شكرًا على ملاحظاتك.

قم بتسجيل الدخول إلى مركز التحكم.

انتقل إلى الإدارة > الأمان > المصادقة.

انتقل إلى علامة تبويب موفر الهوية وانقر فوق تنشيط SSO.

حدد IDP.

اختر نوع الشهادة للمؤسسة الخاصة بك:

• توقيع ذاتي بواسطة Cisco —نوصي بهذا الاختيار. دعنا نوقع الشهادة حتى تحتاج فقط إلى تجديدها مرة واحدة كل خمس سنوات.
• موقّع من جهة تصديق عامة - أكثر أمانًا ولكنك ستحتاج إلى تحديث البيانات الوصفية بشكل متكرر (إلا إذا كان بائع iDP الخاص بك يدعم نقاط الثقة).

قم بتنزيل ملف البيانات الوصفية.

انتقل إلى الدليل /opt/shibboleth-idp/conf للوصول إلى ملفات الأمثلة.

حدد طريقة التخويل التي تريد استخدامها - على سبيل المثال، ربط LDAP بها. Active Directory

قم بتحرير ملف handler.xml كما يلي:

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>

املأ التفاصيل الخاصة بك Active Directory للسماح بالمصادقة. قم بتوفير التكوين للملف login.config.

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

أضف الملف الذي قمت بتنزيله من Webex SP إلى الدليل /opt/shibboleth-idp/البيانات الوصفية.

قم بتحرير ملف relying-party.xml؛ بعد علامة DefaultRelyingParty، أضف تفاصيل تأكيد SAML لـ Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

داخل علامة metadata:metadataProvider، أضف موقع الملف:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

في قسم موصل البيانات، حدد مكان استرداد السمات الخاصة بالمستخدمين.

Active Directory، مع معرف MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>

في قسم تعريف السمة، احتفظ بما هو موجود بالفعل في التكوين لـ TransiEntID.

أضف السمة الإضافية التي تتوقعها SP، وحدد ما تقوم بتعيينه في مصدر السمة.

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>

حدد السمة التي سيتم توفيرها لكل اتفاقية SP في ملف attribute-filter.xml.

حرر معرف السمة لاتفاقية SAP مع Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

يجب أن تحتوي القاعدة التي قمت بإنشائها في attribute-resolver.xml على سياسة لتحرير سمة mail-attr إلى EntityId الذي يطابق Webex.

قم بتنزيل ملف البيانات الوصفية من خادم Shibboleth في /opt/shibboleth-idp/البيانات الوصفية. اسم الملف هو idp-metadata.xml.

اختر واحدة:

• ارجع إلى Control Hub - صفحة اختيار الشهادة في متصفحك، ثم انقر فوق التالي.
• أعد فتح Control Hub إذا لم يعد مفتوحًا في علامة تبويب المتصفح. من عرض العميل في Control Hub، انتقل إلى الإدارة > الأمان > المصادقة، وحدد IDP، ثم اختر الإجراءات > استيراد بيانات التعريف.

في صفحة استيراد بيانات IDP الوصفية، قم بسحب وإسقاط ملف بيانات IDP الوصفية على الصفحة أو استخدم خيار مستعرض الملفات لتحديد موقع ملف البيانات الوصفية وتحميله. انقر فوق التالي.

حدد اختبار إعداد SSO، وعند فتح علامة تبويب متصفح جديدة، قم بالمصادقة باستخدام iDP عن طريق تسجيل الدخول.

ارجع إلى علامة تبويب مستعرض Control Hub.

• إذا كان الاختبار ناجحًا، فحدد الاختبار الناجح. قم بتشغيل SSO وانقر فوق التالي.
• إذا لم ينجح الاختبار، فحدد الاختبار غير الناجح. قم بإيقاف تشغيل SSO وانقر فوق التالي.