상호 인증을 통해 CVP OAMP와 CVP 구성 요소 간 JMX 통신 보안

소개

이 문서에서는 CA(Certificate Authority) 서명 인증서를 통해 Cisco UCCE(Unified Contact Center Enterprise) 솔루션의 CVP(Customer Voice Portal) OAMP(Operation and Management Console)와 CVP 서버 및 CVP 보고 서버 간의 JMX(Java Management Extensions) 통신을 보호하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• UCCE 릴리스 12.5(1)
• CVP(Customer Voice Portal) 릴리스 12.5(1)

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 버전을 기반으로 합니다.

• UCCE 12.5(1)
• CVP 12.5(1)

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

OAMP는 JMX 프로토콜을 통해 CVP Call Server, CVP VXML Server, CVP Reporting Server와 통신합니다. OAMP와 이러한 CVP 구성 요소 간의 보안 통신은 JMX 보안 취약성을 방지합니다. 이 보안 통신은 선택 사항이며 OAMP와 CVP 구성 요소 간의 정기적인 작업에는 필요하지 않습니다.

다음을 통해 JMX 통신을 보호할 수 있습니다.

• CVP 서버 및 CVP 보고 서버에서 WSM(Web Service Manager)에 대한 CSR(Certificate Sign Request)을 생성합니다.
• CVP 서버 및 CVP 보고 서버에서 WSM용 CSR 클라이언트 인증서를 생성합니다.
• OAMP용 CSR 클라이언트 인증서 생성(OAMP에서 수행)
• 인증 기관에서 인증서를 서명합니다.
• CVP 서버, CVP 보고 서버 및 OAMP에서 CA 서명 인증서, 루트 및 중간 인증서를 가져옵니다.
• [선택 사항] OAMP에 JConsole 보안 로그인
• 보안 시스템 CLI.

WSM용 CSR 인증서 생성

1단계. CVP 서버 또는 보고 서버에 로그인합니다. security.properties 파일에서 키 저장소 비밀번호를 검색합니다.

참고: 명령 프롬프트에 %CVP_HOME%\conf\security.properties를 더 입력합니다. Security.keystorePW = <키 저장소 암호를 반환> 메시지가 표시되면 키 저장소 암호를 입력 합니다. 

2단계. %CVP_HOME%\conf\security(으)로 이동하여 WSM 인증서를 삭제합니다. 이 명령을 사용합니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -delete -alias wsm_certificate.

프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

3단계. CVP 서버의 Call Server(callserver_certificate) 및 VXML Server 인증서(vxml_certificate) 및 보고 서버의 Call Server 인증서(callserver_certificate)에 대해 2단계를 반복합니다.

4단계. WSM 서비스에 대한 CA 서명 인증서를 생성합니다. 다음 명령을 사용합니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias wsm_certificate -v -keysize 2048 -keyalg RSA.

1. 프롬프트에 세부 정보를 입력하고 Yes를 입력하여 확인합니다.
2. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

참고: 나중에 참조할 수 있도록 CN 이름을 기록해 둡니다.

5단계. 별칭에 대한 인증서 요청을 생성합니다. 이 명령을 실행하여 파일에 저장합니다. 예: wsm.csr.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -certreq -alias wsm_certificate -file %CVP_HOME%\conf\security\wsm.csr.

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

6단계. CA에서 서명한 인증서를 가져옵니다. CA 권한으로 CA 서명 인증서를 생성하고 CA가 서명 인증서를 생성할 때 클라이언트-서버 인증서 인증 템플릿을 사용하도록 하려면 이 절차를 사용합니다.

7단계. CA 기관의 서명된 인증서, 루트 및 중간 인증서를 다운로드합니다.

8단계. 루트, 중간 및 CA 서명 WSM 인증서를 %CVP_HOME%\conf\security\에 복사합니다.

9단계. 이 명령을 사용하여 루트 인증서를 가져옵니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -v -trustcacerts -alias root -file %CVP_HOME%\conf\security\<filename_of_root_cer>.

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.
2. Trust this certificate 프롬프트에 Yes를 입력합니다.

10단계. 이 명령을 사용하여 중간 인증서를 가져옵니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -v -trustcacerts -alias intermediate -file %CVP_HOME%\conf\security\<filename_of_intermediate_cer>.

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.
2. Trust this certificate 프롬프트에 Yes를 입력합니다.

11단계. 이 명령을 사용하여 CA 서명 WSM 인증서를 가져옵니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -v -trustcacerts -alias wsm_certificate -file %CVP_HOME%\conf\security\<filename_of_your_signed_cert_from_CA>.

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

12단계. CVP 서버의 Call Server 및 VXML Server 인증서와 보고 서버의 Call Server 인증서에 대해 4단계부터 11단계까지 반복합니다(루트 및 중간 인증서는 두 번 가져올 필요가 없음).

13단계 CVP 서버 및 CVP 보고 서버에서 WSM을 구성합니다.

1. c: \cisco\cvp\conf\jmx_wsm.conf으로 이동합니다.

표시된 대로 파일을 추가 또는 업데이트하고 저장합니다.

javax.net.debug = all
com.sun.management.jmxremote.ssl.need.client.auth = true
com.sun.management.jmxremote.authenticate = false
com.sun.management.jmxremote.port = 2099
com.sun.management.jmxremote.ssl = true
com.sun.management.jmxremote.rmi.port = 3000
javax.net.ssl.keyStore=C:\Cisco\CVP\conf\security\.keystore
javax.net.ssl.keyStorePassword=< keystore_password >
javax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore 
javax.net.ssl.trustStorePassword=< keystore_password >
javax.net.ssl.trustStoreType=JCEKS

2. regedit 명령을 실행합니다.

Append this to the file at HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Apache Software Foundation\Procrun 2.0\WebServicesManager\Parameters\Java:



Djavax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore
Djavax.net.ssl.trustStorePassword=
    
    
      Djavax.net.ssl.trustStoreType=JCEKS 
    

14단계. CVP 서버 및 보고 서버에서 CVP Callserver의 JMX를 구성합니다.

1. c: \cisco\cvp\conf\jmx_callserver.conf으로 이동합니다.

표시된 대로 파일을 업데이트하고 저장합니다.

com.sun.management.jmxremote.ssl.need.client.auth = true
com.sun.management.jmxremote.authenticate = false
com.sun.management.jmxremote.port = 2098
com.sun.management.jmxremote.ssl = true
com.sun.management.jmxremote.rmi.port = 2097
javax.net.ssl.keyStore = C:\Cisco\CVP\conf\security\.keystore
javax.net.ssl.keyStorePassword = 
    
    
      javax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore javax.net.ssl.trustStorePassword=< keystore_password > javax.net.ssl.trustStoreType=JCEKS 
    

15단계. CVP 서버에서 VXML 서버의 JMX를 구성합니다.

1. c: \cisco\cvp\conf\jmx_vxml.conf으로 이동합니다.

표시된 대로 파일을 편집하고 저장합니다.

com.sun.management.jmxremote.ssl.need.client.auth = true
com.sun.management.jmxremote.authenticate = false
com.sun.management.jmxremote.port = 9696
com.sun.management.jmxremote.ssl = true
com.sun.management.jmxremote.rmi.port = 9697
javax.net.ssl.keyStore = C:\Cisco\CVP\conf\security\.keystore
javax.net.ssl.keyStorePassword = 
    
     
    

2. regedit 명령을 실행합니다.

• Append theese to the file at HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Apache Software Foundation\Procrun 2.0\VXMLServer\Parameters\Java:
  
  
  
  Djavax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore
  Djavax.net.ssl.trustStorePassword=
        
        
          Djavax.net.ssl.trustStoreType=JCEKS 
        

3. CVP 서버에서 WSM 서비스, Call Server 및 VXML Server 서비스를 다시 시작하고 보고 서버에서 WSM 서비스 및 Call Server 서비스를 다시 시작합니다.

참고: JMX에서 보안 통신을 사용하도록 설정하면 키 저장소가 %CVP_HOME%\jre\lib\security\cacerts가 아니라 %CVP_HOME%\conf\security\.keystore가 됩니다.
따라서 %CVP_HOME%\jre\lib\security\cacerts의 인증서를 %CVP_HOME%\conf\security\.keystore로 가져와야 합니다.

WSM용 CA 서명 클라이언트 인증서 생성

1단계. CVP 서버 또는 보고 서버에 로그인합니다. security.properties 파일에서 키 저장소 비밀번호를 검색합니다.

참고: 명령 프롬프트에 %CVP_HOME%\conf\security.properties를 더 입력합니다. Security.keystorePW = <키 저장소 암호를 반환> 메시지가 표시되면 키 저장소 암호를 입력 합니다. 

2단계. %CVP_HOME%\conf\security(으)로 이동하여 이 명령을 사용하여 callserver를 통한 클라이언트 인증을 위해 CA 서명 인증서를 생성합니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias <CVP 서버 또는 보고 서버 WSM 인증서의 CN> -v -keysize 2048 -keyalg RSA

1. 프롬프트에 상세내역을 입력하고 예를 입력하여 확인합니다.
2. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

참고: 별칭은 WSM 서버 인증서를 생성하는 데 사용되는 CN과 동일합니다.

3단계. 이 명령을 사용하여 별칭에 대한 인증서 요청을 생성하고 파일에 저장합니다(예: jmx_client.csr).

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -certreq -alias <CN of CVP Server or Reporting Server WSM certificate> -file %CVP_HOME%\conf\security\jmx_client.csr

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.
2. dir jmx_client.csr 명령을 사용하여 CSR이 성공적으로 생성되었는지 확인합니다.

4단계. CA에서 JMX 클라이언트 인증서를 서명합니다.

참고: 이 절차를 사용하여 CA 권한으로 CA 서명 인증서를 생성합니다. CA 서명 JMX 클라이언트 인증서를 다운로드합니다(루트 및 중간 인증서는 이전에 다운로드하고 가져온 것이므로 필요하지 않음).

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.
2. Trust this certificate 프롬프트에 Yes를 입력합니다.

5단계. CA 서명 JMX 클라이언트 인증서를 %CVP_HOME%\conf\security\에 복사합니다.

6단계. 이 명령을 사용하여 CA 서명 JMX 클라이언트 인증서를 가져옵니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -v -trustcacerts -alias <CN of CVP Server or Reporting Server WSM certificate> -file %CVP_HOME%\conf\security\<filename of CA-signed JMX Client certificate>

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

7단계. Cisco CVP Call Server, VXML Server 및 WSM 서비스를 다시 시작합니다.

8단계. 구현된 경우 Reporting Server에 대해 동일한 절차를 반복합니다.

OAMP용 CA 서명 클라이언트 인증서 생성(OAMP에서 수행)

1단계. OAMP 서버에 로그인합니다. security.properties 파일에서 키 저장소 비밀번호를 검색합니다.

참고: 명령 프롬프트에 %CVP_HOME%\conf\security.properties를 입력합니다. Security.keystorePW = <키 저장소 암호를 반환> 메시지가 표시되면 키 저장소 암호를 입력 합니다. 

2단계. %CVP_HOME%\conf\security로 이동하여 CVP Server 또는 CVP Reporting Server WSM을 사용하여 클라이언트 인증을 위한 CA 서명 인증서를 생성합니다. 이 명령을 사용합니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -genkeypair -alias <CN of CVP Server or CVP Reporting Server WSM certificate> -v -keysize 2048 -keyalg RSA

1. 프롬프트에 상세내역을 입력하고 Yes를 입력하여 확인합니다.
2. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

3단계. 이 명령을 사용하여 별칭에 대한 인증서 요청을 생성하고 파일에 저장합니다(예: jmx.csr).

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -certreq -alias <CN of CVP Server or CVP Reporting Server WSM certificate> -file %CVP_HOME%\conf\security\jmx.csr.

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

4단계. CA에서 인증서를 서명합니다.

참고: CA 기관을 사용하여 CA 서명 인증서를 생성하려면 이 절차를 사용합니다. CA 기관의 인증서 및 루트 인증서를 다운로드합니다.

5단계. 루트 인증서 및 CA 서명 JMX 클라이언트 인증서를 %CVP_HOME%\conf\security\에 복사합니다.

6단계. CA의 루트 인증서를 가져옵니다. 이 명령을 사용합니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -v -trustcacerts -alias root -file %CVP_HOME%\conf\security\<filename_of_root_cert>.

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.
2. Trust this certificate 프롬프트에 Yes를 입력합니다.

7단계. CVP 서버 및 CVP 보고 서버의 CA 서명 JMX 클라이언트 인증서를 가져옵니다. 이 명령을 사용합니다.

%CVP_HOME%\jre\bin\keytool.exe -storetype JCEKS -keystore %CVP_HOME%\conf\security\.keystore -import -v -trustcacerts -alias <CN of CVP Server or CVP Reporting Server WSM certificate> -file %CVP_HOME%\conf\security\<filename_of_your_signed_cert_from_CA>

1. 프롬프트가 표시되면 키 저장소 비밀번호를 입력합니다.

8단계. OAMP 서비스를 다시 시작합니다.

9단계. OAMP에 로그인합니다. OAMP와 통화 서버, VXML 서버 또는 보고 서버 간의 보안 통신을 활성화합니다.  Device Management > Call Server로 이동합니다. Enable secure communication with the Ops console 확인란을 선택합니다. Call Server와 VXML Server를 모두 저장하고 구축합니다.

10단계. regedit 명령을 실행합니다.

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Apache Software Foundation\Procrun 2.0\OPSConsoleServer\Parameters\Java으로 이동합니다.

이 파일을 파일에 추가하고 저장합니다.

Djavax.net.ssl.trustStore=C:\Cisco\CVP\conf\security\.keystore
Djavax.net.ssl.trustStorePassword=
    
    
      Djavax.net.ssl.trustStoreType=JCEKS 
    

주: JMX용 포트에 보안을 설정한 후에는 Oracle 문서에 나열된 JConsole에 대해 정의된 단계를 수행한 후에만 JConsole에 액세스할 수 있습니다.

11단계. OAMP 서비스를 다시 시작합니다.

관련 정보

• CVP 보안 컨피그레이션 가이드
• 기술 지원 및 문서 − Cisco Systems