Zahteve za sorezidenco

• Storitev preverjanja pristnosti mora biti sorezident z aplikacijami Xsi, ker morajo ti vmesniki sprejemati dolgotrajne žetone za avtorizacijo storitve. Za potrditev teh žetonov je potrebna storitev preverjanja pristnosti.

• Storitev preverjanja pristnosti in Xsi lahko po potrebi izvajata na istih vratih.

• Druge storitve/aplikacije lahko ločite, kot je potrebno za vašo tehtnico (na primer namensko upravljanje naprav XSP|ADP farm).

• Lahko locirate aplikacije Xsi, CTI, storitev preverjanja pristnosti in DMS.

• Na XSP|ADP ne nameščajte drugih aplikacij ali storitev, ki se uporabljajo za integracijo BroadWorks z Webexom.

• Aplikacije NPS ne locirajte skupaj z nobenimi drugimi aplikacijami.

Xsi vmesniki

Namestite in konfigurirajte aplikacije Xsi-Actions in Xsi-Events, kot je opisano v Vodniku za konfiguracijo vmesnika Cisco Broad Works Xtended Services.

Na XSP|ADP, ki se uporablja za vmesnik CTI, je treba uporabiti samo en primer aplikacij X SI-Events.

Vsi dogodki Xsi-Events, ki se uporabljajo za integracijo Broadworks z Webexom, morajo imeti enako ime CallControlApplicationName, ki je definirano v razdelku Applications/XSI-Events/GeneralSettings. Na primer:

ADP_CLI/Aplikacije/XSI-dogodki/Splošne nastavitve> pridobi

CallControlApplicationName = com.broadsoft.xsi-dogodki

Ko je uporabnik vklopljen na Webex, Webex ustvari naročnino za uporabnika na AS, da sprejme telefonske dogodke za prisotnost in zgodovino klicev. Naročnina je povezana z imenom CallControlApplicationName in AS ga uporablja, da ve, na katere Xsi-Events pošlje telefonske dogodke.

Konfigurirajte storitev preverjanja pristnosti (s potrditvijo žetona CI)

S tem postopkom nastavite storitev preverjanja pristnosti, da uporablja preverjanje veljavnosti žetona CI s TLS. Ta način preverjanja pristnosti je priporočljiv, če uporabljate R22 ali novejšo različico in vaš sistem jo podpira.

1. Pridobitev poverilnic OAuth za vaš Webex za Cisco BroadWorks.

2. Na vsak strežnik XSP|ADP namestite naslednje popravke. Namestite poprav ke, ki ustrezajo vaši izdaji:

   • Za R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     Ap.XSP.22.0.1123.AP368601

   • Za R23:

     Ap.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • Za R24 — ni potreben obliž

   Vsako sklicevanje na XSP vključuje XSP ali ADP.

3. Namestite aplikacijo AuthenticationService na vsako storitev XSP|ADP.

   1. Zaženite naslednji ukaz, da aktivirate aplikacijo AuthenticationService na XSP|ADP na kontekstno pot /AuthService.

      XSP|ADP_CLI/Vzdrževanje/ManagedObjects> aktiviraj storitev preverjanja pristnosti aplikacij 22.0_1.1123/AuthService

   2. Zaženite ta ukaz za namestitev AuthenticationService na XSP|ADP :

      XSP|ADP_CLI/Vzdrževanje/ManagedObjects> uvajanje aplikacije /AuthServiceBroadworks SW Manager uvajanje /AuthService...

4. Začenši z različico Broadworks 2022.10, organi za certifikate, ki prihajajo z Java, niso več samodejno vključeni v trgovino zaupanja BroadWorks pri prehodu na novo različico jave. AuthenticationService odpre povezavo TLS z Webexom za pridobitev žetona za dostop in mora imeti v svoji trgovini zaupanja naslednje, da potrdi URL IDBroker in Webex:

   • Komercialni koren IDtrust CA 1

   • Go Daddy Root Certificate Authority - G2

   Preverite, ali so ta potrdila prisotna v naslednjem CLI

   ADP_CLI/System/SSLCommonSettings/Trusts/Defaults> pridobi

   Če ni prisoten, zaženite naslednji ukaz za uvoz privzetih zaupanja Java:

   ADP_CLI/System/SSLCommonSettings/Trusts/Privzeti> UvozJavaCatRust

   Lahko pa ročno dodate ta potrdila kot sidra zaupanja z naslednjim ukazom:

   ADP_CLI/System/SSLCommonSettings/Trusts/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Če je ADP nadgrajen iz prejšnje izdaje, se organi za potrdila iz stare izdaje samodejno uvozijo v novo izdajo in se bodo še naprej uvažali, dokler niso ročno odstranjeni.

   Aplikacija AuthenticationService je izvzeta iz nastavitve ValidatePeerIdentity v razdelku ADP_CLI/System/SSLCommonSettings/GeneralSettings in vedno potrdi enakovredno identiteto. Za več informacij o tej nastavitvi si oglejte FD za preverjanje potrdil Cisco Broadworks X509.

5. Konfigurirajte ponudnike identitete tako, da zaženete naslednje ukaze na vsakem strežniku XSP|ADP:

   XSP | ADP_CLI/Aplikacije/AuthenticationService/IdentityProviders/CISCO> pridobi

   • nastavite ID odjemalca odjemalca iz koraka 1

   • nastavitev omogočena true

   • nastavite ClientSecret Client-Secret-from-Step1

   • nastavite CIResponseBodyMaxSizeInBytes 65536

   • nastavite IssuerName <URL>— Za URL vnesite URL izdajatelja, ki velja za vašo skupino CI. Glej naslednjo tabelo.

   • nastavite URL izdajatelja — Za URL <URL>vnesite URL izdajatelja, ki velja za vašo skupino CI. Glej naslednjo tabelo.

   • nastavite tokenInFourl <IdPProxy URL>— vnesite URL proxy iDP, ki velja za vašo skupino Teams. Glej drugo tabelo, ki sledi.

   Tabela 1. Nastavite ime izdajatelja in URL izdajatelja

   Če je CI Cluster...	Nastavite IssuerName in IssuerURL na...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Če ne poznate skupine CI, lahko podatke pridobite iz podrobnosti o stranki v pogledu službe za pomoč uporabnikom v nadzornem središču.

   Tabela 2. Set žetonInFourl

   Če je skupina Teams...	Nastavite TokenInFourl na... (URL proxy IDP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Če ne poznate skupine Teams, lahko podatke pridobite iz podrobnosti o stranki v pogledu službe za pomoč uporabnikom v nadzornem središču. Za testiranje lahko preverite, ali je tokenInFourl veljaven, tako da del URL-ja "idp/preverite« zamenjate z "ping«.

6. Določite pravico Webex, ki mora biti prisotna v uporabniškem profilu v Webexu, tako da zaženete naslednji ukaz:

   XSP | ADP_CLI/Aplikacije/AuthenticationService/IdentityPonders/CISCO/Obse> nastavite obseg širšega obsega - priključek: uporabnik

7. Konfigurirajte ponudnike identitete za Cisco Federation z naslednjimi ukazi na vsakem strežniku XSP|ADP:

   XSP | ADP_CLI/Aplikacije/AuthenticationService/IdentityProviders/CISCO/Federation> get

   • komplet FLsURL https://cifls.webex.com/federation

   • nastavite RefreshPeriodInMinutes 60

   • nastavite RefreshToken Refresh-Token-from-Step1

8. Zaženite naslednji ukaz, da preverite, ali vaša konfiguracija FLS deluje. Ta ukaz bo vrnil seznam ponudnikov identitete:

   XSP | ADP_CLI/Aplikacije/AuthService/IdentityProviders/CISCO/Federation/ClusterMap> Pridobi

9. Konfigurirajte upravljanje žetonov z naslednjimi ukazi na vsakem strežniku XSP|ADP :

   • XSP | ADP_CLI/Aplikacije/Storitev preverjanja pristnosti/Upravljanje žetonov>

   • set žetonov Izdavatelj BroadWorks

   • nastavite toKendurationInHours 720

10. Ustvarite in delite ključe RSA. Ustvariti morate ključe na enem XSP|ADP in jih kopirati v vse druge XSP|ADP. To je posledica naslednjih dejavnikov:

    • Za šifriranje/dešifriranje žetonov morate uporabiti iste pare javnih/zasebnih ključev v vseh primerih storitve preverjanja pristnosti.

    • Par ključev ustvari storitev preverjanja pristnosti, ko mora najprej izdati žeton.

    Če vklopite tipke ali spremenite dolžino tipke, morate ponoviti naslednjo konfiguracijo in znova zagnati vse XSP|ADP.

    1. Izberite enega XSP|ADP, ki ga želite uporabiti za ustvarjanje para ključev.

    2. Uporabite odjemalca, da zahtevate šifrirani žeton iz tega XSP|ADP, tako da iz brskalnika odjemalca zahtevate naslednji URL:

       https://<XSP|ADP-IPAddress>/authService/token? ključ = base64 URL (ClientPublicKey)

       (To ustvari par zasebnih/javnih ključev na XSP|ADP, če ga še ni bilo)

    3. Lokacija trgovine s ključi ni mogoče nastaviti. Izvozite ključe:

       XSP | ADP_CLI/Aplikacije/AuthenticationService/Upravljanje ključev> Izvozni ključi

    4. Kopirajte izvoženo datoteko /var/broadworks/tmp/authservice.keys na isto mesto na drugem XSP|ADPS in po potrebi prepišete starejšo datoteko.keys.

    5. Uvozite ključe na vsakem od drugih XSP|ADP:

       XSP | ADP_CLI/Aplikacije/AuthenticationService/Upravljanje ključev> Uvozni ključi/var/Broadworks/TMP/AuthService.keys

11. Spletnemu vsebniku navedite URL AuthService. Spletni vsebnik XSP|ADP potrebuje URL AuthService, da lahko potrdi žetone. Na vsakem od XSP | ADP:

    1. Dodajte URL storitve preverjanja pristnosti kot zunanjo storitev preverjanja pristnosti za pripomoček BroadWorks Communications:

       XSP | ADP_CLI/System/Komunikacijska orodja/privzete nastavitve/zunanja pristnost pristnosti in avtoritacija> nastavite url http://127.0.0.1:80/authService

    2. Dodajte URL storitve preverjanja pristnosti v vsebnik:

       XSP|ADP _CLI/Vzdrževanje/ContainerOptions> dodaj tomcat bw.authservice.authserviceURL http://127.0.0.1:80/authService

       To omogoča Webexu, da uporablja storitev preverjanja pristnosti za preverjanje žetonov, predstavljenih kot poverilnice.

    3. Preverite parameter z get.

    4. Znova zaženite XSP | ADP.

Odstranite zahtevo za preverjanje pristnosti odjemalca za storitev Auth (samo R24)

Če imate storitev preverjanja pristnosti konfigurirano s preverjanjem veljavnosti žetona CI na R24, morate odstraniti tudi zahtevo za preverjanje pristnosti odjemalca za storitev preverjanja pristnosti. Zaženite naslednji ukaz CLI:

ADP_CLI/Vmesnik/HTTP/SSLCommonSettings/Preverjanje pristnosti stranke/Spletne aplikacije> nastavite AuthenticationService ClientAuthreQ false <interfaceIp><port>

Konfiguriranje TLS in šifer na vmesnikih HTTP (za XSI in storitev preverjanja pristnosti)

Aplikacije za preverjanje pristnosti, Xsi-Actions in Xsi-Ev ents uporabljajo vmesnike strežnika HTTP. Ravni konfiguracije TLS za te aplikacije so naslednje:

Najbolj splošno = Sistem> Transport> HTTP > HTTP strežniški vmesnik = Najbolj specifičen

Konteksti CLI, ki jih uporabljate za ogled ali spreminjanje različnih nastavitev SSL, so:

Branje konfiguracije vmesnika TLS strežnika HTTP na XSP | ADP

1. Prijavite se v XSP | ADP in se pomaknite na XSP | ADP_CLI/Interface/HTTP/HTTPServer>

2. Vnesite ukaz get in preberite rezultate. Videti morate vmes nike (naslove IP) in za vsakega, ali so varni in ali zahtevajo preverjanje pristnosti odjemalca.

Apache tomcat zahteva certifikat za vsak varen vmesnik; sistem ustvari samopodpisano potrdilo, če ga potrebuje.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Dodajanje protokola TLS 1.2 v vmesnik strež nika HTTP

Vmesnik HTTP, ki deluje z oblakom Webex, mora biti konfiguriran za TLSv1.2. Oblak se ne pogaja o prejšnjih različicah protokola TLS.

Če želite konfigurirati protokol TLSv1.2 na vmesniku strežnika HTTP:

1. Prijavite se v XSP | ADP in se pomaknite na XSP | ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Protocols>

2. Vnesite ukaz get 443<interfaceIp>, da vidite, kateri protokoli se že uporabljajo v tem vmesniku.

3. Vnesite ukaz dodaj 443 TLSv1.2<interfaceIp>, da zagotovite, da lahko vmesnik uporablja TLS 1.2 pri komunikaciji z oblakom.

Urejanje konfiguracije šifre TLS na vmesniku strežnika HTTP

Če želite konfigurirati zahtevane šifre:

1. Prijavite se v XSP | ADP in se pomaknite na XSP | ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Vnesite ukaz get 443<interfaceIp>, da vidite, katere šifre so že uporabljene v tem vmesniku. Obstajati mora vsaj en od Ciscovih priporoč enih paketov (glejte XSP|ADP zahteve glede identitete in varnosti v razdelku Pregled).

3. Vnesite ukaz dodaj 443<interfaceIp>, <cipherName>da dodate šifro vmesniku strež nika HTTP.

   XSP|ADP CLI zahteva standardno ime šifrnega paketa IANA in ne imena šifrnega paketa OpenSSL. Če želite na primer dodati šifro OpenSSL ECD HE-ECDSA-CHACHA20-POLY1305 v vmesnik strežnika HTTP, uporabite: XSP|ADP_CLI/Interface/HTTP/HTTPServer/SSLSettings/Ciphers> dodajte 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Glejte https://ciphersuite.info/, če želite poiskati paket po obeh imenih.

Konfigurirajte upravljanje naprav na XSP | ADP, strežniku aplikacij in strežniku profilov

Profile Server in XSP|ADP sta obvezna za upravljanje naprav. Kon figurirani morajo biti v skladu z navodili v Vodniku za konfigur acijo upravljanja naprav BroadWor ks.