共同居留條件

• 驗證服務必須與 Xsi 應用程式共同使用，因為這些介面必須接受長壽命令牌以進行服務授權。 驗證服務需要驗證這些令牌。

• 如果需要，身份驗證服務和 Xsi 可以在相同的連接埠上執行。

• 您可以根據您的規模的需要分隔其他服務/應用程式 (例如專用裝置管理 XSP|ADP 伺服器陣列)。

• 您可以共同定位 Xsi、CTI、驗證服務和 DMS 應用程式。

• 請勿在 XSP|ADP 上安裝用於將 BroadWorks 與 Webex 整合的其他應用程式 或服務。

• 請勿將 NPS 應用程式與任何其他應用程式共同定位。

XSI 介面

安裝和設定 Xsi 動作和 Xsi 事件應用程式，如思科廣播工程 Xtended 服務介面組態指南中所述。

只應在用於 CTI 介面的 XSP|ADP 上部署一個 X si-Events 應用程式執行個體。

用於將 Broadworks 與 Webex 整合的所有 Xsi 事件都必須具有相同的呼叫控制應用程式名稱，在「應用程式/XSI 事件/一般設定」下定義。 例如：

ADP_CLI/應用程式/XSI 事件/一般設定 > 取得

呼叫控制應用程序名稱 = com.broadsoft.xsi 事件

當使用者加入 Webex 時，Webex 會為 AS 上的使用者建立訂閱，以便接收電話事件以取得存在和通話記錄。 訂閱與呼叫控制應用程式名稱相關聯，AS 會使用該訂閱來知傳送電話事件至哪個 Xsi-Events。

設定驗證服務 (具有 CI 令牌驗證)

使用此程序可將驗證服務設定為使用 CI 令牌驗證與 TLS 一起使用。 如果您正在執行 R22 或更高版本且系統支援此驗證方法，建議使用此驗證方法。

1. 取得適用於思科廣域工程的 Webex OAuth 認證。

2. 在每個 XSP|ADP 伺服器上安裝下列修補程式。 安裝適合 您的版本的修補程式：

   • 若版本為 R22：

     安普平台 .22.0.11123.普 376508

     通訊號碼 22.0.1123.阿普 376508

     通訊號碼 22.0.1123.AP368601

   • 若版本為 R23：

     交易所代碼：23.0.1075.AP376509

     通用平台 23.0.1075.AP376509

   • 適用於 R24 — 不需要修補程式

   對 XSP 的任何引用都包括 XSP 或 ADP。

3. 在每個 XSP | ADP 服務上安裝驗證服務應用程式。

   1. 執行下列命令以啟動 XSP|ADP 上的驗證服務 應用程式至 /AuthService 前後關聯路徑。

      XSP|ADP_CLI/ 維護/管理物件 > 啟用應用程式驗證服務 22.0_1.112.3/ 驗證服務

   2. 執行此命令以在 XSP | ADP 上部署驗證服務：

      XSP|ADP_CLI/維護/管理物件 > 部署應用程式 /AuthService廣域工程軟體管理員部署 /AuthService...

4. 從 Broadworks 版本 2022.10 開始，當切換到新版本的 java 時，Java 隨附的憑證授權單位不再自動包含在 BroadWorks 信任存放區中。 驗證服務會開啟與 Webex 的 TLS 連線以擷取存取令牌，並需要在其信任存放區中有下列項目才能驗證 IDBroker 和 Webex URL：

   • 識別信託商業根 CA 1

   • 快樂爸爸 Certificate Authority-第二級賽

   確認這些憑證是否存在於下列 CLI

   ADP_CLI/系統/SSL 共用設置/信任/默認值 > 獲取

   如果沒有，請執行下列命令以匯入預設的 Java 信任：

   ADP_CLI/系統/SSL 共用設置/信任/默認 > 導入 JAWA 保護

   或者，您可以使用下列指令手動將這些憑證新增為信任錨點：

   ADP_CLI/系統/SSL 共用設定/信任/廣泛工作 > 更新信任 <alias><trustAnchorFile>

   如果 ADP 已從先前版本升級，則舊版本的憑證授權單位會自動匯入新版本，並將繼續匯入，直到手動移除為止。

   驗證服務應用程式不受 ADP_CLI/ 系統/SSL共用設定/一般設定下的「驗證 PeerIdentity」設定豁免，並始終驗證對等身分識別。 如需有關此設定的詳細資訊，請參閱思科廣播工廠 X509 憑證驗證 FD。

5. 透過在每個 XSP|ADP 伺服器上執行下列命令來設定身分識別提供者：

   XSP|ADP_CLI/ 應用程式/驗證服務/身份識別提供商 /CISCO> 取得

   • 設定從步驟 1 的客戶端 ID

   • 設定已啟用為 true

   • 設置客戶端秘密客戶端-步驟 1 中的秘密

   • 設定 C 回應主體最大小單位元組 65536

   • 設定發行人名稱 <URL>-針對 URL，輸入套用至 CI 叢集的發行名稱 URL。 請參閱下表。

   • 設定發行者 URL <URL>— 針對 URL，輸入套用至 CI 叢集的發行網址。 請參閱下表。

   • 設定代幣資料-輸入適<IdPProxy URL>用於您的團隊叢集的 IdP 代理網址。 請參閱下面的第二個表格。

   表一。設定發行人名稱和發行者 URL

   如果 CI 叢集是...	將發行人名稱和發行者 URL 設定為...
   US-A	https://idbroker.webex.com/idb
   EU	https://idbroker-eu.webex.com/idb
   US-B	https://idbroker-b-us.webex.com/idb
   如果您不知道 CI 叢集，則可以從 Control Hub 的服務台檢視中的客戶詳細資訊取得資訊。

   表二設置代幣在美元

   如果團隊叢集是...	將代幣資訊設定為...（IDP 代理網址）
   ACHM	https://broadworks-idp-proxy-a.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AFRA	https://broadworks-idp-proxy-k.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   AORE	https://broadworks-idp-proxy-r.wbx2.com/broadworks-idp-proxy/api/v1/idp/authenticate
   如果您不知道您的 Teams 叢集，則可以從控制中心的「服務台」檢視中的客戶詳細資訊取得資訊。 對於測試，您可以通過將 URL 的「idp/驗證」部分替換為「ping」來驗證令牌 Info URL 是否有效。

6. 透過執行下列命令，指定必須存在於 Webex 使用者設定檔中的 Webex 權利：

   XSP|AD P_CLI/ 應用程式/驗證服務/身份識別提供商 /CISCO/范圍 > 設定範圍廣域連接器:使用者

7. 在每個 XSP|ADP 伺服器上使用下列 命令設定 Cisco 聯盟的身分識別提供者：

   XSP|ADP_CLI/ 應用程式/驗證服務/身份識別提供商 /CISCO/聯盟 > 取得

   • 設置 FLSURLL https://cifls.webex.com/federation

   • 將刷新時間設置為 60 分鐘

   • 從步驟 1 中設置刷新令牌更新代幣

8. 執行下列命令以驗證您的 FLS 組態是否正常運作。 此命令將返回身分提供者清單：

   XSP|ADP_CLI/ 應用程式/驗證服務/身份識別提供者/CISCO/ 聯盟/叢集地圖 > 取得

9. 在每個 XSP| ADP 伺服器上使用下列命令來設定令牌管理：

   • XSP|ADP_CLI/ 應用程式/驗證服務/代幣管理 >

   • 設置代幣發行人布羅德維克斯

   • 設置代幣持續時間為 720 小時

10. 產生和共享 RSA 金鑰。 您必須在一個 XSP|ADP 上產生金鑰，然後將它們複製到所有其 他 XSP | ADP。 這是由於以下因素所致：

    • 您必須使用相同的公開/私密金鑰對，在驗證服務的所有執行個體中進行令牌加密/解密。

    • 當首次需要發行令牌時，驗證服務會產生密鑰對。

    如果您循環鍵或變更金鑰長度，則需要重複以下配置 並重新啟動所有 XSP|ADP。

    1. 選取一個 XSP|ADP 以用來產生金鑰對。

    2. 透過從用戶端的瀏覽器要求下列 URL，使用用戶端向該 XSP|ADP 要求加密的令牌：

       https://<XSP|ADP-IPAddress>/authService/token?鍵 = 基本 64 網址（客戶端公開金鑰）

       （如果尚未有，這會在 XSP|ADP 上生成一個私密/公開金鑰對）

    3. 金鑰存放區位置無法配置。 匯出金鑰：

       XSP|ADP_CLI/ 應用程式/驗證服務/金鑰管理 > 匯出金鑰

    4. 將匯出的檔案 /var/Broadworks/TMP/AuthService.keys 複製到其他 XSP|adps 上的相同 位置，視需要覆寫舊的 .keys 檔案。

    5. 匯入其他每個 XSP | ADP 上的金鑰：

       XSP| ADP_CLI/ 應用程式/驗證服務/金鑰管理 > 匯入金鑰 /VAR/廣泛工作/TMP/AUTHSERVICE. 金鑰

11. 提供 Web 容器的 AuthService URL。 XSP|ADP 的網絡容器需要 AuthService URL，以便它可以驗證令牌。 在每個 XSP | ADP 上：

    1. 將驗證服務 URL 新增為 BroadWorks 通訊公用程式的外部驗證服務：

       XSP|AD P_CLI/系統/通訊工程式/設定設定/外部認證/驗證服務 > 設置網址 http://127.0.0.1:80/authService

    2. 將驗證服務 URL 新增至容器：

       XSP | ADP_CLI/維護/容器選項 > 添加小貓 BW. AuthService.AuthServiceURL http://127.0.0.1:80/authService

       這使 Webex 能夠使用驗證服務來驗證顯示為憑證的令牌。

    3. 使用 get 檢查參數。

    4. 重新啟動 XSP | ADP。

刪除身份驗證服務的用戶端身份驗證要求（僅限 R24）

如果您在 R24 上設定了 CI Token 驗證的驗證服務，則還需要移除驗證服務的用戶端驗證需求。 執行下列 CLI 命令：

ADP_CLI/ 介面/HTTP/SSL共用設定/用戶端驗證/網頁應用程式 > 設定驗證服務用戶端 AuthReq 虛假 <interfaceIp><port>

在 HTTP 介面上設定 TLS 和加密程式 (適用於 XSI 和驗證服務)

驗證服務、Xsi 動作和 Xsi 事件 應用程式使用 HTTP 伺服器介面。 這些 應用程式的 TLS 可配置性等級如下：

最一般 = 系統 > 傳輸 > HTTP > HTTP 服務器接口 = 最具體

您用來檢視或 修改不同 SSL 設定的 CLI 前後關聯如下：

在 XSP | ADP 上讀取 HTTP 伺服器 TLS 介面組態

1. 登入 XSP | ADP 並導覽至 XSP | ADP_CLI/ 介面/HTTP/HTTP伺服器 >

2. 輸入 get 命令並讀取結果。 您應 該看到接口（IP 位址），以及每個介面是否安全，以及是 否需要用戶端身份驗證。

Apache tomcat 會為每個安全介面授權憑證；如果系統需要，系統 會產生一個自我簽署的憑證。

XSP|ADP_CLI/Interface/Http/HttpServer> get

將 TLS 1.2 通訊協定新增至 HTTP 伺服器介面

必須針對 TLSv1.2 設定與 Webex 雲端互動 的 HTTP 介面。 雲端不會談判舊版 TLS 通訊協定 。

若要在 HTTP 伺服器介面上設定 TLSv1.2 通訊協定：

1. 登入 XSP | ADP 並導覽至 XSP|ADP_CLI/ 介面/HTTP/HTTP/HTTP伺服器/SSL 設定/通訊協定 >

2. 輸入命令 get 443 以<interfaceIp>查看此界 面上已使用哪些協議。

3. 輸入命令 add 443 TLSv1.2，以 確<interfaceIp>保介面可以在與雲端通訊時使用 TLS 1.2。

編輯 HTTP 伺服器介面上的 TLS 加密組態

若要 設定所需的密碼：

1. 登入 XSP | ADP 並導覽至 XSP | ADP_CLI/ 介面/HTTP/HTTP/HTTP伺服器/SSL 設定/密碼 >

2. 輸入命令 get 443 以<interfaceIp>查看此界 面上已使用哪些密碼。 Cisco 推薦套件中至少必須有一 個 (請參閱「概觀」段落中的 XSP|ADP 身分與安全 性需求)。

3. 輸入指令 add 443 以 <interfaceIp><cipherName>將密碼新增至 HTTP 伺服器 介面。

   XSP | ADP CLI 需要 IANA 標準加密套件名稱，而不是 OpenSSL 加密套件名稱。 例如，要將 OpenSSL 加密 ECDHE- ECDSA-CHACHA20-POLY1305 添加到 HTTP 服務器界面，您可以使用：XSP|ADP_CLI/界面 /HTTP/HTTP/HTTP/HTTP伺服器/SSL 設定/密碼 > 添加 192.0.2.7 443 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

   請參閱 https://ciphersuite.info/，以任何一個名稱尋找套件。

在 XSP|ADP、應用程式伺服器和設定檔伺服器上設定裝置管理

設定檔伺服器和 XSP|ADP 是裝置管理必要的。 必須根據「BroadWorks 裝置管理組態 指南」中的指示進行 設定。