簡介
本檔案介紹如何在Cisco Packaged Contact Center Enterprise(PCCE)解決方案中的主體管理伺服器(ADS/AW)和其他應用伺服器之間交換自簽署憑證。
作者:Anuj Bhatia、Robert Rogier和Ramiro Amaya,思科TAC工程師。
必要條件
需求
思科建議您瞭解以下主題:
- PCCE版本12.5(1)
- 客戶語音入口網站(CVP)版本12.5(1)
採用元件
本檔案中的資訊是根據以下軟體版本:
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路運作中,請確保您瞭解任何指令可能造成的影響。
背景
在12.x的PCCE解決方案中,所有裝置都通過主用AW伺服器中託管的單一窗格(SPOG)進行控制。由於PCCE 12.5(1)版本中的安全管理合規性(SRC),解決方案中SPOG和其他伺服器之間的所有通訊都通過安全的HTTP協定嚴格完成。
證書用於實現SPOG與其他裝置之間的無縫安全通訊。在自簽名證書環境中,伺服器之間的證書交換成為必需。要啟用12.5(1)版本中的新功能(如智慧許可、Webex體驗管理(WXM)和客戶虛擬助理(CVA)),也需要交換證書。
程式
這些是匯出自簽名證書的元件和需要將自簽名證書匯入其中的元件。
(i)主要AW伺服器:此伺服器需要來自以下位置的證書:
- Windows平台:
- ICM: 路由器和記錄器(記錄器){A/B}、外圍網關(PG){A/B}、所有ADS以及電子郵件和聊天(ECE)伺服器。
- CVP:CVP伺服器、CVP報告伺服器。
- 附註1:需要來自伺服器的Web服務管理(WSM)證書。
- 附註2:證書必須具有完全限定的域名(FQDN)。
- VOS平台:Cloud Connect、Cisco Virtual Voice Browser(VVB)、Cisco Unified Call Manager(CUCM)、Finesse、Cisco Unified Intelligent Center(CUIC)、Live Data(LD)、Identity Server(IDS)以及其他適用伺服器。
這同樣適用於解決方案中的其他ADS伺服器。
(ii)路由器\記錄器伺服器:此伺服器需要來自以下位置的證書:
- Windows平台: 所有ADS伺服器IIS證書。
(iii)CUCM PG伺服器:此伺服器需要來自以下位置的證書:
- VOS平台:CUCM發佈程式。
- 附註:從CUCM伺服器下載JTAPI客戶端時需要執行此操作。
(iv)CVP伺服器:此伺服器需要來自的證書
- Windows平台: 所有ADS伺服器IIS證書
- VOS平台:適用於WXM整合的雲連線伺服器、適用於安全SIP和HTTP通訊的VVB伺服器。
(v)CVP報告伺服器:此伺服器需要來自以下位置的證書:
(vi)VVB伺服器:此伺服器需要來自以下位置的證書:
- Windows平台:CVP VXML伺服器(安全HTTP)、CVP呼叫伺服器(安全SIP)
在解決方案中,有效交換自簽名證書所需的步驟分為三部分。
第1部分:CVP伺服器和ADS伺服器之間的證書交換。
第2部分:VOS平台應用和ADS伺服器之間的證書交換。
第3部分:Rogers、PG和ADS伺服器之間的證書交換。
第1部分:CVP和ADS伺服器之間的證書交換
成功完成此交換所需的步驟為:
步驟1.匯出CVP伺服器WSM證書。
步驟2.將CVP伺服器WSM證書匯入ADS伺服器。
步驟3.匯出ADS伺服器證書。
步驟4.將ADS伺服器匯入CVP伺服器和CVP報告伺服器。
步驟1.匯出CVP伺服器證書
從CVP伺服器匯出證書之前,您需要使用伺服器的FQDN重新生成證書,否則,智慧許可、CVA以及與SPOG同步的CVP等功能很少會遇到問題。
注意:開始之前,必須執行以下操作:
- 獲取金鑰庫密碼。運行此命令:
更多%CVP_HOME%\conf\security.properties
- 將%CVP_HOME%\conf\security資料夾複製到另一個資料夾。
- 以管理員身份開啟「命令」視窗以運行命令。
附註:您可以使用keytool引數 — storepass簡化本文檔中使用的命令。對於所有CVP伺服器,請貼上從指定的security.properties檔案獲取的密碼。對於ADS伺服器,請鍵入密碼:更改
要在CVP伺服器上重新生成證書,請執行以下步驟:
(i)列出伺服器中的證書
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -list
附註:CVP伺服器具有以下自簽名證書:wsm_certificate 、 vxml_certificate 、 callserver_certificate。如果使用keytool的引數 — v,則可以看到每個證書的更多詳細資訊。此外,您還可以在keytool.exe list命令末尾新增「>」符號,以將輸出傳送到文本檔案,例如: > test.txt
(ii)刪除舊的自簽證書
CVP伺服器:用於刪除自簽名證書的命令:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -delete -alias wsm_certificate
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -delete -alias vxml_certificate
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -delete -alias callserver_certificate
CVP報告伺服器:刪除自簽名證書的命令:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -delete -alias wsm_certificate
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -delete -alias callserver_certificate
附註:CVP報告伺服器具有以下自簽名證書wsm_certificate和callserver_certificate。
(iii)使用伺服器的FQDN生成新的自簽名證書
CVP伺服器
用於為WSM生成自簽名證書的命令:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias wsm_certificate -keysize 2048 -keyalg RSA -validity XXXX
指定伺服器的FQDN,在問題中您的名字和姓是什麼?
![screen shot 1](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-00.png)
請完成以下其他問題:
您的組織單位名稱是什麼?
[未知]:<指定OU>
貴公司的名稱是什麼?
[未知]:<指定組織的名稱>
您的城市或地區名稱是什麼?
[未知]:<指定城市/地區名稱>
您所在州或省的名稱是什麼?
[未知]:<指定州/省的名稱>
此裝置的國碼(兩個字母)是什麼?
[未知]:<指定兩個字母的國家/地區代碼>
為接下來的兩個輸入指定yes。
對vxml_certificate和callserver_certificate執行相同的步驟:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias vxml_certificate -keysize 2048 -keyalg RSA -validity XXXX
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias callserver_certificate -keysize 2048 -keyalg RSA -validity XXXX
重新啟動CVP呼叫伺服器。
CVP報告伺服器
用於為WSM生成自簽名證書的命令:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias wsm_certificate -keysize 2048 -keyalg RSA -validity XXXX
為查詢指定伺服器FQDN,您的名字和姓是什麼?並遵循與CVP伺服器相同的步驟。
對callserver_certificate執行相同步驟:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias callserver_certificate -keysize 2048 -keyalg RSA -validity XXXX
重新啟動報表伺服器。
附註:預設情況下,自簽名證書生成長達兩年。使用 — validity XXXX設定重新生成證書時的到期日期,否則證書的有效期為90天。對於大多數此類證書,3-5年必須是合理的驗證時間。
以下是一些標準有效性輸入:
一年 |
365 |
兩年 |
730 |
三年 |
1095 |
四年 |
1460 |
五年 |
1895 |
十年 |
3650 |
注意:在12.5證書中,必須是SHA 256、金鑰大小2048和加密演算法RSA,請使用以下引數設定這些值:-keyalg RSA和 — keysize 2048。CVP金鑰庫命令必須包括 — storetype JCEKS引數。如果不這樣做,則證書、金鑰或更糟的金鑰庫可能會損壞。
(iv)從CVP和報告伺服器匯出wsm_Certificate
a)將WSM證書從每個CVP伺服器匯出到臨時位置,並使用所需的名稱重新命名證書。您可以將其重新命名為wsmcsX.crt。將「X」替換為唯一數字或字母。即wsmcsa.crt、wsmcsb.crt。
用於匯出自簽名證書的命令:
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -export -alias wsm_certificate -file %CVP_HOME%\conf\security\wsm.crt
b)從路徑C:\Cisco\CVP\conf\security\wsm.crt複製憑證,並將其重新命名為wsmcsX.crt,並將其移到ADS伺服器上的臨時資料夾。
步驟2.將CVP伺服器WSM證書匯入ADS伺服器
要在ADS伺服器中匯入證書,您需要使用keytool,該工具是java工具集的一部分。可以通過幾種方法找到此工具所在的java home路徑。
(i)CLI命令> echo %JAVA_HOME%
![screen shot 2](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-01.png)
(ii)手動通過高級系統設置,如下圖所示。
![screen shot 3](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-02.png)
在PCCE 12.5上,預設路徑為C:\Program Files(x86)\Java\jre1.8.0_221\bin
用於匯入自簽名證書的命令:
keytool -keystore "C:\Program Files (x86)\Java\jre1.8.0_221\lib\security\cacerts" -import -storepass changeit -alias {fqdn_of_cvp} -file c:\temp\certs\wsmcsX.crt
附註:對部署中的每個CVP重複命令並在其他ADS伺服器上執行相同任務
d)在ADS伺服器上重新啟動Apache Tomcat服務。
步驟3.匯出ADS伺服器證書
對於CVP報告伺服器,您必須匯出ADS證書並將其匯入報告伺服器。以下是步驟:
(i)在瀏覽器的ADS伺服器上,導航到伺服器url: https://{servername}
(ii)將憑證儲存到臨時資料夾中,例如:c:\temp\certs並將證書命名為ADS{svr}[ab].cer
![screen shot 4](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-03.png)
附註:選擇Base-64 encoded X.509(.CER)選項。
步驟4.將ADS伺服器匯入CVP伺服器和報告伺服器
(i)將證書複製到C:\Cisco\CVP\conf\security目錄中的CVP伺服器和CVP報告服務器。
(ii)將證書匯入到CVP伺服器和CVP報告伺服器。
%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -trustcacerts -alias {fqdn_of_ads} -file %CVP_HOME%\conf\security\ICM{svr}[ab].cer
對其他ADS伺服器執行相同步驟。
(iii)重新啟動CVP伺服器和報告伺服器
第2部分:VOS平台應用和ADS伺服器之間的證書交換
成功完成此交換所需的步驟為:
步驟1.匯出VOS平台應用伺服器證書。
步驟2.將VOS平台應用證書匯入ADS伺服器。
此過程適用於所有VOS應用程式,例如:
- CUCM
- VVB
- Finesse
- CUIC \ LD \ IDS
- 雲端連線
步驟1.匯出VOS平台應用伺服器證書。
(i)導航至Cisco Unified Communications Operating System Administration頁面:https://FQDN:8443/cmplatform
(ii)導航到Security > Certificate Management,然後在tomcat-trust資料夾中查詢應用程式主伺服器證書。
![screen shot 5](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-04.png)
(iii)選擇證書並按一下download .PEM file(下載.PEM檔案),將其儲存在ADS伺服器上的臨時資料夾中。
![screen shot 6](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-05.png)
附註:對使用者執行相同步驟。
步驟2.將VOS平台應用程式匯入ADS伺服器
運行Key工具的路徑:C:\Program檔案(x86)\Java\jre1.8.0_221\bin
用於匯入自簽名證書的命令:
keytool -keystore "C:\Program Files (x86)\Java\jre1.8.0_221\lib\security\cacerts" -import -storepass changeit -alias {fqdn_of_vos} -file c:\temp\certs\vosapplicationX.cer
在ADS伺服器上重新啟動Apache Tomcat服務。
附註:在其他ADS伺服器上執行相同任務
第3部分:Rogers、PG和ADS伺服器之間的證書交換
成功完成此交換所需的步驟為:
第1步:從羅傑和PG伺服器匯出IIS證書
第2步:從記錄器和PG伺服器匯出診斷框架門戶(DFP)證書
步驟3:將證書匯入到ADS伺服器
步驟1.從Rogger和PG伺服器匯出IIS證書
(i)在瀏覽器的ADS伺服器上,導航到伺服器(Rogers, PG)url: https://{servername}
(ii)將憑證儲存到臨時資料夾,例如c:\temp\certs,並將憑證命名為ICM{svr}[ab].cer
![screen shot 7](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-06.png)
附註:選擇Base-64 encoded X.509(.CER)選項。
步驟2.從記錄器和PG伺服器匯出診斷框架Portico(DFP)證書
(i)在瀏覽器的ADS伺服器上,導航到伺服器(Rogers, PGs)DFP url : https://{servername}:7890/icm-dp/rest/DiagnosticPortal/GetProductVersion
(ii)將證書儲存到資料夾示例c:\temp\certs,並將證書命名為dfp{svr}[ab].cer
![screen shot 8](/c/dam/en/us/support/docs/contact-center/packaged-contact-center-enterprise/215354-exchange-self-signed-certificates-in-a-p-07.png)
附註:選擇Base-64 encoded X.509(.CER)選項。
步驟3.將證書匯入ADS伺服器
命令將IIS自簽名證書匯入ADS伺服器。運行Key工具的路徑:C:\Program檔案(x86)\Java\jre1.8.0_221\bin。
keytool -keystore "C:\Program Files (x86)\Java\jre1.8.0_221\lib\security\cacerts" -import -storepass changeit -alias {fqdn_of_server}_IIS -file c:\temp\certs\ ICM{svr}[ab].cer
Example: keytool -keystore "C:\Program Files (x86)\Java\jre1.8.0_221\lib\security\cacerts" -import -storepass changeit -alias myrgra.domain.com_IIS -file c:\temp\certs\ICMrgra.cer
附註: 匯入匯出到所有ADS伺服器的所有伺服器證書。
用於將診斷自簽名證書匯入到ADS伺服器的命令
keytool -keystore "C:\Program Files (x86)\Java\jre1.8.0_221\lib\security\cacerts" -import -storepass changeit -alias {fqdn_of_server}_DFP -file c:\temp\certs\ dfp{svr}[ab].cer
Example: keytool -keystore "C:\Program Files (x86)\Java\jre1.8.0_221\lib\security\cacerts" -import -storepass changeit -alias myrgra.domain.com_DFP -file c:\temp\certs\dfprgra.cer
附註:匯入匯出到所有ADS伺服器的所有伺服器證書。
在ADS伺服器上重新啟動Apache Tomcat服務。
第4部分:CVP CallStudio WEB服務整合
有關如何為Web服務元素和Rest_Client元素建立安全通訊的詳細資訊
請參閱Cisco Unified CVP VXML伺服器和Cisco Unified Call Studio 12.5(1)版 — Web服務整合[Cisco Unified Customer Voice Portal] - Cisco使用手冊
相關資訊