Krav på samboende

• Autentiseringstjän sten måste vara samlokaliserad med Xsi-program, eftersom dessa gränssnitt måste acceptera token med lång livslängd för serviceauktorisering. Autentiseringstjänsten krävs för att validera dessa tokens.

• Autentiseringstjänsten och Xsi kan köras på samma port om det behövs.

• Du kan separera de andra tjänsterna/programmen efter behov för din våg (dedikerad enhetshantering XSP|ADP-farm, till exempel).

• Du kan samlokalisera Xsi-, CTI-, Authentication Service- och DMS-applikationerna.

• Installera inte andra program eller tjänster på XSP|ADP som används för att integrera BroadWorks med Webex.

• Samlokalisera inte NPS-programmet med andra program.

Xsi-gränssnitt

Installera och konfigurera Xsi-Actions- och Xsi-Events-programmen enligt beskrivningen i Cisco BroadWorks X tended Services Interface Configuration Guide.

Endast en instans av Xsi-Events-programmen bör distribueras på XSP|ADP som används för CTI-gränssnittet.

Alla Xsi-händelser som används för att integrera Broadworks med Webex måste ha samma CallControlApplicationName definierat under Applications/XSI-Events/GeneralSettings. Till exempel:

adp_cli/Program/XSI-händelser/AllmännaInställningar> hämta

CallControlApplicationName = com.broadsoft.xsi-events

När en användare är ansluten till Webex skapar Webex en prenumeration för användaren på AS för att ta emot telefonhändelser för närvaro och samtalshistorik. Prenumerationen är associerad med CallControlApplicationName och AS använder det för att veta till vilka Xsi-Events telefonhändelserna ska skickas.

Konfigurera autentiseringstjänst (med CI-tokenvalidering)

Använd den här proceduren om du vill konfigurera autentiseringstjänsten för att använda CI-tokenvalidering med TLS. Denna autentiseringsmetod rekommenderas om du kör R22 eller högre och ditt system stöder det.

1. Skaffa OAuth-autentiseringsuppgifter för din Webex för Cisco BroadWorks.

2. Installera följande korrigeringar på varje XSP|ADP-server. Installera de korriger ingar som är lämpliga för din version:

   • För R22:

     AP.Platform.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP376508

     AP.XSP.22.0.1123.AP368601

   • För R23:

     AP.XSP.23.0.1075.AP376509

     AP.Platform.23.0.1075.AP376509

   • För R24 — ingen patch krävs

   Alla referenser till XSP inkluderar antingen XSP eller ADP.

3. Installera AuthenticationService- programmet på varje XSP|ADP-tjänst.

   1. Kör följande kommando för att aktivera AuthenticationService- programmet på XSP|ADP till /AuthService-kontextsökvägen.

      xsp|adp_cli/Maintenance/ManagedObjects> aktivera applikationsautentiseringService 22.0_1.1123/AuthService

   2. Kör det här kommandot för att distribuera AuthenticationService på XSP|ADP :

      xsp|ADP_CLI/Maintenance/ManagedObjects> distribuera program/AuthServiceBroadworks SW Manager som distribuerar /AuthService...

4. Från och med Broadworks build 2022.10 inkluderas certifikatutfärdarna som kommer med Java inte längre automatiskt i BroadWorks trust store när du byter till en ny version av java. AuthenticationService öppnar en TLS-anslutning till Webex för att hämta åtkomsttoken och måste ha följande i sin truststore för att validera IDBroker och Webex URL: er:

   • IdenTrust Commercial Root CA 1

   • Go Daddy Root Certificate Authority - G2

   Kontrollera att dessa certifikat finns under följande CLI

   adp_cli/system/SSLCommonSettings/Trust/Defaults> få

   Om det inte finns, kör följande kommando för att importera standardförtroenden för Java:

   ADP_CLI/System/SSLCommonSettings/Trust/Standard> ImporteraJavaTrust

   Alternativt kan du lägga till dessa certifikat manuellt som förtroendeankare med följande kommando:

   ADP_CLI/System/SSLCommonSettings/Trust/Broadworks> UpdateTrust <alias><trustAnchorFile>

   Om ADP uppgraderas från en tidigare version importeras certifikatutfärdarna från den gamla versionen automatiskt till den nya versionen och fortsätter att importeras tills de tas bort manuellt.

   AuthenticationService-programmet är undantaget från inställningen ValidatePeerIdentity under ADP_CLI/System/SSLCommonSettings/GeneralSettings och validerar alltid peer-identiteten. Se Cisco Broadworks X509 Certificate Validation FD för mer information om den här inställningen.

5. Konfigurera identitetsleverantörerna genom att köra följande kommandon på varje XSP|ADP-server:

   xsp|ADP_CLI/Program/AuthenticationService/IdentityProviders/Cisco> hämta

   • ställ in ClientID-klient-ID-från-steg1

   • ange aktiverat sant

   • Ställ in ClientSecret Client-Secret-från-Steg1

   • Ställ in ciResponseBodyMaxSizeInbytes 65536

   • ange IssuerName <URL>— Ange den IssuerNam e-URL som gäller för ditt CI-kluster för webbadressen. Se följande tabell.

   • ange IssuerURL <URL>— Ange den Issuer URL som gäller för ditt CI-kluster för webbadressen. Se följande tabell.

   • set tokenInFourl <IdPProxy URL>— Ange den IdP-proxy-URL som gäller för ditt Teams-kluster. Se den andra tabellen som följer.

   Tabell 1. Ställ in IssuerName och IssuerURL

   Om CI Cluster är...	Ställ in IssuerName och IssuerURL till...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Om du inte känner till ditt CI-kluster kan du hämta informationen från kunduppgifter i Helpdesk-vyn i Control Hub.

   Tabell 2. Ställ in TokenInFourl

   Om Teams Cluster är...	Ställ in TokenInFourl till... (IdP-proxy-URL)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Om du inte känner till ditt teamkluster kan du hämta informationen från kunduppgifterna i Helpdesk-vyn i Control Hub. För testning kan du verifiera att tokenInfoURL är giltigt genom att ersätta delen "idp/autentisera" av webbadressen med "ping ”.

6. Ange Webex-behörighet som måste finnas i användarprofilen i Webex genom att köra följande kommando:

   XSP|AD P_CLI/Program/AuthenticationService/IdentityProviders/Cisco/Scopes> ange omfattning bredverks-anslutning:användare

7. Konfigurera identitetsleverantörer för Cisco Federation med följande kommandon på varje XSP|ADP-server:

   xsp|ADP_CLI/Program/AuthenticationService/IdentityProviders/Cisco/Federation> hämta

   • Ställ in FLSurl https://cifls.webex.com/federation

   • ställ in RefreshPeriod InMinutes 60

   • ställ in RefreshToken Refresh-token från-steg1

8. Kör följande kommando för att verifiera att din FLS-konfiguration fungerar. Detta kommando returnerar listan över identitetsleverantörer:

   xsp|ADP_CLI/Program/AuthService/IdentityProviders/Cisco/Federation/ClusterMap> Hämta

9. Konfigurera tokenhantering med följande kommandon på varje XSP| ADP-server:

   • XSP|ADP_CLI/Program/Autentiseringstjänst/Tokenhantering>

   • Ställ in TokenIssuer BroadWorks

   • Ställ in tokenDurationInHours 720

10. Generera och dela RSA-nycklar. Du måste generera nycklar på en XSP|ADP och sedan kopiera dem till alla andra XSP|ADP. Detta beror på följande faktorer:

    • Du måste använda samma offentliga/privata nyckelpar för tokenkryptering/dekryptering i alla instanser av autentiseringstjänsten.

    • Nyckelparet genereras av autentiseringstjänsten när det först krävs för att utfärda en token.

    Om du cyklar nycklar eller ändrar tangentens längd måste du upprepa följande konfiguration och starta om alla XSP|ADP: er.

    1. Välj en XSP|ADP som ska användas för att generera ett nyckelpar.

    2. Använd en klient för att begära en krypterad token från den XSP|ADP genom att begära följande URL från klientens webbläsare:

       https://<XSP|ADP-IPAddress>/authService/token? key=base64 URL (ClientPublicKey)

       (Detta genererar ett privat/offentligt nyckelpar på XSP|ADP, om det inte redan fanns ett)

    3. Nyckelbutiksplatsen är inte konfigurerbar. Exportera nycklarna:

       XSP|ADP_CLI/Program/AuthenticationService/Nyckelhantering> Exportnycklar

    4. Kopiera den exporterade filen /var/Broadworks/tmp/AuthService.keys till samma plats på de andra XSP|ADP:erna, skriv över en äldre .keys-fil om det behövs.

    5. Importera nycklarna på var och en av de andra XSP|ADP:erna:

       xsp| ADP_CLI/Program/AuthenticationService/Nyckelhantering> ImportNycklar/var/Broadworks/TMP/AuthService.keys

11. Ange AuthService-webbadressen till webbbehållaren. XSP|ADP:s webbbehållare behöver AuthService-URL så att den kan validera tokens. På var och en av XSP|ADP:erna:

    1. Lägg till autentiseringstjänstens URL som en extern autentiseringstjänst för BroadWorks Communications Utility:

       xsp|AD P_CLI/System/CommunicationUtility/DefaultSettings/ExternalAuthentication/AuthService> ange url http://127.0.0.1:80/authService

    2. Lägg till autentiseringstjänstens URL i behållaren:

       xsp|adp _cli/Maintenance/ContainerOptions> lägg till tomcat bw.authservice.AuthServiceUrl http://127.0.0.1:80/authService

       Detta gör det möjligt för Webex att använda autentiseringstjänsten för att validera tokens som presenteras som autentiseringsuppgifter.

    3. Kontrollera parametern med get.

    4. Starta om XSP|ADP.

Ta bort klientautentiseringskrav för autentiseringstjänst (endast R24)

Om du har autentiseringstjänsten konfigurerad med CI-tokenvalidering på R24 måste du också ta bort klientautentiseringskravet för autentiseringstjänsten. Kör följande CLI-kommando:

ADP_CLI/Gränssnitt/HTTP/SSLCommonSettings/ClientAuthentication/WebApps> ställ in autentiseringService ClientAuthReq falsk <interfaceIp><port>

Konfigurera TLS och chiffer på HTTP-gränssnitten (för XSI och autentiseringstjänst)

Applikationerna Autentiseringstjänsten, Xsi-Actions och Xsi-Events använder HTTP- servergränssnitt. Nivåerna av TLS-konfigurerbarhet för dessa applikationer är följande:

Mest allmänt = System > Transport > HTTP > HTTP-servergränssnitt = Mest specifik

De CLI-sammanhang som du använder för att visa eller ändra de olika SSL-inställningarna är:

Läsa HTTP-serverns TLS-gränssnittskonfiguration på XSP|ADP

1. Logga in på XSP|ADP och navigera till XSP|ADP_CLI/Interface/HTTP/HTTPServer>

2. Ange kommandot get och läs resultaten. Du bör se gränssnitten (IP-adresser) och, för varje, om de är säkra och om de kräver klientautentisering.

Apache tomcat kräver ett certifikat för varje säkert gränssnitt; systemet genererar ett självsignerat certifikat om det behöver ett.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Lägga till TLS 1.2-protokoll till HTTP-servergränssnittet

HTTP-gränssnittet som interagerar med Webex Cloud måste konfigur eras för TLSv1.2. Molnet förhandlar inte om tidigare versioner av TLS- protokollet.

Så här konfigurerar du TLSv1.2-protokollet i HTTP-servergränssnittet:

1. Logga in på XSP|ADP och navigera till XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Ange kommandot få 443 <interfaceIp>för att se vilka protokoll som redan används i det här gränssnittet.

3. Ange kommandot add 443 TLSv1.2 för <interfaceIp>att säkerställa att gränssnittet kan använda TLS 1.2 när du kommunicerar med molnet.

Redigera TLS-chifferkonfiguration på HTTP-servergränssnittet

Så här konfigurerar du nödvändiga chiffer:

1. Logga in på XSP|ADP och navigera till XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers>

2. Ange kommandot få 443 <interfaceIp>för att se vilka chi ffer som redan används i det här gränssnittet. Det måste finnas minst en av Ciscos rekommenderade sviter (se XSP|ADP-identitets- och säkerhet skrav i avsnittet Översikt).

3. Ange kommandot add 443 <interfaceIp><cipherName>för att lägga till en chiffer i HTTP-server gränssnittet.

   XSP|ADP CLI kräver IANA-standardkrypteringssvitens namn, inte OpenSSL-krypteringssvitens namn. Till exempel, för att lägga till OpenSSL-krypteringen ECDHE- ECDSA-CHACHA20-POLY1305 till HTTP-servergränssnittet, skulle du använda: XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLSettings/Ciphers> add 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Se https://ciphersuite.info/ för att hitta sviten med endera namnet.

Konfigurera enhetshantering på XSP|ADP, programserver och profilserver

Profilserver och XSP|ADP är obligatoriska för enhetshantering. De måste konfigureras enligt instruktionerna i BroadWorks Device Management Configuration Guide.