Certificaatbeheer voor UCCX-oplossing configureren

Inleiding

In dit document wordt beschreven hoe u het Cisco Unified Contact Center Express (UCCX) configureert voor het gebruik van zelf ondertekende en ondertekende certificaten.

Voorwaarden

Vereisten

Voordat u doorgaat met de configuratiestappen die in dit document worden beschreven, moet u ervoor zorgen dat u toegang hebt tot de beheerpagina van het besturingssysteem voor deze toepassingen:

• UCCX
• SocialMiner/CCP

Een beheerder kan ook toegang hebben tot het certificaatarchief op de client-pc's van de agent en de supervisor.

FQDN, DNS en domeinen

Alle servers in de UCCX-configuratie moeten worden geïnstalleerd met DNS-servers (Domain Name System) en domeinnamen. Het is ook vereist dat agenten, supervisors en beheerders toegang hebben tot de UCCX-configuratietoepassingen via de volledig gekwalificeerde domeinnaam (FQDN).

Als het domein verandert of voor het eerst wordt ingevuld, kunnen de certificaten opnieuw worden gegenereerd. Nadat u de domeinnaam aan de serverconfiguratie hebt toegevoegd, genereert u alle Tomcat-certificaten opnieuw voordat u ze installeert in de andere toepassingen, in de clientbrowsers of bij het genereren van het Certificate Signing Request (CSR) voor ondertekening.

Gebruikte componenten

De in dit document beschreven informatie is gebaseerd op deze hardware- en softwarecomponenten:

• UCCX-webservices
• UCCX-meldingsservice
• UCCX Platform Tomcat
• Cisco Finesse Tomcat
• Cisco Unified Intelligence Center (CUIC) Tomcat
• SocialMiner/CCP Tomcat

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Met de introductie van co-resident Finesse en CUIC, de integratie tussen UCCX en SocialMiner voor e-mail en chat, en het gebruik van MediaSense om certificaten op te nemen, te begrijpen en te installeren via Finesse, is de mogelijkheid om problemen met certificaten op te lossen nu van cruciaal belang.

Dit document beschrijft het gebruik van zowel zelf ondertekende als ondertekende certificaten in de UCCX-configuratieomgeving die betrekking heeft op:

• UCCX-meldingsservices
• UCCX-webservices
• UCCX-scripts
• mederesident Finesse
• Co-resident CUIC (live gegevens en historische rapportage)
• SocialMiner (chat)

Certificaten, ondertekend of zelf ondertekend, moeten worden geïnstalleerd op zowel de toepassingen (servers) in de UCCX-configuratie, als de agent- en supervisor-clientdesktops.

Ondersteuning voor meerdere SAN's werd toegevoegd in UCCX vanaf versie 11.6.2.

Publiekelijk ondertekende CA-certificaten op SomicalMiner / CCP zijn vereist om externe chat via internet te laten functioneren.

Configureren

In dit gedeelte wordt beschreven hoe u de UCCX kunt configureren voor het gebruik van zelf ondertekende en ondertekende certificaten.

configuratiediagram

Ondertekende certificaten

De aanbevolen methode voor certificaatbeheer voor de UCCX-configuratie is om gebruik te maken van ondertekende certificaten. Deze certificaten kunnen worden ondertekend door een interne certificeringsinstantie (CA) of een bekende CA van derden.

In grote browsers, zoals Mozilla Firefox en Microsoft Edge, worden rootcertificaten voor bekende CA's van derden standaard geïnstalleerd. De certificaten voor UCCX-configuratietoepassingen die door deze CA's zijn ondertekend, worden standaard vertrouwd, omdat hun certificaatketen eindigt in een rootcertificaat dat al in de browser is geïnstalleerd.

Het rootcertificaat van een interne CA kan ook vooraf worden geïnstalleerd in de clientbrowser via een groepsbeleid of een andere huidige configuratie.

U kunt kiezen of u de UCCX-configuratietoepassingscertificaten wilt laten ondertekenen door een bekende CA van een derde partij of door een interne CA op basis van de beschikbaarheid en voorinstallatie van het rootcertificaat voor de CA's in de clientbrowser.

Ondertekende Tomcat-toepassingscertificaten installeren

Voer deze stappen uit voor elk knooppunt van de UCCX Publisher and Subscriber, SocialMiner en MediaSense Publisher and Subscriber Administration-toepassingen:

1. Navigeer naar de pagina Besturingssysteembeheer en kies Beveiliging > Certificaatbeheer.
2. Klik op CSR genereren.
3. Kies in de vervolgkeuzelijst Certificaatlijst tomcat als certificaatnaam en klik op CSR genereren.
4. Navigeer naar Beveiliging > Certificaatbeheer en kies CSR downloaden.
5. Kies in het pop-upvenster tomcat in de vervolgkeuzelijst en klik op CSR downloaden.

Stuur de nieuwe CSR naar de externe CA of onderteken deze met een interne CA, zoals eerder beschreven. Dit proces kan deze ondertekende certificaten produceren:

• Root-certificaat voor de CA
• UCCX Publisher Application Certificate
• UCCX Subscriber Application Certificate
• SocialMiner/CCP-aanvraagcertificaat

Opmerking: Laat het veld Distributie in de CSR staan als het FQDN van de server.

Opmerking: Multi-server (SAN) certificaat wordt ondersteund voor UCCX vanaf release 11.6. Het SAN kan echter alleen UCCX Node-1 en Node-2 bevatten. Andere servers, zoals SocialMiner, kunnen niet worden opgenomen in het SAN van UCCX. Zie onderaan de pagina voor een voorbeeld van een CUCM SAN dat ook geldig is voor UCCX.

Opmerking: UCCX ondersteunt alleen certificaatsleutellengtes van 1024 en 2048 bits.

Voer deze stappen uit op elke toepassingsserver om het rootcertificaat en het toepassingscertificaat naar de knooppunten te uploaden:

Opmerking: Als u de root- en tussenliggende certificaten uploadt naar een uitgever (UCCX of MediaSense), kan deze automatisch worden gerepliceerd naar de abonnee. Het is niet nodig om de root- of tussenliggende certificaten te uploaden naar de andere, niet-publisher-servers in de configuratie als alle toepassingscertificaten via dezelfde certificaatketen zijn ondertekend.

1. Navigeer naar de pagina Besturingssysteembeheer en kies Beveiliging > Certificaatbeheer.
2. Klik op Certificaat uploaden.
3. Upload het rootcertificaat en kies tomcat-trust als certificaattype.
4. Klik op Bestand uploaden.
5. Klik op Certificaat uploaden.
6. Upload het aanvraagcertificaat en kies tomcat als certificaattype.
7. Klik op Bestand uploaden.

   Opmerking: Als een ondergeschikte CA het certificaat ondertekent, uploadt u het rootcertificaat van de ondergeschikte CA als het tomcat-trust-certificaat in plaats van het rootcertificaat. Als er een tussencertificaat wordt afgegeven, upload dit certificaat dan naast het aanvraagcertificaat naar het tomcat-trust-archief.

8. Start de volgende toepassingen opnieuw op als deze zijn voltooid:
   • Cisco MediaSense Publisher en Abonnee
   • Cisco SocialMiner
   • Cisco UCCX Publisher en Abonnee

Opmerking: Wanneer u UCCX en SocialMiner 11.5 gebruikt, is er een nieuw certificaat genaamd tomcat-ECDSA. Wanneer u een ondertekend tomcat-ECDSA-certificaat uploadt naar de server, uploadt u het toepassingscertificaat als een tomcat-ECDSA-certificaat - geen tomcat-certificaat. Voor meer informatie over het ECDSA, zie de sectie Gerelateerde informatie voor de koppeling om ECDSA-certificaten te begrijpen en te configureren. Vanaf 11.6 is het gebruik van ECDSA-certificaten volledig verwijderd uit de UCCX-oplossing. Dit omvat UCCX, SM/CCP, CUIC en Finesse.

Zelf ondertekende certificaten

Installeren op perifere servers

Alle certificaten die in de UCCX-configuratie worden gebruikt, zijn vooraf geïnstalleerd op de configuratietoepassingen en zijn zelf ondertekend. Deze zelf ondertekende certificaten worden niet impliciet vertrouwd wanneer ze worden gepresenteerd aan een clientbrowser of een andere configuratietoepassing. Hoewel het wordt aanbevolen om alle certificaten in de UCCX-configuratie te ondertekenen, kunt u de vooraf geïnstalleerde zelf ondertekende certificaten gebruiken.

Voor elke toepassingsrelatie moet u het juiste certificaat downloaden en naar de toepassing uploaden. Voer deze stappen uit om de certificaten te verkrijgen en te uploaden:

1. Ga naar de pagina Beheer van het besturingssysteem van de toepassing en kies Beveiliging > Certificaatbeheer.
   
   
2. Klik op het juiste certificaat .pem-bestand en kies Downloaden:
   
   
   
   
   
   
3. Als u een certificaat wilt uploaden in de juiste toepassing, gaat u naar de pagina Beheer besturingssysteem en kiest u Beveiliging > Certificaatbeheer.
4. Klik op Certificaat/certificaatketen uploaden:
   
   
5. Start de volgende servers opnieuw op:
   
   
   • Cisco SocialMiner
   • Cisco UCCX Publisher en Abonnee

Als u zelf ondertekende certificaten op het clientsysteem wilt installeren, gebruikt u een groepsbeleid of pakketbeheer of installeert u deze afzonderlijk in de browser van elke agent-pc.

Voor Microsoft Edge installeert u de zelfondertekende certificaten aan de clientzijde in de opslag van de Trusted Root Certification Authorities.

Voer voor Mozilla Firefox de volgende stappen uit:

1. Navigeer naar Extra > Opties.
2. Klik op het tabblad Geavanceerd.
3. Klik op Certificaten bekijken.
4. Navigeer naar het tabblad Servers.
5. Klik op Uitzondering toevoegen.

Zelf ondertekende certificaten regenereren

In het geval dat zelfondertekende certificaten verlopen, moeten deze opnieuw worden gegenereerd en moeten de configuratiestappen van Installeren op perifere servers opnieuw worden uitgevoerd.

1. Ga naar de pagina Beheer van het besturingssysteem van de toepassing en kies Beveiliging > Certificaatbeheer.
2. Klik op het juiste certificaat en kies Regenereren. 
3. De server waarvan het certificaat opnieuw is gegenereerd, moet opnieuw worden opgestart.
4. Voor elke toepassingsrelatie moet u het juiste certificaat downloaden en naar de toepassing uploaden vanuit de configuratiestappen van Installeren op perifere servers.

Integratie en clientconfiguratie

UCCX-naar-SocialMiner

De UCCX gebruikt de SocialMiner REST en Notification API's om e-mailcontacten en -configuratie te beheren. Beide UCCX-knooppunten moeten de SocialMiner REST API gebruiken en worden aangemeld door de SocialMiner-meldingsservice, dus installeer het SocialMiner Tomcat-certificaat op beide UCCX-knooppunten.

Upload de ondertekende of zelf ondertekende certificaatketen van de SocialMiner-server naar de UCCX tomcat-trust-sleutelwinkel.

Upload het UCCX tomcat certificaat van Publisher en Subscriber nodes naar de SocialMiner server als tomcat-trust keystore.

UCCX AppAdmin-clientcertificaat

Het UCCX AppAdmin-clientcertificaat wordt gebruikt voor het beheer van het UCCX-systeem. Om het UCCX AppAdmin-certificaat voor UCCX-beheerders te installeren, navigeert u op de client-pc naar https://<UCCX FQDN>/appadmin/main voor elk van de UCCX-knooppunten en installeert u het certificaat via de browser.

UCCX Platform-clientcertificaat

De UCCX-webservices worden gebruikt voor het leveren van chatcontacten aan clientbrowsers. Om het UCCX-platformcertificaat voor UCCX-agenten en -supervisors op de client-pc te installeren, gaat u naar https://<UCCX FQDN>/appadmin/main voor elk van de UCCX-knooppunten en installeert u het certificaat via de browser.

Clientcertificaat voor de meldingsservice

De CCX-meldingsservice wordt gebruikt door Finesse, UCCX en CUIC om realtime informatie naar de clientdesktop te verzenden via Extensible Messaging and Presence Protocol (XMPP). Dit wordt gebruikt voor real-time Finesse-communicatie en voor CUIC Live Data.

Om het clientcertificaat van de meldingsservice te installeren op de pc van de agenten en supervisors of rapporterende gebruikers die Live Data gebruiken, gaat u naar https://<UCCX FQDN>:7443/ voor elk van de UCCX-knooppunten en installeert u het certificaat via de browser.

Finesse-clientcertificaat

Het Finesse-clientcertificaat wordt door de Finesse-desktops gebruikt om verbinding te maken met de Finesse Tomcat-instantie ten behoeve van REST API-communicatie tussen de desktop en de co-resident Finesse-server.

Om het Finesse-certificaat te installeren voor:

• Agenten en supervisors op de client-pc gaan naar https://<UCCX FQDN>:8445/ voor elk van de UCCX-knooppunten en installeren het certificaat via de browserprompts.
• Beheerders van Finesse navigeren op de client-pc naar https://<UCCX FQDN>:8445/cfadmin voor elk van de UCCX-knooppunten en installeren het certificaat via de browserprompts.

SocialMiner/CCP-clientcertificaat

Het SocialMiner Tomcat-certificaat moet op het clientsysteem worden geïnstalleerd. Zodra een agent een chatverzoek accepteert, wordt de chatgadget omgeleid naar een URL die de chatroom vertegenwoordigt. Deze chatroom wordt gehost door de SocialMiner-server en bevat de gebruiker of het chatcontact.

Om het SocialMiner-certificaat in de browser te installeren, navigeert u op de client-pc naar https://<SocialMiner FQDN>/ en installeert u het certificaat via de browserprompts.

CUIC-clientcertificaat

Het CUIC Tomcat-certificaat kan op het clientsysteem worden geïnstalleerd voor agenten, supervisors en rapporterende gebruikers die de CUIC-webinterface gebruiken voor historische rapporten of Live Data-rapporten op de CUIC-webpagina of in de gadgets op het bureaublad.

Om het CUIC Tomcat-certificaat in de browser te installeren, bladert u op de client-pc naar https://<UCCX FQDN>:8444/ en installeert u het certificaat via de browserprompts.

CUIC Live Data Certificate (sinds 11.x)

De CUIC gebruikt de Socket IO-service voor de back-end Live-gegevens. Dit certificaat kan op de clientcomputer worden geïnstalleerd voor agenten, supervisors en rapporterende gebruikers die de CUIC-webinterface voor Live Data gebruiken of die de Live Data-gadgets binnen Finesse gebruiken.

Om het Socket IO-certificaat in de browser te installeren, bladert u op de client-pc naar https://<UCCX FQDN>:12015/ en installeert u het certificaat via de browserprompts.

Toepassingen van derden toegankelijk via scripts

Als een UCCX-script is ontworpen om toegang te krijgen tot een beveiligde locatie op een server van een derde partij (bijvoorbeeld de stap URL-document ophalen naar een HTTPS-URL of een oproep tot rust maken naar een HTTPS REST-URL), uploadt u de ondertekende of zelf ondertekende certificaatketen van de service van een derde partij naar de UCCX tomcat-trust-sleutelwinkel. Om dit certificaat te verkrijgen, opent u de pagina UCCX OS Administration en kiest u Upload Certificate.

De UCCX Engine is geconfigureerd om het Tomcat keystore-platform te doorzoeken naar certificaatketens van derden wanneer deze certificaten worden gepresenteerd door toepassingen van derden wanneer ze via scriptstappen toegang krijgen tot beveiligde locaties.

De volledige certificaatketen moet worden geüpload naar het Tomcat-sleutelarchief van het platform, toegankelijk via de pagina Bestuursbeheer van het besturingssysteem, omdat de Tomcat-sleutelwinkel standaard geen rootcertificaten bevat.

Nadat u deze acties hebt voltooid, start u de Cisco UCCX Engine opnieuw op.

Verifiëren

Om te controleren of alle certificaten correct zijn geïnstalleerd, kunt u de functies testen die in deze sectie worden beschreven. Als er geen certificaatfouten worden weergegeven en alle functies naar behoren functioneren, worden de certificaten correct geïnstalleerd.

1. Configureer Agent Web Chat via SocialMiner/CCP. Injecteer een chatcontact via het webformulier. Controleer of de agent de banner ontvangt om het chatcontact te accepteren en controleer ook of zodra het chatcontact is geaccepteerd, het chatformulier correct wordt geladen en de agent zowel chatberichten kan ontvangen als verzenden.
2. Probeer in te loggen bij een agent via Finesse. Controleer of er geen certificaatwaarschuwingen worden weergegeven en of op de webpagina niet wordt gevraagd om certificaten in de browser te installeren. Controleer of de agent de status correct kan wijzigen en of een nieuwe oproep naar UCCX correct wordt weergegeven aan de agent.
3. Nadat u de Live Data-gadgets hebt geconfigureerd in de lay-out van de agent en supervisor Finesse-desktop, meldt u zich aan bij een agent, een supervisor en een rapporterende gebruiker. Controleer of de Live Data-gadgets correct worden geladen, dat de eerste gegevens in het gadget worden ingevuld en dat de gegevens worden vernieuwd wanneer de onderliggende gegevens worden gewijzigd.
4. Probeer vanuit een browser verbinding te maken met de AppAdmin-URL op beide UCCX-knooppunten. Controleer of er geen certificaatwaarschuwingen worden weergegeven wanneer u hierom wordt gevraagd op de aanmeldingspagina.

Problemen oplossen

Probleem - Ongeldige gebruikersnaam/wachtwoord

UCCX Finesse Agents kunnen niet inloggen met de fout "Ongeldige gebruikersnaam/wachtwoord".

Oorzaken

Unified CCX geeft een uitzondering "SSLHandshakeException" en kan geen verbinding maken met Unified CM.

Oplossing

• Controleer of het Unified CM Tomcat-certificaat niet is verlopen.
• Zorg ervoor dat elk certificaat dat u in Unified CM hebt geüpload, een van deze extensies als kritiek heeft gemarkeerd:
       X509v3-sleutelgebruik (OID - 2.5.29.15)
       X509v3 - Basisbeperkingen (OID - 2.5.29.19)
  Als u andere extensies als kritiek markeert, mislukt de communicatie tussen Unified CCX en Unified CM vanwege het falen van Unified CM-certificaatverificatie.

Probleem - CSR SAN en certificaat SAN komen niet overeen

Bij het uploaden van een certificaat dat door een certificeringsinstantie is ondertekend, wordt de fout "CSR SAN en certificaat SAN komen niet overeen" weergegeven.

Oorzaken

De CA kan een ander bovenliggend domein hebben toegevoegd in het veld Certificate Subject Alternative Names (SAN). De CSR kan standaard over de volgende SAN's beschikken:

OnderwerpAltName [
   example.com (dNSName)
   hostname.example.com (dNSName)
]

De CA's kunnen een certificaat retourneren met een ander SAN dat aan het certificaat is toegevoegd: Hostnaamvoorbeeld. Het certificaat kan in dit geval een extra SAN hebben:

OnderwerpAltName [
   example.com (dNSName)
   hostname.example.com (dNSName)

   www.hostname.example.com (dNSName)
]

Dit veroorzaakt een fout in de SAN-overeenkomst.

Oplossing

Genereer de CSR met een leeg veld voor bovenliggend domein in het gedeelte Alternatieve naam (SAN's) van het onderwerp op de pagina Certificaatondertekeningsverzoek genereren van UCCX. Op deze manier wordt de CSR niet gegenereerd met een SAN-attribuut, kan de CA de SAN's formatteren en kan er geen SAN-attribuutmismatch zijn wanneer u het certificaat uploadt naar UCCX. Merk op dat het veld Ouderdomein standaard wordt ingesteld op het domein van de UCCX-server, dus de waarde moet expliciet worden verwijderd terwijl de instellingen voor de CSR worden geconfigureerd. 

Probleem - NET::ERR_CERT_COMMON_NAME_INVALID

Wanneer u een webpagina van UCCX, MediaSense of SocialMiner opent, ontvangt u een foutmelding.

"Uw verbinding is niet privé. Aanvallers kunnen proberen uw gegevens te stelen van <Server_FQDN> (bijvoorbeeld wachtwoorden, berichten of creditcards). NET::ERR_CERT_COMMON_NAME_INVALID. Deze server kon niet bewijzen dat het <Server_FQDN> is; het beveiligingscertificaat is van [missing_subjectAltName]. Dit kan worden veroorzaakt door een verkeerde configuratie of een aanvaller die uw verbinding onderschept."

Oorzaken

Chrome versie 58 introduceerde een nieuwe beveiligingsfunctie waarbij wordt gemeld dat een websitecertificaat niet veilig is als de algemene naam (CN) niet ook als SAN is opgenomen.

Oplossing

• U kunt naar Geavanceerd navigeren > Doorgaan naar <Server_FQDN> (onveilig) om door te gaan naar de site en de certificaatfout te accepteren.
• U kunt de fout helemaal vermijden met CA-ondertekende certificaten. Wanneer u een CSR genereert, wordt het FQDN van de server opgenomen als een SAN. De CA kan de CSR ondertekenen en nadat u het ondertekende certificaat hebt geüpload naar de server, heeft het servercertificaat de FQDN in het SAN-veld zodat de fout niet kan worden weergegeven.

Meer informatie

Zie de sectie Ondersteuning voor commonName-matching verwijderen in certificaten in Afschrijvingen en verwijderingen in Chrome 58.

Certificaatfouten

• Cisco bug ID CSCvb46250 - UCCX: Tomcat ECDSA certificaat impact op Finesse Live Data
• Cisco bug ID CSCvb58580 - Kan niet inloggen op SocialMiner met zowel tomcat als tomcat-ECDSA ondertekend door RSA CA
• Cisco bug ID CSCvd56174 - UCCX: Inlogfout Finesse Agent vanwege uitzondering voor SSLHandshake
• Cisco bug ID CSCuv89545 - Finesse Logjam-kwetsbaarheid

Gerelateerde informatie

• ECDSA-certificaten begrijpen in een UCCX-oplossing
• SHA 256 Ondersteuning voor UCCX
• Unified Communication Cluster Setup met CA-signed Multi-Server Subject Alternate Name Configuration Voorbeeld
• Technische ondersteuning en documentatie – Cisco Systems