложение AuthenticationService на каждом сервисе XSP|ADP.

   1. Выполните следующую команду, чтобы активировать приложение AuthenticationService на XSP|ADP по контекстному пути /AuthService.

      XSP|ADP_CLI/Обслуживание/Управляемые объекты > активировать службу аутентификации приложений 22.0_1.1123/AuthService

   2. Выполните следующую команду, чтобы развернуть службу аутентификации на XSP|ADP:

      XSP|ADP_CLI/Обслуживание/Управляемые объекты> развертывание приложения /AuthServiceBroadworks SW Manager развертывание /AuthService...

4. Начиная с версии Broadworks 2022.10, центры сертификации, поставляемые вместе с Java, больше не включаются автоматически в доверенное хранилище BroadWorks при переходе на новую версию java. Служба аутентификации открывает TLS-соединение с Webex для получения токена доступа. Для проверки URL-адреса IDBroker и Webex в доверенном хранилище должно быть следующее:

   • Коммерческий корень IDentrust CA 1

   • Вперед, папа Certificate Authority Рут — G2

   Убедитесь, что эти сертификаты присутствуют в следующем интерфейсе командной строки

   adp_cli/system/sslОбщие настройки/доверия/значения по умолчанию > получить

   Если нет, выполните следующую команду, чтобы импортировать трасты Java по умолчанию:

   adp_cli/system/sslОбщие настройки/доверия/значения по умолчанию > Импорт Java Catrust

   Кроме того, вы можете вручную добавить эти сертификаты в качестве якорей доверия с помощью следующей команды:

   adp_cli/system/sslОбщие настройки/доверия/Broadworks > UpdateTrust <alias><trustAnchorFile>

   Если ADP обновляется с предыдущей версии, центры сертификации из старой версии автоматически импортируются в новую версию и будут импортироваться до тех пор, пока они не будут удалены вручную.

   Приложение AuthenticationService освобождено от настройки ValidatePeerIdentity в разделе ADP_CLI/system/SSLCommonSettings/GeneralSettings и всегда проверяет идентификацию однорангового узла. Дополнительные сведения об этом параметре см. в документе «Проверка сертификата Cisco Broadworks X509 FD».

5. Настройте поставщиков удостоверений, выполнив следующие команды на каждом сервере XSP|ADP:

   xSP|ADP_CLI/Приложения/Служба аутентификации/Поставщики удостоверений/Cisco > get

   • задайте идентификатор клиента ClientID на шаге 1

   • установите значение true

   • задайте «Секрет клиента» в параметре «Секрет клиента», начиная с шага 1

   • задайте максимальный размер тела ответа CI в байтах 65536

   • задайте имя отправителя — в качестве URL-адреса введите URL-адрес имени эмитента <URL>, относящийся к вашему кластеру CI. См. следующую таблицу.

   • set issuerURL <URL>— в качестве URL-адреса введите URL-адрес эмитента, относящийся к вашему кластеру CI. См. следующую таблицу.

   • set TokenInfoURL <IdPProxy URL>— введите URL-адрес прокси-сервера IdP, относящийся к вашему кластеру Teams. См. вторую таблицу ниже.

   Таблица 1. Задайте имя эмитента и URL-адрес эмитента

   Если кластер CI — это...	Задайте имя эмитента и URL-адрес эмитента на...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Если вы не знаете свой кластер CI, вы можете получить информацию в разделе «Сведения о клиенте» в разделе «Служба поддержки» в Control Hub.

   Таблица 2. Набор токенов в Фурле

   Если кластер команд — это...	Установите для токена Fourl значение... (URL-адрес прокси-сервера IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Если вы не знаете свой кластер Teams, вы можете получить информацию в разделе «Сведения о клиенте» в разделе «Служба поддержки» в Control Hub. Для тестирования вы можете убедиться, что TokenInfoURL действителен, заменив часть URL-адреса «idp/authenticate» на «ping».

6. Укажите право Webex, которое должно присутствовать в профиле пользователя в Webex, выполнив следующую команду:

   xSP|adp_cli/приложения/служба аутентификации/поставщики удостоверений/cisco/scopes> установить область действия broadworks-connector: пользователь

7. Настройте поставщиков удостоверений для федерации Cisco с помощью следующих команд на каждом сервере XSP|ADP:

   xSP|adp_cli/приложения/служба аутентификации/поставщики удостоверений/cisco/федерация > get

   • введите URL-адрес https://cifls.webex.com/federation

   • установите период обновления в 60 минутах

   • задайте токен обновления токена RefreshToken, начиная с шага 1

8. Выполните следующую команду, чтобы убедиться, что конфигурация FLS работает. Эта команда вернет список поставщиков идентификационных данных:

   xSP|adp_cli/Приложения/Служба аутентификации/Поставщики удостоверений/CISCO/Федерация/Карта кластера> Получить

9. Настройте управление токенами с помощью следующих команд на каждом сервере XSP|ADP:

   • XSP|ADP_CLI/Приложения/Служба аутентификации/Управление токенами >

   • эмитент набора токенов BroadWorks

   • заданный срок действия токена в часах 720

10. Генерируйте ключи RSA и делитесь ими. Необходимо сгенерировать ключи на одном XSP|ADP, а затем скопировать их во все остальные XSP|ADP. Это связано со следующими факторами:

    • Для шифрования/дешифрования токенов во всех экземплярах службы аутентификации необходимо использовать одни и те же пары открытых/закрытых ключей.

    • Пара ключей генерируется службой аутентификации, когда требуется впервые выпустить токен.

    При переключении клавиш или изменении длины ключа необходимо повторить следующую конфигурацию и перезапустить все XSP|ADPS.

    1. Выберите один XSP|ADP для создания пары ключей.

    2. Используйте клиент, чтобы запросить у этого XSP|ADP зашифрованный токен, запросив в браузере клиента следующий URL-адрес:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (открытый ключ клиента)

       (Это создает пару закрытых/открытых ключей на XSP|ADP, если ее еще не было)

    3. Местоположение хранилища ключей нельзя настроить. Экспортируйте ключи:

       xSP|ADP_CLI/Приложения/Служба аутентификации/Управление ключами > Экспорт ключей

    4. Скопируйте экспортированный файл /var/Broadworks/tmp/Authservice.keys в то же место на другом XSP|ADPS и при необходимости перезапишите старый файл.keys.

    5. Импортируйте ключи в каждый из других XSP|ADPS:

       XSP|ADP_CLI/Приложения/Служба аутентификации/Управление ключами > Импорт ключей /VAR/Broadworks/tmp/AuthService.keys

11. Укажите веб-контейнеру URL-адрес AuthService. Для проверки токенов веб-контейнеру XSP|ADP требуется URL-адрес AuthService. На каждом из XSP|ADPS:

    1. Добавьте URL-адрес службы аутентификации в качестве внешнего сервиса аутентификации для утилиты BroadWorks Communications:

       XSP|ADP_CLI/Система/Коммуникационная утилита /Настройки по умолчанию, Внешняя аутентификация/Служба аутентификации > задать URL-адрес http://127.0.0.1:80/authService

    2. Добавьте URL-адрес службы аутентификации в контейнер:

       xsp|adp_cli/обслуживание/параметры контейнеров> добавить URL-адрес службы tomcat bw.authService.authService.authhttp://127.0.0.1:80/authService

       Это позволяет Webex использовать службу аутентификации для проверки токенов, представленных в качестве учетных данных.

    3. Проверьте этот параметр с помощью get.

    4. Перезапустите XSP|ADP.

Отмените требование аутентификации клиента для службы аутентификации (только R24)

Если служба аутентификации настроена на проверку токена CI на R24, вам также необходимо отменить требование аутентификации клиентов для службы аутентификации. Выполните следующую команду CLI:

adp_cli/interface/http/sslcommonsettings/аутентификация клиентов/WebApps> присвойте клиенту службы аутентификации Authreq значение false <interfaceIp><port>

Настройка протоколов TLS и шифров на интерфейсах HTTP (для XSI и службы аутентификации)

Приложения Службы аутентификации, Xsi-Actions и Xsi-Events используют серверные интерфейсы HTTP. Уровни настраиваемости TLS для этих приложений следующие:

Наиболее общие сведения = Система > Транспорт > HTTP > Интерфейс HTTP-сервера = Наиболее специфичный

Для просмотра или изменения различных настроек SSL используются следующие контексты интерфейса командной строки:

Чтение конфигурации интерфейса TLS HTTP-сервера на XSP|ADP

1. Войдите в XSP|ADP и перейдите в раздел XSP|ADP_CLI/interface/http/httpServer>

2. Введите команду get и прочитайте результаты. Вы должны увидеть интерфейсы (IP-адреса), а также узнать, безопасны ли они и требуют ли они аутентификации клиентов.

Apache tomcat требует наличия сертификата для каждого защищенного интерфейса; при необходимости система генерирует самозаверяющий сертификат.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Добавление протокола TLS 1.2 в интерфейс HTTP-сервера

HTTP-интерфейс, взаимодействующий с облаком Webex, должен быть настроен для TLSv1.2. В облаке не согласованы более ранние версии протокола TLS.

Чтобы настроить протокол TLSv1.2 в интерфейсе HTTP-сервера, выполните следующие действия:

1. Войдите в XSP|ADP и перейдите в раздел XSP|ADP_CLI/interface/http/http://http/server/sslSettings/Protocols>

2. Введите команду get 443, чтобы узнать , какие протоколы уже используются в этом <interfaceIp>интерфейсе.

3. Введите команду add 443 TLSv1.2<interfaceIp>, чтобы интерфейс мог использовать протокол TLS 1.2 при взаимодействии с облаком.

Редактирование конфигурации шифров TLS в интерфейсе HTTP-сервера

Чтобы настроить необходимые шифры, выполните следующие действия:

1. Войдите в XSP|ADP и перейдите в раздел XSP|ADP_CLI/interface/http/http://http/server/ssl/ssettings/ciphers>

2. Введите команду get 443, чтобы узнать , какие шифры уже используются в этом <interfaceIp>интерфейсе. Должен быть хотя бы один из рекомендованных Cisco пакетов (см. Требования к идентификации и безопасности XSP|ADP в разделе «Обзор»).

3. Введите команду add 443<interfaceIp>, <cipherName>чтобы добавить шифр в интерфейс HTTP-сервера.

   Для интерфейса командной строки XSP|ADP требуется стандартное имя набора шифров IANA, а не имя набора шифров OpenSSL. Например, чтобы добавить шифр OpenSSL ECDHE-ECDSA-CHACHA20-POLY1305 в интерфейс HTTP-сервера, вы должны использовать: xsp|adp_cli/interface/http/httpServer/SSLSettings/шифры> добавить 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Посетите https://ciphersuite.info/, чтобы найти пакет под любым именем.

Настройте управление устройствами на XSP|ADP, сервере приложений и сервере профилей

Сервер профилей и XSP|ADP являются обязательными для управления устройствами. Их необходимо настроить в соответствии с инструкциями в руководстве по настройке управления устройствами BroadWorks.