Požiadavky na spolužitie

• Autentifikačná služba musí byť spoločným rezidentom s aplikáciami Xsi, pretože tieto rozhrania musia akceptovať dlhodobé tokeny na autorizáciu služby. Na overenie týchto tokenov je potrebná autentifikačná služba.

• Autentifikačná služba a Xsi môžu v prípade potreby bežať na rovnakom porte.

• Ostatné služby/aplikácie môžete oddeliť podľa potreby vašej váhy (napríklad špecializovaná správa zariadení XSP|ADP farm).

• Môžete spoločne lokalizovať aplikácie Xsi, CTI, Authentication Service a DMS.

• Na XSP|ADP neinštalujte iné aplikácie alebo služby, ktoré sa používajú na integráciu BroadWorks s Webex om.

• Neumiestňujte aplikáciu NPS so žiadnymi inými aplikáciami.

Rozhrania Xsi

Nainštalujte a nakonfigurujte aplikácie Xsi-Actions a Xsi-Events tak, ako je opísané v príručke konfigurácie rozhrania Cisco Broad Works Xtended Services.

Iba jedna inštancia aplikácií XSI-Events by mala byť nasadená na XSP|AD P používanom pre rozhranie CTI.

Všetky XSI-Events používané na integráciu Broadworks s Webexom musia mať rovnaký názov callControlApplicationName definovaný v časti Applications/XSI-events/GeneralSettings. Napríklad:

ADP_CLI/Aplikácie/XSI-Events/GeneralSettings> získať

CallControlApplicationName = com.broadsoft.xsi-udalosti

Keď je používateľ zapojený do Webexu, Webex vytvorí predplatné pre používateľa na AS s cieľom prijímať telefónne udalosti pre prítomnosť a históriu hovorov. Predplatné je spojené s názvom CallControlApplicationName a AS ho používa na to, aby vedelo, ktorým Xsi-Events posiela telefonické udalosti.

Konfigurácia autentifikačnej služby (s overením tokenu CI)

Týmto postupom môžete nakonfigurovať autentifikačnú službu tak, aby používala overenie tokenov CI s TLS. Táto metóda overovania sa odporúča, ak používate R22 alebo vyšší a váš systém ju podporuje.

1. Získanie poverení OAuth pre váš Webex pre Cisco BroadWorks.

2. Nainštalujte nasledujúce opravy na každý server XSP|ADP. Nainštalujte oprav y, ktoré sú vhodné pre vaše vydanie:

   • Pre R22:

     AP.platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     Ap.XSP.22.0.1123.AP368601

   • Pre R23:

     AP.XSP.23.0.1075.AP376509

     AP.platform.23.0.1075.AP376509

   • Pre R24 — nevyžaduje sa žiadna náplasť

   Akýkoľvek odkaz na XSP zahŕňa buď XSP alebo ADP.

3. Nainštalujte aplikáciu AuthenticationService na každú službu XSP|ADP.

   1. Spustite nasledujúci príkaz na aktiváciu aplikácie AuthenticationService na XSP|ADP na kontextovú cestu /AuthService.

      XSP|ADP_CLI/Maintenance/ManagedObjects> aktivovať aplikáciu AuthenticationService 22.0_1.1123/AuthService

   2. Spustite tento príkaz na nasadenie AuthenticationService na XSP|ADP:

      XSP|ADP_CLI/Maintenance/ManagedObjects> nasadiť aplikáciu /AuthServiceBroadworks SW Manager nasadenie /AuthService...

4. Počnúc verziou Broadworks 2022.10, autority certifikátov, ktoré prichádzajú s Javou, už nie sú automaticky zahrnuté do obchodu dôveryhodnosti BroadWorks pri prechode na novú verziu javy. AuthenticationService otvára pripojenie TLS k Webexu na získanie prístupového tokenu a na overenie adresy IDBroker a Webex URL musí mať vo svojom dôveryhodnom obchode nasledujúce informácie:

   • iDtrust Komerčný koreň CA 1

   • Go Daddy Root Certificate Authority - G2

   Skontrolujte, či sú tieto certifikáty prítomné v nasledujúcom CLI

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> získať

   Ak nie je k dispozícii, spustite nasledujúci príkaz na import predvolených dôveryhodných prostriedkov Java:

   ADP_CLI/Systém/SSLCommonSettings/Trusts/Defaults> ImportJavaCatRust

   Prípadne môžete tieto certifikáty manuálne pridať ako dôveryhodné kotvy pomocou nasledujúceho príkazu:

   ADP_CLI/Systém/SSLCommonSettings/Trusts/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Ak je ADP aktualizovaný z predchádzajúceho vydania, certifikačné orgány zo starého vydania sa automaticky importujú do nového vydania a budú naďalej importované až do manuálneho odstránenia.

   Aplikácia AuthenticationService je vyňatá z nastavenia validatePeerIdentity v časti ADP_CLI/System/SSLCommonSettings/GeneralSettings a vždy overuje rovesnú identitu. Ďalšie informácie o tomto nastavení nájdete v časti FD o overení certifikátov Cisco Broadworks X509.

5. Nakonfigurujte poskytovateľov identity spustením nasledujúcich príkazov na každom serveri XSP|ADP:

   XSP | ADP_CLI/Aplikácie/AuthenticationService/Poskytovatelia identity/CISCO> získať

   • nastaviť ClientID Client-ID-from-Step1

   • nastaviť povolené pravdivé

   • nastaviť ClientSecret Client-Secret-from-Step1

   • nastaviť CIResponseBodyMaxSizeInBytes 65536

   • nastaviť IssuerName <URL>— Pre adresu URL zadajte adresu URL IssuerName, ktorá sa vzťahuje na váš klaster CI. Pozri nasledujúcu tabuľku.

   • nastaviť IssuerURL — Pre adresu URL <URL>zadajte adresu URL IssuerURL, ktorá sa vzťahuje na váš klaster CI. Pozri nasledujúcu tabuľku.

   • set TokenInFourl <IdPProxy URL>— Zadajte adresu URL proxy IDP, ktorá sa vzťahuje na váš klaster Teams. Pozri druhú tabuľku, ktorá nasleduje.

   Tabuľka 1. Nastavenie názvu vydavateľa a adresu URL vydavateľa

   Ak je CI Cluster...	Nastavte IssuerName a IssuerURL na...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Ak nepoznáte svoj klaster CI, informácie môžete získať z údajov o zákazníkovi v zobrazení Help Desk v Control Hub.

   Tabuľka 2. Set TokenInFourl

   Ak je Teams Cluster...	Nastavte TokeninFourl na... (IdP Proxy URL)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Ak nepoznáte svoj Teams Cluster, informácie môžete získať z údajov o zákazníkovi v zobrazení Help Desk v Control Hub. Na testovanie môžete overiť, či je tokenInFourl platný nahradením časti „idp/autentifik ácia“ adresy URL za „ping“.

6. Zadajte oprávnenie Webex, ktoré musí byť prítomné v používateľskom profile vo Webexe spustením nasledujúceho príkazu:

   XSP | ADP_CLI/Aplikácie/AuthenticationService/IdentityProvider/Cisco/Scopes> nastaviť rozsah širokého rozsahu konektor:používateľ

7. Nakonfigurujte poskytovateľov identity pre Cisco Federation pomocou nasledujúcich príkazov na každom serveri XSP|ADP:

   XSP | ADP_CLI/Aplikácie/AuthenticationService/Poskytovatelia identity/CISCO/Federácia> získať

   • súprava FLsURL https://cifls.webex.com/federation

   • nastaviť RefreshPeriodInMinutes 60

   • nastaviť RefreshToken Refresh-Token-from-Step1

8. Ak chcete overiť, či vaša konfigurácia FLS funguje, spustite nasledujúci príkaz. Tento príkaz vráti zoznam poskytovateľov identity:

   XSP | ADP_CLI/Aplikácie/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Získať

9. Nakonfigurujte správu tokenov pomocou nasledujúcich príkazov na každom serveri XSP|ADP :

   • XSP | ADP_CLI/Aplikácie/AuthenticationService/Správa token>

   • set tokenVydavateľ BroadWorks

   • nastavenieDurationInHours 720

10. Generujte a zdieľajte kľúče RSA. Musíte vygenerovať kľúče na jednom XSP|ADP a potom ich skopírovať do všetkých ostatných XSP|ADP. Je to spôsobené nasledujúcimi faktormi:

    • Na šifrovanie/dešifrovanie tokenov musíte použiť rovnaké páry verejných/súkromných kľúčov vo všetkých inštanciách autentifikačnej služby.

    • Pár kľúčov je generovaný autentifikačnou službou, keď sa prvýkrát vyžaduje vydanie tokenu.

    Ak cyklifikujete klávesy alebo zmeníte dĺžku kľúča, musíte zopakovať nasledujúcu konfiguráciu a reštartovať všetky XSP|ADP.

    1. Vyberte jednu XSP|ADP, ktorú chcete použiť na generovanie páru kľúčov.

    2. Použite klienta na vyžiadanie šifrovaného tokenu z tohto XSP|ADP požadovaním nasledujúcej adresy URL z prehliadača klienta:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (klientPublicKey)

       (Tým sa vytvorí pár súkromných/verejných kľúčov na XSP|ADP, ak ešte neexistoval)

    3. Umiestnenie úložiska kľúčov nie je konfigurovateľné. Exportovať kľúče:

       XSP | ADP_CLI/Aplikácie/AuthenticationService/KeyManagement> ExportKľúče

    4. Skopírujte exportovaný súbor /var/broadworks/tmp/authservice.keys na rovnaké miesto na inom XSP|ADPS a v prípade potreby prepíšte starší súbor.keys.

    5. Importujte kľúče na každom z ostatných XSP|ADP:

       XSP | ADP_CLI/Aplikácie/AuthenticationService/KeyManagement> ImportKľúče /var/Broadworks/TMP/AuthService.keys

11. Poskytnite webovú adresu URL služby AuthService do webového kontajnera. Webový kontajner XSP|ADP potrebuje URL AuthService, aby mohol overovať tokeny. Na každom z XSP | ADP:

    1. Pridajte adresu URL služby autentifikácie ako externú autentifikačnú službu pre BroadWorks Communications Utility:

       XSP | ADP_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> nastaviť adresu URL http://127.0.0.1:80/authService

    2. Pridajte adresu URL služby autentifikácie do kontajnera:

       XSP|ADP _CLI/Údržba/Možnosti kontajnerova> pridať tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       To umožňuje Webex používať autentifikačnú službu na overenie tokenov prezentovaných ako poverenia.

    3. Skontrolujte parameter pomocou get.

    4. Reštartujte XSP | ADP.

Odstrániť požiadavku na autentifikáciu klienta pre službu Auth (iba R24)

Ak máte autentifikačnú službu nakonfigurovanú s overovaním CI Token na R24, musíte tiež odstrániť požiadavku na autentifikáciu klienta pre autentifikačnú službu. Spustite nasledujúci príkaz CLI:

ADP_CLI/Rozhranie/HTTP/SSLCommonSettings/Autentifikácia klientu/Webové aplikácie> nastaviť autentifikácieService ClientAuthReq false <interfaceIp><port>

Konfigurácia TLS a šifer na rozhraniach HTTP (pre XSI a autentifikačnú službu)

Aplikácie Authentication Service, Xsi-Actions a Xsi-Events používajú rozhrania servera HTTP . Úrovne konfigurovateľnosti TLS pre tieto aplikácie sú nasledovné:

Najvšeobecnejšie = Systém > Transport > HTTP > HTTP Server rozhranie = Najkonkrétnejšie

Kontexty CLI, ktoré používate na zobrazenie alebo úpravu rôznych nastavení SSL, sú:

Čítanie konfigurácie rozhrania TLS servera HTTP na XSP|ADP

1. Prihláste sa do XSP|ADP a prejdite na XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Zadajte príkaz get a prečítajte si výsledky. Mali by ste vidieť rozhrania (adresy IP) a pre každé z nich, či sú bezpečné a či vyžadujú autentifikáciu klienta.

Apache tomcat poveruje certifikát pre každé zabezpečené rozhranie; systém vy generuje certifikát s vlastným podpisom, ak ho potrebuje.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Pridanie protokolu TLS 1.2 do rozhrania servera HTTP

Rozhranie HTTP, ktoré interaguje s Webex Cloud, musí byť nakonfigurované pre TLSv1.2. Cloud nevyjednáva staršie verzie protokolu TLS.

Ak chcete nakonfigurovať protokol TLSv1.2 na rozhraní servera HTTP:

1. Prihláste sa do XSP|ADP a prejdite na XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Protocols>

2. Zadajte príkaz get 443, aby ste <interfaceIp>zistili, ktoré protokoly sa už používajú na tomto rozhraní.

3. Zadajte príkaz pridať 443 TLSv1.2, aby ste sa u isti <interfaceIp>li, že rozhranie môže používať TLS 1.2 pri komunikácii s cloudom.

Úprava konfigurácie šifier TLS na rozhraní servera HTTP

Ak chcete nakonfigurovať požadované šifre:

1. Prihláste sa do XSP|ADP a prejdite na XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Zadajte príkaz get 443, aby ste <interfaceIp>zistili, ktoré šifry sa už používajú na tomto rozhraní. Musí existovať aspoň jeden z odporúčaných balíkov Cisco (pozri XSP|ADP Identity and Security Požiadavky v časti Pre hľad).

3. Zadajte príkaz pridať 443 <interfaceIp><cipherName>a pridať šifru do rozhrania servera HTTP.

   XSP|ADP CLI vyžaduje štandardný názov šifrovacej sady IANA, nie názov šifrovacej sady OpenSSL. Napríklad, ak chcete pridať šifru OpenSSL ECD HE-ECDSA-CHACHA20-POLY1305 do rozhrania servera HTTP, použite: XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers> pridať 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Na stránke https://ciphersuite.info/ nájdete balík podľa oboch mien.

Konfigurácia správy zariadení na XSP|ADP, Application Server a Profile Server

Profile Server a XSP|ADP sú povinné pre správu zariadení. Musia byť nakon figurované podľa pokynov v príruč ke konfigur ácie správy zariadení BroadWor ks.