Вимоги до спільного проживання

• Служба аутентифікації повинна бути спільною з додатками Xsi, оскільки ці інтерфейси повинні приймати довговічні токени для авторизації служби. Служба аутентифікації потрібна для перевірки цих токенів.

• Служба аутентифікації та Xsi можуть працювати на одному порті, якщо потрібно.

• Ви можете розділити інші служби/програми відповідно до вимог вашого масштабу (наприклад, виділена ферма керування пристроями XSP|ADP).

• Ви можете спільно розташувати додатки Xsi, CTI, Служба аутентифікації та DMS.

• Не встановлюйте в XSP|ADP інші програми або служби, які використовуються для інтеграції BroadWorks з Webex.

• Не розміщуйте програму NPS спільно з будь-якими іншими програмами.

Інтерфейси Xsi

Встановіть та налаштуйте програми Xsi-Actions та Xsi-Events, як описано в Посібнику з налаштування інтерфейсу Cisco BroadWorks Xtended Services.

Тільки один екземпляр програм Xsi-Events повинен бути розгорнутий на XSP|ADP , який використовується для інтерфейсу CTI.

Усі події Xsi, що використовуються для інтеграції Broadworks з Webex, повинні мати той самий CallControlApplicationName, визначений у розділі Програми/XSI-Events/GeneralSettings. Наприклад:

adp_CLI/Програми/XSI-події/Загальні налаштування> отримати

Назва додатка для керування викликом = com.broadsoft.xsi-події

Коли користувач приєднується до Webex, Webex створює підписку для користувача в АС, щоб отримувати події телефонії для присутності та історії дзвінків. Підписка пов'язана з CallControlApplicationName, і AS використовує її, щоб дізнатися, до яких Xsi-Events надсилати події телефонії.

Налаштування служби автентифікації (з перевіркою маркера CI)

Скористайтеся цією процедурою, щоб налаштувати службу автентифікації на використання перевірки токенів CI з TLS. Цей метод аутентифікації рекомендується, якщо у вас працює R22 або новішої версії, і ваша система підтримує його.

1. Отримання облікових даних OAuth для вашого Webex для Cisco BroadWorks.

2. Встановіть наступні патчі на кожному сервері XSP|ADP. Встановіть пат чі, які відповідають вашому випуску:

   • Для R22:

     АП.Платформа.22.0.1123.АП376508

     АП.ХСП.22.0.1123.АП376508

     АП.ХСП.22.0.1123.АП368601

   • Для R23:

     АП.ХСП.23.0.1075.АП376509

     АП.Платформа.23.0.1075.АП376509

   • Для R24 - патч не потрібен

   Будь-яке посилання на XSP включає або XSP, або ADP.

3. Встановіть програму AuthenticationService на кожну службу XSP|ADP.

   1. Виконайте наступну команду, щоб активувати програму AuthenticationService на XSP|ADP до контекстного шляху /AuthService.

      xsp|adp_cli/технічне обслуговування/керовані об'єкти> активувати службу автентифікації додатка 22.0_1.1123/AuthService

   2. Запустіть цю команду, щоб розгорнути AuthenticationService на XSP|ADP:

      XSP|ADP_CLI/Обслуговування/Об'єкти> розгортання додатка /AuthServiceДиспетчер програмного забезпечення Broadworks розгортання /AuthService...

4. Починаючи з Broadworks build 2022.10, органи сертифікатів, які постачаються з Java, більше не автоматично включаються до сховища довіри BroadWorks при переході на нову версію java. Служба аутентифікації відкриває з'єднання TLS до Webex для отримання токена доступу, і для перевірки IDBroker та URL-адреси Webex має мати наступне у своєму сховищі довіри:

   • IdenTrust Комерційний кореневий CA 1

   • Go Daddy Root Certificate Authority - G2

   Переконайтеся, що ці сертифікати присутні під наступним CLI

   adp_cli/система/SSLCommonSettings/Довіри/Типовість> отримати

   Якщо немає, виконайте наступну команду, щоб імпортувати типові довіри Java:

   ADP_CLI/Система/SSLЗагальні Налаштування/Довіри/За замовчуванням> ІмпортJavaTrust

   Крім того, ви можете вручну додати ці сертифікати як прив'язки довіри за допомогою наступної команди:

   ADP_CLI/Система/SSLЗагальні Налаштування/Довіри/Широкі роботи> ОновленняTrust <alias><trustAnchorFile>

   Якщо ADP оновлено з попереднього випуску, органи сертифікатів зі старого випуску автоматично імпортуються до нового випуску і продовжуватимуться імпортувати, доки вони не будуть видалені вручну.

   Програма AuthenticationService звільняється від параметра ValidatePeerIdentity у розділі ADP_CLI/System/SSLCommonSettings/GeneralSettings і завжди перевіряє ідентифікацію однорангового профілю. Докладніші відомості про цей параметр див. у довідці про перевірку сертифікатів Cisco Broadworks X509.

5. Налаштуйте постачальники ідентифікацій, виконуючи наступні команди на кожному сервері XSP|ADP:

   XSP|ADP_CLI/Програми/Служба автентифікації/Постачальники ідентифікації/Cisco> отримати

   • встановити клієнт-ідентифікатор клієнта з кроку1

   • встановити увімкнено true

   • встановити клієнтСекретний клієнт-секрет-з-кроку1

   • Набір CIResponseBodyMaxSizeInбайтів 65536

   • встановити ім'я видавця <URL>— для URL-адреси введіть URL-адре су імені видавця, яка застосовується до вашого кластеру CI. Дивіться наступну таблицю.

   • встановити IssuerURL —Для URL-адре <URL>си введіть адресу Issuer URL, яка застосовується до вашого кластеру CI. Дивіться наступну таблицю.

   • встановити tokenInFourl <IdPProxy URL>— введіть URL-адресу проксі-сервера IdP, яка застосовується до вашого кластера Teams. Дивіться другу таблицю, яка далі.

   Таблиця 1. Встановіть ім'я емітента та URL-адресу емітента

   Якщо кластер CI є...	Встановіть ім'я видавця та URL-адресу видавця на...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   Якщо ви не знаєте свій кластер CI, ви можете отримати інформацію з відомостей про клієнта у вікні служби підтримки Центру керування.

   Таблиця 2. Набір токенівFourl

   Якщо кластер команд є...	Встановіть токенінФourl на... (URL-адреса проксі IdP)
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   Якщо ви не знаєте свій кластер команд, ви можете отримати інформацію з відомостей про клієнта у вікні служби підтримки Центру керування. Для тестування ви можете перевірити, що токенInfoURL дійсний, замінивши частину URL-адреси "idp/аутентифікувати" на "ping».

6. Вкажіть право Webex, яке повинно бути присутнім у профілі користувача у Webex, виконавши таку команду:

   XSP|AD P_CLI/Програми/АутентифікаціяСервіс/Постачальники ідентифікації/Cisco/Області> встановити сферу широкоформатного з'єднувача: користувач

7. Налаштуйте постачальників ідентифікацій для Cisco Federation за допомогою наступних команд на кожному сервері XSP|ADP:

   XSP|ADP_CLI/Програми/Служба автентифікації/Постачальники ідентифікації/Cisco/Федерація> отримати

   • Набір FLSurl https://cifls.webex.com/federation

   • встановити період оновлення в 60 хвилин

   • встановити токен RefreshToken RefreshToken з-кроку1

8. Запустіть наступну команду, щоб перевірити, що ваша конфігурація FLS працює. Ця команда поверне список постачальників ідентифікацій:

   XSP|ADP_CLI/Програми/Послуги/Послуги/Постачальники ідентичності/Cisco/Федерація/Кластерма> Отримати

9. Налаштуйте керування токенами за допомогою наступних команд на кожному сервері XSP|ADP:

   • XSP|ADP_CLI/Програми/Служба автентифікації/Управління токенами>

   • Набір токенівЕмітент BroadWorks

   • встановити токенТривалість у годині 720

10. Створюйте та діліться ключами RSA. Ви повинні створити ключі на одному XSP|ADP, а потім скопіювати їх у всі інші XSP|ADP. Це пов'язано з наступними факторами:

    • Ви повинні використовувати однакові пари публічних/приватних ключів для шифрування/дешифрування токенів у всіх екземплярах служби автентифікації.

    • Пара ключів генерується службою аутентифікації, коли вона вперше потрібна для випуску токена.

    Якщо ви циклюєте ключі або змінюєте довжину ключа, вам потрібно повторити наступну конфігурацію та перезапустити всі XSP|ADP.

    1. Виберіть один XSP|ADP, який буде використаний для створення пари ключів.

    2. Використовуйте клієнт для запиту зашифрованого токена від цього XSP|ADP, запитавши наступну URL-адресу з браузера клієнта:

       https://<XSP|ADP-IPAddress>/authService/token? ключ = base64 URL (клієнтський публічний ключ)

       (Це генерує пару приватних/відкритих ключів на XSP|ADP, якщо такої ще не було)

    3. Розташування магазину ключів не налаштовується. Експортуйте ключі:

       XSP|ADP_CLI/Програми/Служба автентифікації/Управління ключами> Експортувати ключі

    4. Скопіюйте експортований файл /var/Broadworks/tmp/AuthService.keys в те саме місце на іншому XSP|ADPS, при необхідності перезаписуючи старий фай л.keys.

    5. Імпортуйте ключі на кожному з інших XSP|ADP:

       XSP| ADP_CLI/Програми/Служба автентифікації/Керування ключами> Імпортключі /var/Broadworks/TMP/AuthService.keys

11. Введіть URL-адресу AuthService до веб-контейнера. Веб-контейнер XSP|ADP потребує URL-адреси AuthService, щоб він міг перевіряти токени. На кожному з XSP|ADP:

    1. Додайте URL-адресу служби автентифікації як зовнішню службу автентифікації для утиліти BroadWorks Communications:

       xsp|ad p_cli/система/утиліта комунікації/Налаштування за замовчування/зовнішня автентифікація/AuthService> встановити URL-адресу http://127.0.0.1:80/authService

    2. Додайте URL-адресу служби автентифікації до контейнера:

       xsp|adp _cli/технічне обслуговування/параметри контейнера> додати tomcat bw.authservice.AuthServiceUrl http://127.0.0.1:80/authService

       Це дозволяє Webex використовувати Службу автентифікації для перевірки токенів, представлених як облікові дані.

    3. Перевірте параметр за допомогою get.

    4. Перезапустіть XSP|ADP.

Вилучити вимогу автентифікації клієнта для служби авторизації (лише R24)

Якщо у вас на R24 налаштована Служба автентифікації з перевіркою CI Token, вам також потрібно видалити вимогу автентифікації клієнта для служби автентифікації. Виконайте наступну команду CLI:

ADP_CLI/Інтерфейс/HTTP/SSLCommonSettings/Аутентифікація клієнта/WebApps> встановити автентифікаціяСлужба ClientAuthReq false <interfaceIp><port>

Налаштування TLS та шифрів на інтерфейсах HTTP (для XSI та служби аутентифікації)

Служба автентифікації, програми Xsi-Actions і Xsi-Events використовують інтерфейси HTT P-сервера. Рівні конфігурації TLS для цих додатків такі:

Найбільш загальний = Система> Транспорт> HTTP > Інтерфейс HTTP-сервера = Найбільш конкретний

Контексти CLI, які ви використовуєте для перегляду або зміни різних налаштувань SSL:

Читання конфігурації інтерфейсу TLS-сервера HTTP на XSP|ADP

1. Увійдіть у XSP|ADP та перейдіть до XSP|ADP_CLI/Інтерфейс/HTTP/HTTP/HTTPServer>

2. Введіть команду get і прочитайте результати. Ви повинні побачити інтерфей си (IP-адреси) і, для кожного, чи є вони безпечними та чи вимагають вони аутентифікації клієнта.

Apache tomcat видає сертифікат для кожного захищеного інтерфейсу; система генерує сертифікат, який підписується самостійно, якщо він потрібен.

XSP|ADP_CLI/Interface/Http/HttpServer> get

Додавання протоколу TLS 1.2 до інтерфейсу сервера HTTP

Інтерфейс HTTP, який взаємодіє з хмарою Webex, повинен бути налаштований для TLSv1.2. Хмара не веде переговори про попередні версії протоколу TLS.

Щоб налаштувати протокол TLSv1.2 в інтерфейсі HTTP-сервера:

1. Увійдіть у XSP|ADP та перейдіть до XSP|ADP_CLI/Інтерфейс/HTTP/HTTP/HTTPServer/SSLSettings/Protocols>

2. Введіть команду get 443<interfaceIp>, щоб побачити, які протоколи вже використовуються в цьому інтерфейсі.

3. Введіть команду add 443 TLSv1.2<interfaceIp>, щоб перекон атися, що інтерфейс може використовувати TLS 1.2 при спілкуванні з хмарою.

Редагування конфігурації шифрів TLS на інтерфейсі сервера HTTP

Щоб налаштувати необхідні шифри:

1. Увійдіть у XSP|ADP та перейдіть до XSP|ADP_CLI/Інтерфейс/HTTP/HTTP/HTTPServer/SSLSettings/Шифр>

2. Введіть команду get 443<interfaceIp>, щоб побачити, які шифри вже використовуються в цьому інтерфейсі. Повинен бути принаймні один із рекомендованих паке тів Cisco (див. Вимоги до ідентичності та безпеки XSP|ADP у розділі О гляд).

3. Введіть команду add 443<interfaceIp>, <cipherName>щоб додати шифр в інтерфейс HTTP-сервера.

   CLI XSP|ADP вимагає назви стандартного пакету шифрів IANA, а не ім'я набору шифрів OpenSSL. Наприклад, щоб додати шифр OpenSSL ECDHE- ECDSA-CHACHA20-POLY1305 до інтерфейсу сервера HTTP, ви повинні використовувати: xsp|ADP_CLI/інтерфейс/HTTP/HTTP/HTTP/HTTPServer/SSLSettings/шифр> додати 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   Див. https://ciphersuite.info/, щоб знайти набір за будь-яким іменем.

Налаштування керування пристроями на XSP|ADP, сервері додатків та сервері профілів

Сервер профілю та XSP|ADP є обов'язковими для керування пристроями. Вони повинні бути налаштовані відповідно до інструкцій, наведених у Посі бнику з налаштування керування пристроями BroadWorks.