在 Webex 上为思科 BroadWorks XSP|ADPS 配置服务

我们要求在不同的 XSP|ADP 上运行 NPS 应用程序。 配置来自网络的来电通知中描述了该 XSP|ADP 的要求。

您需要在 XSP|ADP 上安装以下应用程序/服务。

服务/应用程序	需要身份验证	服务/应用程序目的
Xsi-活动	TLS（服务器向客户端验证自己的身份）	呼叫控制、服务通知
Xsi-Actions	TLS（服务器向客户端验证自己的身份）	通话控制、操作
设备管理	TLS（服务器向客户端验证自己的身份）	呼叫配置下载
验证服务	TLS（服务器向客户端验证自己的身份）	用户身份验证
计算机电话集成	mTLS（客户端和服务器相互验证）	电话在场
通话设置 Webview 应用程序	TLS（服务器向客户端验证自己的身份）	在 Webex 应用程序的自助服务门户中显示用户通话设置

本节介绍如何在这些接口上应用 TLS 和 mTL 所需的配置，但您应参考现有文档，以便在 XSP|ADP 上安装应用程序。

共同居留要求

身份验证服务必须与 Xsi 应用程序共存，因为这些接口必须接受长期令牌才能进行服务授权。需要身份验证服务来验证这些令牌。
如果需要，身份验证服务和 Xsi 可以在同一个端口上运行。
您可以根据规模的要求将其他服务/应用程序分开（例如，专用设备管理 XSP|ADP 农场）。
您可以将 Xsi、CTI、身份验证服务和 DMS 应用程序放在同一位置。
不要在用于将 BroadWorks 与 Webex 集成的 XSP|ADP 上安装其他应用程序或服务。
请勿将 NPS 应用程序与任何其他应用程序放在同一位置。

Xsi 接口

按照《思科 B roadWorks 扩展服务接口配置指南》中的说明安装和配置 Xsi-Ac tions 和 Xsi-Events 应用程序。

在用于 CTI 接口的 XSP|ADP 上只能部署一个 Xs i-Events 应用程序实例。

用于将 Broadworks 与 Webex 集成的所有 Xsi-Events 必须在应用程序/XSI-事件/常规设置下定义相同的 CallControlApplicationName。例如：

ADP_CLI/应用程序/XSI-事件/常规设置> 获取

调用控制应用程序名称 = com.broadsoft.xsi-events

当用户加入 Webex 时，Webex 会在 AS 上为该用户创建订阅，以便接收有关在线状态和通话记录的电话事件。该订阅与 CallControlApplicationName 相关联，AS 使用它来知道向哪个 Xsi-Events 发送电话事件。

在所有 Xsi-Events 网络应用程序上更改 CallControlApplicationName 或不使用相同的名称将影响订阅和电话事件功能。

配置身份验证服务（使用 CI 令牌验证）

使用此过程将身份验证服务配置为使用带有 TLS 的 CI 令牌验证。如果您运行的是 R22 或更高版本且系统支持，则推荐使用此身份验证方法。

还支持双向 TLS (mTLS) 作为身份验证服务的替代身份验证方法。如果您有多个 Webex 组织在同一 XSP|ADP 服务器上运行，则必须使用 mTLS 身份验证，因为 CI 令牌验证不支持与同一 XSP|ADP 身份验证服务的多个连接。

要为身份验证服务配置 mTLS 身份验证而不是 CI 令牌验证，请参阅配置服务附录（使用身份验证服务的 mTLS）。

如果您目前将 mTLS 用于身份验证服务，则无需重新配置为使用带有 TLS 的 CI 令牌验证。

获取适用于思科 BroadWorks 的 Webex 的 OAuth 证书。
在每台 XSP|ADP 服务器上安装以下补丁。安装适用于您的版本的补丁：
- 对于 R22：
  
  ap.platform.22.0.1123.ap376508
  
  ap.xsp.22.0.1123.ap376508
  
  ap.xsp.22.0.1123.ap368601
- 对于 R23：
  
  ap.xsp.23.0.1075.ap376509
  
  ap.platform.23.0.1075.ap376509
- 对于 R24 — 无需补丁
对XSP的任何引用包括XSP或ADP。
在每个 X SP|ADP 服务上安装身份验证服务应用程序。
1. 运行以下命令激活 XSP|ADP 上的 AuthenticationService 应用程序到 /AuthService 上下文路径。
  xsp|adp_cli/Maintenance/ManagedObjects> 激活应用程序身份验证服务 22.0_1.1123/authService
2. 运行以下命令在 XSP|ADP 上部署身份验证服务：
  xsp|adp_CLI/Maintenance/ManagedObjects> 部署应用程序 /authServiceBroadworks SW Manager 部署/ authServic
从 Broadworks 版本 2022.10 开始，切换到新版本的 Java 时，Java 附带的证书颁发机构不再自动包含在 BroadWorks 信任存储库中。身份验证服务打开与 Webex 的 TLS 连接以获取访问令牌，并且需要在其信任库中包含以下内容才能验证 IDBroker 和 Webex 网址：
- IdenTrust 商业根目录 CA 1
- Go Daddy Root Certificate Authority-G2
验证以下 CLI 下是否存在这些证书

adp_cli/system/SSLCommonsettings/trusts/defaults>

如果不存在，请运行以下命令来导入默认 Java 信任：

adp_cli/system/SSLCommonsettings/trusts/defaults> ImportJavaca

或者，您可以使用以下命令手动将这些证书添加为信任锚：

adp_cli/system/SSLCommonsettings/trusts/Broadworks> Up <alias><trustAnchorFile>

如果 ADP 是从先前版本升级的，则旧版本的证书颁发机构将自动导入到新版本中，并将继续导入，直到手动将其删除。

身份验证服务应用程序不受ADP_CLI/system/SSLCommonSettings/GeneralSettings下的validatePeerIdentity设置的约束，并且始终验证对等身份。有关此设置的更多信息，请参阅 Cisco Broadworks X509 证书验证 FD。

通过在每台 XSP|ADP 服务器上运行以下命令来配置身份提供商：

xsp|ADP_CLI/应用程序/身份验证服务/身份提供商/思科> 获取

从步骤 1 中设置 clientID 客户端 ID
将启用设置为真
从步骤 1 中设置 ClientSecret 客户端密钥
设置 ciresponseBodymaxSizeInBytes 65536
设置 issuerName <URL>—对于 URL，输入适用于 CI 集群的 issuerName URL。参见下表。
设置 issuerURL <URL>—对于 URL，输入适用于您的 CI 集群的 issuerURL。参见下表。
设置 TokenInfourl <IdPProxy URL>—输入适用于您的 Teams 集群的 IdP 代理 URL。参见下面的第二张表。

表 1。设置 issuerName 和 issuerURL
如果 CI 集群是...	将 issuerName 和 issuerURL 设置为...
US-A	`https://idbroker.webex.com/idb`
EU	`https://idbroker-eu.webex.com/idb`
US-B	`https://idbroker-b-us.webex.com/idb`
如果您不了解自己的 CI 集群，则可以从 Control Hub 的 “帮助台” 视图中的客户详细信息中获取信息。

表 2.在 Fourl 中设置代币
如果 Teams 集群是...	将 TokenInFourl 设置为...（IdP 代理 URL）
ACHM	`https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate`
AFRA	`https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate`
AORE	`https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate`
如果您不了解自己的 Te ams 集群，则可以从 Control Hub 的帮助台视图中的客户详细信息中获取信息。 `要进行测试，您可以通过将 URL 的 “idp/authenticate” 部分替换为 “ping” 来验证 TokenInFourl 是否有效。`

通过运行以下命令，指定 Webex 的用户配置文件中必须存在的 Webex 授权：

xsp|ADP_CLI/应用程序/身份验证服务/身份提供商/思科/Scopes> 设置范围 broadworks- connector: 用户
在每台 XSP|ADP 服务器上使用以下命令为思科联盟配置身份提供商：

xsp|ADP_CLI/应用程序/身份验证服务/身份提供商/思科/联合会> 获取
- 设置 flsURL https://cifls.webex.com/federation
- 以分钟为单位设置刷新周期 60
- 从步骤 1 设置刷新令牌刷新令牌
运行以下命令以验证您的 FLS 配置是否正常运行。此命令将返回身份提供者列表：

xsp|ADP_CLI/应用程序/Authservice/IdentityProviders/Cisco/Federation/ClusterMap> 获取
在每台 XSP| ADP 服务器上使用以下命令配置令牌管理：
- xsp|adp_cli/应用程序/身份验证服务/令牌管理>
- 设置代币发行商 BroadWorks
- 以小时为单位设置代币持续时间 720
生成和共享 RSA 密钥。你必须在一个 XSP|ADP 上生成密钥，然后将它们复制到所有其他 XSP|ADP 上。这是由于以下因素造成的：
- 在身份验证服务的所有实例中，必须使用相同的公钥/私钥对进行令牌加密/解密。
- 密钥对由身份验证服务在首次需要颁发令牌时生成。
如果您循环使用密钥或更改密钥长度，则需要重复以下配置并重新启动所有 XSP|ADP。
1. 选择一个 XSP|ADP 来生成密钥对。
2. 通过从客户端的浏览器请求以下 URL，使用客户端向该 XSP|ADP 请求加密令牌：
  
  https://<XSP|ADP-IPAddress>/authService/token？key=base64 URL（客户端公钥）
  
  （如果还没有，这将在 XSP|ADP 上生成一个私钥/公钥对）
3. 密钥存储位置不可配置。导出密钥：
  
  xsp|ADP_CLI/应用程序/身份验证服务/密钥管理> 导出密钥
4. 将导出的文件 /var/Broadworks/tmp/authservice.keys 复制到其他 XSP|ADP 上的相同位置，必要时覆盖较旧的 .keys 文件。
5. 在其他 XSP|ADP 上导入密钥：
  
  XSP | ADP_CLI/应用程序/身份验证服务/密钥管理> 导入密钥 /var/Broadworks/TMP/authServ ice.keys
为 Web 容器提供 AuthService URL。 XSP|ADP 的 Web 容器需要 AuthService URL 才能验证令牌。在每个 XSP|ADP 上：
1. 将身份验证服务 URL 添加为 BroadWorks 通信实用程序的外部身份验证服务：
  
  xsp|adp_CLI/system/CommunicationUtility/DefaultSettings/ExternalAuthentication/authS ervic http://127.0.0.1:80/authService
2. 将身份验证服务 URL 添加到容器：
  
  xsp|adp_cli/维护/容器选项> 添加 tomcat bw.authserv ice.authService.authService.auth http://127.0.0.1:80/authService
  
  这使得 Webex 能够使用身份验证服务来验证作为凭证提供的令牌。
3. 使用 get 检查参数。
4. 重新启动 XSP|ADP。

移除身份验证服务的客户端身份验证要求（仅限 R24）

如果您在 R24 上配置了使用 CI 令牌验证的身份验证服务，则还需要删除身份验证服务的客户端身份验证要求。运行以下 CLI 命令：

adp_cli/interface/HTTP/SSLCommonSettings/Clientauthentication/Webapps> 将身份验证服务 ClientAuthreq 设置为 false <interfaceIp><port>

在 HT TP 接口上配置 TLS 和密码（用于 XSI 和身份验证服务）

身份验证服务、Xsi-Actions 和 Xsi-Events 应用程序使用 HTTP 服务器接口。这些应用程序的 TLS 可配置级别如下：

最通用 = 系统 > 传输 > HTTP > HTTP 服务器接口 = 最具体

用于查看或修改不同 SSL 设置的 CLI 上下文是：

特异性	CLI 上下文
系统（全球）	`xsp\|adp_cli/system/SSLCommonsettings/jsse/Ciphers>` `xsp\|adp_cli/system/SSLCommonsettings/JSSE/协议>`
此系统的传输协议	`xsp\|adp_cli/system/SSLCommonsettings/openSSL/Ciphers>` `xsp\|adp_cli/system/SSLCommonsettings/OpenSSL/协议>`
此系统上的 HTTP	`xsp\|adp_cli/接口/HTTP/SSLCommonSettings/Ciphers>` `xsp\|adp_cli/接口/HTTP/SSLCommonsettings/协议>`
此系统上的特定 HTTP 服务器接口	`xsp\|adp_cli/interface/HTTP/HTTPServer/SSLSettings/Ciphers>` `xsp\|adp_cli/接口/HTTP/HTTPServer/SSL设置/协议>`

读取 XSP|ADP 上的 HTTP 服务器 TLS 接口配置

登录 XSP|ADP 并导航到 XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer>
输入 get 命令并读取结果。您应该查看接口（IP 地址），以及每个接口（IP 地址）是否安全以及是否需要客户端身份验证。

Apache tomcat 要求为每个安全接口提供证书；如果需要，系统会生成自签名证书。

XSP|ADP_CLI/Interface/Http/HttpServer> get

Results displayed after entering the get command, showing interfaces (IP addresses) and, for each, whether they are secure and whether they require client authentication.

向 HTTP 服务器接口添加 TLS 1.2 协议

必须为 TLSv1.2 配置与 Webex 云交互的 HTTP 接口。云不协商 TLS 协议的早期版本。

要在 HTTP 服务器接口上配置 TLSv1.2 协议，请执行以下操作：

登录 XSP|ADP 并导航到 XSP|ADP_CLI/Interface/HTTP/HTTP/HTTPServer/SSLServer/SSLSettings/Protocols>
输入 get 443 <interfaceIp>命令以查看该接口上已经使用了哪些协议。
输入命令 add 443 TLSv1.2<interfaceIp>，确保接口在与云通信时可以使用 TLS 1.2。

在 HTTP 服务器接口上编辑 TLS 密码配置

要配置所需的密码，请执行以下操作：

登录 XSP|ADP 并导航到 XSP|ADP_CLI/Interface/HTTP/HTTP/HttpServer/SSLServer/SSLSettings/Ciphers>
输入 get 443 <interfaceIp>命令以查看该接口上已经使用了哪些密码。思科推荐套件中必须至少有一个（请参阅 “概述” 部分中的 XSP|ADP 身份和安全要求）。
输入命令 add 443 <interfaceIp><cipherName>向 HTTP 服务器接口添加密码。

XSP|ADP CLI 需要的是 IANA 标准密码套件名称，而不是 OpenSSL 密码套件名称。例如，要将 OpenSSL 密码 ECDHE-ECDSA-CHACHA20-POLY1305 添加到 HTTP 服务器接口，你可以使用： xsp|adp_cli/interface/HTTP/HTTPServer/SSLSettings/Ciphers> 添加 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1 305

要按任一名称查找该套房，请参阅 https://ciphersuite.info/。

在 XSP|ADP、应用程序服务器和配置文件服务器上配置设备管理

配置文件服务器和 XSP|ADP 是设备管理的必备条件。它们必须按照《BroadWorks 设备管理配置指南》中的说明进行配置。

Cisco AI Assistant

感谢您的反馈。

在 Webex 上为思科 BroadWorks XSP|ADPS 配置服务