Soluzione Unified CCE: Procedura per ottenere e caricare certificati CA di terze parti (versione 11.x)

Introduzione

Lo scopo di questo documento è spiegare in dettaglio le procedure necessarie per ottenere e installare un certificato di un'Autorità di certificazione (CA), generato da un fornitore di terze parti per stabilire una connessione HTTPS tra i server Finesse, Cisco Unified Intelligence Center (CUIC) e Live Data (LD).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti: 

• Cisco Unified Contact Center Enterprise (UCCE)
• Cisco Live Data (LD)
• Cisco Unified Intelligence Center (CUIC)
• Cisco Finesse 
• Certificato CA 

Componenti usati

Le informazioni utilizzate nel documento si basano sulla versione 11.0(1) della soluzione UCCE.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, verificare di aver compreso l'impatto potenziale di qualsiasi passaggio.

Premesse

Per utilizzare HTTPS per una comunicazione sicura tra i server Finesse, CUIC e Live Data, è necessario configurare i certificati di protezione. Per impostazione predefinita, questi server forniscono certificati autofirmati che vengono utilizzati per consentire ai clienti di acquistare e installare certificati firmati da CA (Certification Authority). Questi certificati CA possono essere ottenuti da un fornitore di terze parti come VeriSign, Thawte, GeoTrust o possono essere prodotti internamente.

Configurazione

La configurazione del certificato per la comunicazione HTTPS nei server Finesse, CUIC e Live Data richiede i seguenti passaggi:

1. Generare e scaricare la richiesta di firma del certificato (CSR). 
2. Ottenere il certificato radice, intermedio (se applicabile) e di applicazione dall'autorità di certificazione utilizzando CSR.
3. Caricare i certificati nei server. 

Passaggio 1. Generare e scaricare la richiesta di firma del certificato (CSR).

1.  La procedura descritta per la generazione e il download di CSR è la stessa per i server dati Finesse, CUIC e Live.
   
   
2. Aprire la pagina Cisco Unified Communications Operating System Administration (Amministrazione del sistema operativo di Cisco Unified Communications) utilizzando l'URL indicato e accedere con l'account di amministratore del sistema operativo creato durante il processo di installazione
   https://FQDN:8443/cmplatform
   
   
3. Generare la richiesta di firma del certificato (CSR) come illustrato nell'immagine:
   
   
   
   

   Passaggio 1. Passare a Sicurezza > Gestione certificati > Genera CSR.

   Passaggio 2. Dall'elenco a discesa Nome scopo certificato, selezionare tomcat.

   Passaggio 3. Selezionare l'algoritmo hash e la lunghezza della chiave in base alle esigenze aziendali.
               - Lunghezza chiave: 2048 \ Algoritmo hash: Si consiglia SHA256
   Passaggio 4. Fare clic su Genera CSR.

   Nota: se l'azienda richiede che il campo del dominio padre relativo ai nomi soggetto alternativi (SAN) sia compilato con il nome di dominio, tenere presente gli indirizzi dei problemi indicati nel documento "Rilascio di SAN con certificato firmato da terze parti in Finesse".

4. Scaricare la richiesta di firma del certificato (CSR) come illustrato nell'immagine:

Passaggio 1. Passare a Sicurezza > Gestione certificati > Scarica CSR.
Passaggio 2. Dall'elenco a discesa Nome certificato, selezionare tomcat.
Passaggio 3. Fare clic su Download CSR.

Nota:

Nota: Eseguire la procedura descritta in precedenza sul server secondario utilizzando l'URL https://FQDN:8443/cmplatform per ottenere i CSR per Certification Authority

Passaggio 2. Ottenere il certificato radice, intermedio (se applicabile)Passaggio 5. e applicazione da Certificate Authority.

1. Fornire le informazioni CSR (Certificate Signing Request) del server primario e secondario ad autorità di certificazione di terze parti quali VeriSign, Thawte, GeoTrust e così via.
   
   
2. Dall'autorità di certificazione si dovrebbe ricevere la seguente catena di certificati per i server principale e secondario.

• Server Finesse: Certificato radice, intermedio (facoltativo) e certificato applicazione
• Server CUIC: Certificato radice, intermedio (facoltativo) e certificato applicazione
• Server di dati attivi: Certificato radice, intermedio (facoltativo) e certificato applicazione

Passaggio 3. Caricare i certificati nei server.

In questa sezione viene descritto come caricare correttamente la catena di certificati nei server dati Finesse, CUIC e Live.

Server Finesse

1. Caricare il certificato radice sul server Finesse primario con la seguente procedura:
   
   

   Passaggio 1. Nella pagina Amministrazione del sistema operativo Cisco Unified Communications del server principale, passare a Protezione > Gestione certificati > Carica certificato.
   Passaggio 2. Dall'elenco a discesa Nome certificato, selezionare tomcat-trust.
   Passaggio 3. Nel campo Carica file, fare clic su Sfoglia e individuare il file del certificato radice.
   Passaggio 4. Fare clic su Carica file.
   
   

2. Caricare il certificato intermedio sul server Fineese primario eseguendo la procedura seguente:
   
   

   Passaggio 1. I passaggi per il caricamento del certificato intermedio sono uguali a quelli del certificato radice, come illustrato nel passaggio 1.
   Passaggio 2. Nella pagina Amministrazione del sistema operativo Cisco Unified Communications del server principale, passare a Protezione > Gestione certificati > Carica certificato.
   Passaggio 3. Dall'elenco a discesa Nome certificato, selezionare tomcat-trust.
   Passaggio 4. Nel campo Carica file, fare clic su Sfoglia e individuare il file del certificato intermedio.
   Passaggio 5. Fare clic su Upload.

   Nota: Poiché l'archivio Tomcat-trust viene replicato tra i server primario e secondario, non è necessario caricare il certificato radice o intermedio sul server finesse secondario.

3. Caricare il certificato dell'applicazione server Finesse primario come mostrato nell'immagine:
   
   
   
   

   Passaggio 1. Dall'elenco a discesa Nome certificato, selezionare tomcat.

   Passaggio 2. Nel campo Carica file, fare clic su Sfoglia e individuare il file del certificato dell'applicazione.
   3. Fare clic su Upload per caricare il file.

   
   
   
4. Caricare il certificato dell'applicazione server Fineese secondario.
   

    In questo passaggio fSeguire la stessa procedura indicata al passaggio 3 sul server secondario per il proprio certificato applicazione.
   
   

5. Ora è possibile riavviare i server.
   Accedere alla CLI sui server Finesse primario e secondario e immettere il comando utilizza il riavvio del sistema per riavviare i server.

Server CUIC (presumendo che non siano presenti certificati intermedi nella catena di certificati)

1. Carica certificato radice nel server CUIC primario.
   

   
   Passaggio 1. Nella pagina Amministrazione del sistema operativo Cisco Unified Communications del server principale, passare a Protezione > Gestione certificati > Carica catena di certificati/certificati.
   Passaggio 2. Dall'elenco a discesa Nome certificato, selezionare tomcat-trust.
   Passaggio 3. Nel campo Carica file, fare clic su Sfoglia e individuare il file del certificato radice.
   Passaggio 4. Fare clic su Carica file.

   Nota: Poiché l'archivio a attendibilità totale viene replicato tra i server primario e secondario, non è necessario caricare il certificato radice nel server CUIC secondario.

   
   
   
2. Carica il certificato dell'applicazione server CUIC primaria.
   

   
   Passaggio 1. Dall'elenco a discesa Nome certificato, selezionare tomcat.
   Passaggio 2. Nel campo Carica file, fare clic su Sfoglia e individuare il file del certificato dell'applicazione.
   Passaggio 3. Fare clic su Carica file.

3. Carica il certificato dell'applicazione server CUIC secondaria.
   Seguire la stessa procedura indicata al passaggio 2 sul server secondario per il proprio certificato applicazione
   
   
4. Riavvia server
   Accedere alla CLI sui server CUIC primario e secondario e immettere il comando "utils system restart" per riavviare i server.
   

   Nota: Se l'autorità CA fornisce la catena di certificati che include i certificati intermedi, i passaggi indicati nella sezione Server Finesse sono applicabili anche ai server CUIC.

Server Live Data

1. I passaggi necessari per caricare i certificati nei server Live-Data sono identici ai server Finesse o CUIC, a seconda della catena di certificati.
   
   
2. Carica il certificato radice nel server Live-Data primario.
   
   Passaggio 1. Nella pagina Amministrazione del sistema operativo Cisco Unified Communications del server principale, passare a Protezione > Gestione certificati > Carica certificato.
   Passaggio 2. Dall'elenco a discesa Nome certificato, selezionare tomcat-trust.
   Passaggio 3. Nel campo Carica file, fare clic su Browse (Sfoglia) e individuare il file del certificato radice.
   Passaggio 4. Fare clic su Upload.
   
   
3. Carica il certificato intermedio sul server Live-Data primario.
   
   Passaggio 1. I passaggi per il caricamento del certificato intermedio sono uguali a quelli del certificato radice, come illustrato nel passaggio 1.
   Passaggio 2. Nella pagina Amministrazione del sistema operativo Cisco Unified Communications del server principale, passare a Protezione > Gestione certificati > Carica certificato.
   Passaggio 3. Dall'elenco a discesa Nome certificato, selezionare tomcat-trust.
   Passaggio 4. Nel campo Carica file, fare clic su Browse (Sfoglia) e individuare il file del certificato intermedio.
   Passaggio 5. Fare clic su Upload.
   

   Nota: Poiché l'archivio Tomcat-trust viene replicato tra i server primario e secondario, non è necessario caricare il certificato radice o intermedio nel server secondario Live-Data.

4. Carica certificato applicazione server Live-Data primario.
   
   Passaggio 1. Dall'elenco a discesa Nome certificato, selezionare tomcat.
   Passaggio 2. Nel campo Carica file, fare clic su Sfoglia e individuare il file del certificato dell'applicazione.
   Passaggio 3. Fare clic su Upload.
   
   
5. Carica il certificato secondario dell'applicazione server Live Data.
   

   Eseguire la stessa procedura descritta in (4) sul server secondario per il proprio certificato applicazione.
   
   

6.  Riavvia server
   Accedere alla CLI sui server Finesse primario e secondario e immettere il comando "utils system restart" per riavviare i server.

Dipendenze dei certificati dei server Live Data

Poiché i server di dati in tempo reale interagiscono con i server CUIC e Finesse, esistono dipendenze di certificato tra questi server, come mostrato nell'immagine:

Per quanto riguarda la catena di certificati CA di terze parti, i certificati radice e intermedio sono gli stessi per tutti i server dell'organizzazione. Di conseguenza, affinché il server Live Data funzioni correttamente, è necessario verificare che i server Finesse e CUIC dispongano dei certificati radice e intermedi correttamente caricati nei contenitori Tomcat-Trust.

Verifica

Attualmente non è disponibile una procedura di verifica per questa configurazione.

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.