Guide de gestion des certificats de solution UCCX

Introduction

Ce document décrit comment configurer Cisco Unified Contact Center Express (UCCX) pour l'utilisation de certificats auto-signés et signés.

Conditions préalables

Conditions requises

Avant de poursuivre les étapes de configuration décrites dans ce document, assurez-vous d'avoir accès à la page Administration du système d'exploitation (OS) pour ces applications :

• UCCX 
• SocialMiner
• MediaSense

Un administrateur doit également avoir accès au magasin de certificats sur les PC clients de l'agent et du superviseur.

FQDN, DNS et domaines

Tous les serveurs de la configuration UCCX doivent être installés avec des serveurs DNS (Domain Name System) et des noms de domaine. Il est également nécessaire que les agents, les superviseurs et les administrateurs accèdent aux applications de configuration UCCX via le nom de domaine complet (FQDN).

UCCX version 10.0+ nécessite que le nom de domaine et les serveurs DNS soient renseignés lors de l'installation. Les certificats générés par le programme d'installation UCCX Version 10.0+ contiennent le nom de domaine complet (FQDN), selon le cas. Ajoutez les serveurs DNS et un domaine au cluster UCCX avant de passer à UCCX version 10.0+.

Si le domaine change ou est renseigné pour la première fois, les certificats doivent être régénérés. Après avoir ajouté le nom de domaine à la configuration du serveur, régénérez tous les certificats Tomcat avant de les installer sur les autres applications, dans les navigateurs clients ou lors de la génération de la demande de signature de certificat (CSR) pour signature.

Components Used

Les informations décrites dans ce document sont basées sur les composants matériels et logiciels suivants :

• Services Web UCCX
• Service de notification UCCX
• Plate-forme UCCX Tomcat
• Cisco Finesse Tomcat
• Cisco Unified Intelligence Center (CUIC) Tomcat
• Tomcat SocialMiner
• Services Web MediaSense

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

Avec l'introduction de Finesse et CUIC co-résidentes, l'intégration entre UCCX et SocialMiner pour les e-mails et les discussions, et l'utilisation de MediaSense pour enregistrer, comprendre et installer des certificats via Finesse, la capacité à dépanner les problèmes de certificat est maintenant d'une importance cruciale.

Ce document décrit l'utilisation des certificats auto-signés et signés dans l'environnement de configuration UCCX qui couvre :

• Services de notification UCCX
• Services Web UCCX
• Scripts UCCX
• Finesse cohabitante
• CUIC corésident (données en direct et rapports historiques)
• MediaSense (enregistrement et étiquetage basés sur Finesse)
• SocialMiner (discussion)

Les certificats, signés ou autosignés, doivent être installés sur les applications (serveurs) de la configuration UCCX, ainsi que sur les postes de travail des clients des agents et superviseurs.

Dans Unified Communications Operating System (UCOS) 10.5, des certificats multiserveurs ont été ajoutés afin qu'un seul CSR puisse être généré pour un cluster au lieu de devoir signer un certificat individuel pour chaque noeud du cluster. Ce type de certificat n'est explicitement pas pris en charge pour UCCX, MediaSense et SocialMiner.

Configuration

Cette section décrit comment configurer UCCX pour l'utilisation de certificats auto-signés et signés.

Schéma de configuration

Architecture de solution UCCX valide à partir de UCCX 11.0. Diagramme de communication HTTPS.

Certificats signés

La méthode recommandée de gestion des certificats pour la configuration UCCX est d'utiliser des certificats signés. Ces certificats peuvent être signés par une autorité de certification interne ou une autorité de certification tierce connue.

Dans les principaux navigateurs, tels que Mozilla Firefox et Internet Explorer, les certificats racine des CA tierces connues sont installés par défaut. Les certificats des applications de configuration UCCX qui sont signés par ces autorités de certification sont approuvés par défaut, car leur chaîne de certificats se termine par un certificat racine déjà installé dans le navigateur.

Le certificat racine d'une autorité de certification interne peut également être préinstallé dans le navigateur client via une stratégie de groupe ou une autre configuration actuelle.

Vous pouvez choisir de faire signer les certificats d'application de configuration UCCX par une autorité de certification tierce connue ou par une autorité de certification interne en fonction de la disponibilité et de la préinstallation du certificat racine pour les autorités de certification dans le navigateur client.

Installer les certificats d'application Tomcat signés

Effectuez ces étapes pour chaque noeud des applications UCCX Publisher and Subscriber, SocialMiner et MediaSense Publisher and Subscriber Administration :

1. Accédez à la page Administration du système d'exploitation et choisissez Security > Certificate Management.
2. Cliquez sur Generate CSR.
3. Dans la liste déroulante Liste de certificats, sélectionnez tomcat comme nom de certificat et cliquez sur Générer CSR.
4. Accédez à Security > Certificate Management et choisissez Download CSR.
5. Dans la fenêtre contextuelle, choisissez tomcat dans la liste déroulante et cliquez sur Télécharger CSR.

Envoyez le nouveau CSR à l'autorité de certification tierce ou signez-le avec une autorité de certification interne, comme décrit précédemment. Ce processus doit produire les certificats signés suivants :

• Certificat racine pour l'autorité de certification
• Certificat d'application UCCX Publisher
• Certificat de demande d'abonné UCCX
• Certificat d'application SocialMiner
• Certificat d'application de serveur de publication MediaSense
• Certificat d'application d'abonné MediaSense

Note: Laissez le champ Distribution dans le CSR comme nom de domaine complet du serveur.

Note: Le certificat « multiserveur (SAN)" est pris en charge pour UCCX à partir de la version 11.6. Cependant, le SAN doit inclure uniquement les noeuds UCCX 1 et 2. D'autres serveurs, tels que SocialMiner, ne doivent pas être inclus dans le SAN d'UCCX.

Note: UCCX prend uniquement en charge les longueurs de clé de certificat de 1 024 et 2 048 bits.

Exécutez ces étapes sur chaque serveur d'applications afin de télécharger le certificat racine et le certificat d'application sur les noeuds :

Note: Si vous téléchargez les certificats racine et intermédiaire sur un éditeur (UCCX ou MediaSense), il doit être automatiquement répliqué sur l'abonné. Il n'est pas nécessaire de télécharger les certificats racine ou intermédiaire sur les autres serveurs non éditeurs de la configuration si tous les certificats d'application sont signés via la même chaîne de certificats.

1. Accédez à la page Administration du système d'exploitation et choisissez Security > Certificate Management.
2. Cliquez sur Télécharger le certificat.
3. Téléchargez le certificat racine et choisissez tomcat-trust comme type de certificat.
4. Cliquez sur Télécharger le fichier.
5. Cliquez sur Télécharger le certificat.
6. Téléchargez le certificat d'application et choisissez tomcat comme type de certificat.
7. Cliquez sur Télécharger le fichier.

   Note: Si une autorité de certification subordonnée signe le certificat, téléchargez le certificat racine de l'autorité de certification subordonnée en tant que certificat de confiance tomcat au lieu du certificat racine. Si un certificat intermédiaire est émis, téléchargez ce certificat dans le magasin tomcat-trust en plus du certificat de demande.

8. Une fois terminé, redémarrez les applications suivantes :
   • Éditeur et abonné Cisco MediaSense
   • Cisco SocialMiner
   • Éditeur et abonné Cisco UCCX

Note: Lorsque vous utilisez UCCX, MediaSense et SocialMiner 11.5 et versions ultérieures, il existe un nouveau certificat appelé tomcat-ECDSA. Lorsque vous téléchargez un certificat tomcat-ECDSA signé sur le serveur, téléchargez le certificat d'application en tant que certificat tomcat-ECDSA, et non en tant que certificat tomcat. Pour plus d'informations sur l'ECDSA, reportez-vous à la section Informations connexes du lien pour comprendre et configurer les certificats ECDSA.

Certificats auto-signés

Installation Sur Les Serveurs Périphériques

Tous les certificats utilisés dans la configuration UCCX sont préinstallés sur les applications de configuration et sont autosignés. Ces certificats auto-signés ne sont pas implicitement fiables lorsqu'ils sont présentés à un navigateur client ou à une autre application de configuration. Bien qu'il soit recommandé de signer tous les certificats dans la configuration UCCX, vous pouvez utiliser les certificats préinstallés auto-signés.

Pour chaque relation d'application, vous devez télécharger le certificat approprié et le télécharger vers l'application. Complétez ces étapes afin d'obtenir et de télécharger les certificats :

1. Accédez à la page Administration du système d'exploitation de l'application et choisissez Security > Certificate Management.
   
   
2. Cliquez sur le fichier certificat .pem approprié et choisissez Télécharger :
   
   
   
   
   
   
3. Afin de télécharger un certificat sur l'application appropriée, accédez à la page Administration du système d'exploitation et sélectionnez Sécurité > Gestion des certificats.
4. Cliquez sur Télécharger le certificat / la chaîne de certificats :
   
   
5. Une fois terminé, redémarrez ces serveurs :
   
   
   • Éditeur et abonné Cisco MediaSense
   • Cisco SocialMiner
   • Éditeur et abonné Cisco UCCX

Afin d'installer des certificats auto-signés sur l'ordinateur client, utilisez une stratégie de groupe ou un gestionnaire de packages, ou installez-les individuellement dans le navigateur de chaque ordinateur agent.

Pour Internet Explorer, installez les certificats auto-signés côté client dans le magasin Autorités de certification racines de confiance.

Pour Mozilla Firefox, procédez comme suit :

1. Accédez à Outils > Options.
2. Cliquez sur l'onglet Advanced.
3. Cliquez sur Afficher les certificats.
4. Accédez à l'onglet Serveurs.
5. Cliquez sur Ajouter une exception.

Régénération des certificats auto-signés

Si les certificats auto-signés expirent, ils devront être régénérés et les étapes de configuration de l'installation sur les serveurs périphériques devront être réexécutées.

1. Accéder à l'application Administration du système d'exploitation et choisissez Sécurité > Gestion des certificats.
2. Cliquez sur le certificat approprié et choisissez Régénérer. 
3. Le serveur dont le certificat a été régénéré doit être redémarré.
4. Pour chaque relation d'application, vous devez télécharger le certificat approprié et le télécharger vers l'application en suivant les étapes de configuration de Installation sur les serveurs périphériques.

Intégration et configuration du client

UCCX-to-MediaSense

L'UCCX utilise l'interface de programmation d'applications (API) des services Web MediaSense REST pour deux raisons :

• Afin de s'abonner aux notifications de nouveaux enregistrements qui sont appelés sur Cisco Unified Communications Manager (CUCM).
• Afin de marquer les enregistrements des agents UCCX avec les informations d'agent et de file d'attente de service de contact (CSQ).

L'UCCX consomme l'API REST sur les noeuds d'administration MediaSense. Chaque cluster MediaSense peut en contenir deux au maximum. L'UCCX ne se connecte pas aux noeuds d'extension MediaSense via l'API REST. Les deux noeuds UCCX doivent utiliser l'API REST de MediaSense. Installez donc les deux certificats Tomcat de MediaSense sur les deux noeuds UCCX.

Téléchargez la chaîne de certificats signée ou auto-signée des serveurs MediaSense dans le magasin de clés UCCX tomcat-trust.

MediaSense-to-Finesse

MediaSense consomme l'API REST des services Web Finesse afin d'authentifier les agents pour le gadget Recherche et Lecture MediaSense sur Finesse.

Le serveur MediaSense configuré sur la disposition XML Finesse du gadget Rechercher et lire doit utiliser l'API REST Finesse. Installez donc les deux certificats Tomcat UCCX sur ce noeud MediaSense.

Téléchargez la chaîne de certificats signée ou auto-signée des serveurs UCCX dans le magasin de clés MediaSense tomcat-trust.

UCCX-to-SocialMiner

L'UCCX consomme les API REST et Notification de SocialMiner afin de gérer les contacts et la configuration des e-mails. Les deux noeuds UCCX doivent utiliser l'API REST de SocialMiner et être avertis par le service de notification de SocialMiner. Installez donc le certificat Tomcat de SocialMiner sur les deux noeuds UCCX.

Téléchargez la chaîne de certificats signée ou auto-signée du serveur SocialMiner vers le magasin de clés UCCX tomcat-trust.

Certificat client AppAdmin UCCX

Le certificat client AppAdmin UCCX est utilisé pour l'administration du système UCCX. Afin d'installer le certificat AppAdmin UCCX pour les administrateurs UCCX, sur l'ordinateur client, accédez à https://<UCCX FQDN>/appadmin/main pour chacun des noeuds UCCX et installez le certificat via le navigateur.

Certificat client de plate-forme UCCX

Les services Web UCCX sont utilisés pour la livraison de contacts de discussion aux navigateurs clients. Afin d'installer le certificat UCCX Platform pour les agents et superviseurs UCCX, sur l'ordinateur client, accédez à https://<UCCX FQDN>/appadmin/main pour chacun des noeuds UCCX et installez le certificat via le navigateur.

Certificat du client du service de notification

Le service de notification CCX est utilisé par Finesse, UCCX et CUIC afin d'envoyer des informations en temps réel au bureau client via le protocole XMPP (Extensible Messaging and Presence Protocol). Il est utilisé pour les communications Finesse en temps réel ainsi que pour CUIC Live Data.

Afin d'installer le certificat client du service de notification sur le PC des agents et superviseurs ou des utilisateurs de rapports qui utilisent les données en direct, accédez à https://<UCCX FQDN>:7443/ pour chacun des noeuds UCCX et installez le certificat via le navigateur.

Certificat client Finesse

Le certificat client Finesse est utilisé par les ordinateurs de bureau Finesse afin de se connecter à l'instance Finesse Tomcat aux fins de la communication de l'API REST entre le bureau et le serveur Finesse co-résident.

Afin d'installer le certificat Finesse pour les agents et les superviseurs, sur le PC client, accédez à https://<UCCX FQDN>:8445/ pour chacun des noeuds UCCX et installez le certificat via les invites du navigateur.

Afin d'installer le certificat Finesse pour les administrateurs Finesse, sur le PC client, accédez à https://<UCCX FQDN>:8445/cfadmin pour chacun des noeuds UCCX et installez le certificat via les invites du navigateur.

Certificat client SocialMiner

Le certificat SocialMiner Tomcat doit être installé sur l'ordinateur client. Une fois qu'un agent accepte une demande de discussion, le gadget de discussion est redirigé vers une URL qui représente la salle de discussion. Cette salle de discussion est hébergée par le serveur SocialMiner et contient le contact client ou de discussion.

Afin d'installer le certificat SocialMiner dans le navigateur, sur le PC client, accédez à https://<SocialMiner FQDN>/ et installez le certificat via les invites du navigateur.

Certificat client CUIC

Le certificat CUIC Tomcat doit être installé sur l'ordinateur client pour les agents, les superviseurs et les utilisateurs de rapports qui utilisent l'interface Web CUIC pour les rapports historiques ou les rapports de données en direct dans la page Web CUIC ou dans les gadgets du bureau.

Afin d'installer le certificat CUIC Tomcat dans le navigateur, sur le PC client, accédez à https://<UCCX FQDN>:8444/ et installez le certificat via les invites du navigateur.

Certificat CUIC Live Data (depuis 11.x)

Le CUIC utilise le service d'E/S du socket pour les données en direct du serveur principal. Ce certificat doit être installé sur l'ordinateur client pour les agents, les superviseurs et les utilisateurs de rapports qui utilisent l'interface Web CUIC pour les données en direct ou qui utilisent les gadgets de données en direct dans Finesse.

Afin d'installer le certificat d'E/S du socket dans le navigateur, sur le PC client, accédez à https://<UCCX FQDN>:12015/ et installez le certificat via les invites du navigateur.

Applications tierces accessibles à partir de scripts

Si un script UCCX est conçu pour accéder à un emplacement sécurisé sur un serveur tiers (par exemple, Obtenir un document URL vers une URL HTTPS ou Passer un appel de repos vers une URL REST HTTPS), téléchargez la chaîne de certificats signée ou auto-signée du service tiers dans le magasin de clés UCCX tomcat-trust. Pour obtenir ce certificat, accédez à la page Administration UCCX OS et choisissez Télécharger le certificat.

Le moteur UCCX est configuré afin de rechercher dans le magasin de clés Tomcat de la plate-forme des chaînes de certificats tierces lorsqu'elles sont présentées avec ces certificats par des applications tierces lorsqu'elles accèdent à des emplacements sécurisés via des étapes de script.

Toute la chaîne de certificats doit être téléchargée sur le keystore Tomcat de la plate-forme, accessible via la page Administration du système d'exploitation, car le keystore Tomcat ne contient aucun certificat racine par défaut.

Après avoir terminé ces actions, redémarrez le moteur Cisco UCCX.

Vérification

Afin de vérifier que tous les certificats sont installés correctement, vous pouvez tester les fonctionnalités décrites dans cette section. Si aucune erreur de certificat n'apparaît et que toutes les fonctionnalités fonctionnent correctement, les certificats sont installés correctement.

• Configurez Finesse de sorte qu'il enregistre automatiquement un agent via un workflow. Une fois qu'un appel est traité par l'agent, utilisez l'application Recherche et lecture MediaSense afin de trouver l'appel. Vérifiez que l'agent, une file d'attente de service de contact et des balises d'équipe sont associés aux métadonnées d'enregistrement dans MediaSense.
• Configurez la conversation Web de l'agent via SocialMiner. Injecter un contact de conversation via le formulaire Web. Vérifiez que l'agent reçoit la bannière pour accepter le contact de conversation et que, une fois le contact de conversation accepté, le formulaire de conversation se charge correctement et que l'agent peut à la fois recevoir et envoyer des messages de discussion.
• Essayez de vous connecter à un agent via Finesse. Vérifiez qu'aucun avertissement de certificat n'apparaît et que la page Web ne vous invite pas à installer les certificats dans le navigateur. Vérifiez que l'agent peut changer d'état correctement et qu'un nouvel appel dans UCCX est correctement présenté à l'agent.
• Une fois que vous avez configuré les gadgets de données en direct dans la disposition du bureau Finesse de l'agent et du superviseur, connectez-vous à un agent, à un superviseur et à un utilisateur de création de rapports. Vérifiez que les gadgets de données en direct se chargent correctement, que les données initiales sont renseignées dans le gadget et que les données sont actualisées lorsque les données sous-jacentes changent.
• Tentative de connexion d'un navigateur à l'URL AppAdmin sur les deux noeuds UCCX. Vérifiez qu'aucun avertissement de certificat n'apparaît lorsque la page de connexion vous y invite.

Dépannage

Problème - ID utilisateur/mot de passe non valide

Les agents Finesse UCCX ne peuvent pas se connecter avec l'erreur "ID utilisateur/mot de passe non valide« .

Causes

Unified CCX lève une exception “ SSLHandshakeException “ et ne parvient pas à établir une connexion avec Unified CM.

Solution

• Vérifiez que le certificat Unified CM Tomcat n'a pas expiré.
• Assurez-vous que tout certificat que vous avez téléchargé dans Unified CM comporte l'une des extensions suivantes marquées comme critiques :
       Utilisation des clés X509v3 (OID - 2.5.29.15)
       Contraintes de base X509v3 (OID - 2.5.29.19)
  Si vous marquez d'autres postes comme critiques, la communication entre Unified CCX et Unified CM échoue en raison de l'échec de la vérification du certificat Unified CM.

Problème : le SAN CSR et le SAN de certificat ne correspondent pas

Le téléchargement d'un certificat signé par une autorité de certification affiche l'erreur « CSR SAN and Certificate SAN not match ».

Causes

L'autorité de certification a peut-être ajouté un autre domaine parent dans le champ des noms alternatifs de sujet de certificat (SAN). Par défaut, le routeur de service de contact aura les SAN suivants :

SubjectAltName [
   example.com (dNSName)
   hostname.example.com (nomNSN)
]

Les autorités de certification peuvent renvoyer un certificat avec un autre SAN ajouté au certificat : www.hostname.example.com. Le certificat aura un SAN supplémentaire dans ce cas :

SubjectAltName [
   example.com (dNSName)
   hostname.example.com (nomNSN)

   www.hostname.example.com (dNSName)
]

Ceci provoque l'erreur de non-correspondance du SAN.

Solution

Dans la section 'Subject Alternate Name (SAN)' de la page UCCX 'Generate Certificate Signing Request', générez le CSR avec un champ Parent Domain vide. De cette manière, le CSR n'est pas généré avec un attribut SAN, l'autorité de certification peut formater les SAN et il n'y aura pas de non-correspondance d'attribut SAN lorsque vous téléchargez le certificat vers UCCX. Notez que le champ Domaine parent est défini par défaut sur le domaine du serveur UCCX. Par conséquent, la valeur doit être supprimée explicitement pendant la configuration des paramètres du CSR. 

Problème - NET::ERR_CERT_COMMON_NAME_INVALID

Lorsque vous accédez à une page Web UCCX, MediaSense ou SocialMiner, vous recevez un message d'erreur.

« Votre connexion n'est pas privée.

Les pirates peuvent tenter de voler vos informations à <Server_FQDN> (par exemple, des mots de passe, des messages ou des cartes de crédit). NET::ERR_CERT_COMMON_NAME_INVALIDE

Ce serveur n'a pas pu prouver qu'il s'agit de <Server_FQDN>; son certificat de sécurité provient de [Missing_subjectAltName]. Cela peut être dû à une mauvaise configuration ou à un pirate qui intercepte votre connexion. »

Causes

La version 58 de Chrome a introduit une nouvelle fonctionnalité de sécurité dans laquelle elle signale que le certificat d'un site Web n'est pas sécurisé si son nom commun (CN) n'est pas également inclus en tant que SAN.

Solution

• Vous pouvez accéder à Avancé > Passez à <Server_FQDN> (non sécurisé) afin de continuer sur le site et accepter l'erreur de certificat.
• Vous pouvez éviter l'erreur avec les certificats signés CA. Lorsque vous générez un CSR, le FQDN du serveur est inclus en tant que SAN. L'autorité de certification peut signer le CSR, et après avoir téléchargé le certificat signé sur le serveur, le nom de domaine complet du certificat du serveur se trouve dans le champ SAN afin que l'erreur ne soit pas présentée.

Plus d'informations

Reportez-vous à la section « Supprimer la prise en charge de la correspondance commonName dans les certificats » dans Défauts et suppressions dans Chrome 58.

Erreurs de certificat

• ID de bogue Cisco CSCvb46250 - UCCX : Impact du certificat ECDSA Tomcat sur Finesse Live Data
• ID de bogue Cisco CSCvb58580 - Impossible de se connecter à SocialMiner avec tomcat et tomcat-ECDSA signés par RSA CA
• ID de bogue Cisco CSCvd56174 - UCCX : Échec de connexion de l'agent Finesse en raison de SSLHandshakeException
• ID de bogue Cisco CSCuv89545 - Vulnérabilité Finesse Logjam

Informations connexes

• Comprendre les certificats ECDSA dans une solution UCCX
• Support SHA 256 pour UCCX
• Exemple de configuration de certificats signés et autosignés UCCX
• Support et documentation techniques - Cisco Systems