- Начало
- /
- Статия
Благодарим за обратната връзка.
В тази статия
Обратна връзка?Можете да конфигурирате интеграция за еднократно влизане (SSO) между Control Hub и внедряване, което използва F5 Big-IP като доставчик на идентичност (IDP).
Център за единично влизане и управление
Еднократно влизане (SSO) е процес на сесия или процес на удостоверяване на потребителя, който позволява на потребителя да предостави идентификационни данни за достъп до едно или повече приложения. Процесът удостоверява потребителите за всички приложения, на които им се предоставят права. Той елиминира допълнителни подкани, когато потребителите сменят приложения по време на определена сесия.
Протоколът за федерация на езика за маркиране на защитата (SAML 2.0) се използва за осигуряване на удостоверяване на SSO между облака Webex и вашия доставчик на идентичност (IDP).
Профили
Приложението Webex поддържа само SSO профила на уеб браузъра. В SSO профила на уеб браузъра Webex App поддържа следните връзки:
-
SP инициира POST -> POST свързване
-
SP инициира ПРЕНАСОЧВАНЕ -> POST свързване
НаименованиеID формат
Протоколът SAML 2.0 поддържа няколко формати NameID за комуникация за конкретен потребител. Приложението Webex поддържа следните формати NameID.
-
urn:oasis:names:tc:SAML:2.0:nameid-format:transient -
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified -
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
В метаданните, които зареждате от вашия IDP, първият запис е конфигуриран за използване в Webex.
Единично записване
Приложението Webex поддържа единичния профил за излизане. В Webex App потребителят може да излезе от приложението, което използва протокола за единично излизане SAML, за да прекрати сесията и да потвърди това излизане с вашия IDP. Уверете се, че вашият IDP е конфигуриран за SingleLogout.
Интегрирайте контролния център с F5 Big-IP
Ръководствата за конфигуриране показват конкретен пример за интеграция на SSO, но не предоставят изчерпателна конфигурация за всички възможности. Например, стъпките за интеграция nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transientса документирани. Други формати като например urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddressще работят за интеграция на SSO, но са извън обхвата на нашата документация.
Настройте тази интеграция за потребители във вашата организация Webex (включително Webex App и други услугиWebex Meetings, администрирани в Control Hub). Ако вашият сайт на Webex е интегриран в Control Hub, сайтът Webex наследява управлението на потребителите. Ако не можете да получите достъп Webex Meetings по този начин и той не се управлява в Control Hub, трябва да направите отделна интеграция, за да активирате SSO заWebex Meetings.
Преди да започнете
За SSO и контролния център IDP трябва да отговарят на спецификацията на SAML 2.0. Освен това разселените лица трябва да бъдат конфигурирани по следния начин:
Изтеглете метаданните на Webex във вашата локална система
| 1 |
Влезте в контролния център. |
| 2 |
Отидете в . |
| 3 |
Отидете в раздела Д оставчик на идентичност и щракнете върху А ктивиране на SSO. |
| 4 |
Изберете IdP. |
| 5 |
Изберете типа сертификат за вашата организация:
Доверителните анкери са публични ключове, които действат като орган за проверка на сертификата на цифров подпис. За повече информация вижте документацията си за IDP. |
| 6 |
Изтеглете файла с метаданни. <org-ID>Името на файла с метаданни на Webex е idb-meta- -SP.xml. |
Конфигурирайте външния доставчик на услуги и доставчика на самоличност
| 1 |
|
| 2 |
От Въ ншни SP конектори изберете Съ . |
| 3 |
Въведете смислено име за името на доставчика на услуги, напр .ciscowebex.com<yourorganizationname>. |
| 4 |
Под Настройки за защита постав ете отметка в следните квадратчета:
|
| 5 |
Върнете се и след това създайте нова услуга за доставчик на идентичност (IDP). |
| 6 |
Въведете смислено име за името на услугата IDP, като CI. |
| 7 |
За идентификатора на IdP Entity използвайте FQDN на Big-IP сървъра с нещо отпред - например https://bigip0a.uc8sevtlab13.com/CI. |
| 8 |
Под Настройки на твърд ението изберете Пре ходен идентификатор за Тип тема на твърдението. |
| 9 |
За С тойност на тема на твърдението върнете стой ността на имейла на потребителя% {session.ad.last.attr.mail}. |
| 10 |
Върнете атрибутите mail и uid със стойността% {session.ad.last.attr. mail}. |
| 11 |
Под Настройки за защита изберете сертификат, за да подпишете твърдението. |
| 12 |
Запазете промените си и след това обвържете доставчика на услуги и доставчика на самоличност, които сте създали. |
Изтеглете метаданните на F5 Big-IP
| 1 |
Изберете Ек спортиране на IDP услуга. |
| 2 |
Уверете се, че стойността на мета данните на сигнала е Да. |
| 3 |
Изтеглете файла с метаданни на работния плот или местоположение, което лесно можете да намерите. |
Добавяне на политика за достъп
| 1 |
Отидете в Политика за достъп > Профили за достъп > SAML и създайте SAML ресурс за създадения от вас IDP. |
| 2 |
Отидете в профила си за достъп и редактирайте правилата за достъп, които използвате за WebEx Messenger CAS. |
| 3 |
Добавете нов елемент в раздела В ход с името Страница за влизане и оставете стой ностите по подразбиране. |
| 4 |
Добавете нов елемент в раздела У достоверяване с името AD Auth и посоч ете своя Active Directory като сървър. |
| 5 |
В успешния клон добавете AD заявка от раздела Удост оверяване |
| 6 |
Отидете в Правила за клонове и го промените на AD Заявката е предадена. |
| 7 |
В успешния клон на AD Query добавете Разши рено присвояване на ресурси от раздела З адаване. |
| 8 |
Щрак нете върху Добавяне/Изтри ване и добавете два ресур са SAML с всички SAML ресурси и Web top, който сте създали. |
| 9 |
За Из бор на завърш ване изберете Раз решаване. Политиката за достъп трябва да изглежда така: 
|
Свържете профила за достъп с виртуалния сървър
Трябва да свържете профила за достъп с виртуалния сървър, който сте създали.
| 1 |
Отидете на и. |
| 2 |
Отворете профили за достъп, за да потвърдите, че към профила не е свързан виртуален сървър. |
| 3 |
Изберете Разши рено присвояване на ресурси. |
| 4 |
Изберете Добавя не/изтриване, за да добавите новия SAML ресурс. |
| 5 |
Затворете прозорците за проектиране на правилата за достъп и приложете новата политика за достъп. |
Импортирайте метаданните на IDP и активирайте еднократно влизане след тест
След като експортирате метаданните на Webex, конфигурирате вашия IdP и изтеглите метаданните на IDP в локалната си система, сте готови да ги импортирате във вашата организация Webex от Control Hub.
Преди да започнете
Не тествайте интеграцията на SSO от интерфейса на доставчика на идентичност (IDP). Ние поддържаме само инициирани от доставчика на услуги (инициирани от SP-инициирани) потоци, така че трябва да използвате теста Control Hub SSO за тази интеграция.
| 1 |
Изберете един:
|
| 2 |
На страницата Импортиране на метаданни на IDP плъзнете и пуснете файл а с метаданни на IdP на страницата или използвайте опцията на браузъра на файлове, за да намерите и качите файла с метаданни . Щракнете върху На пред.
Трябва да използвате оп цията По- сигурна, ако можете. Това е възможно само ако вашият IdP използва публичен CA, за да подпише своите метаданни. Във всички останали случаи трябва да използвате опцията По-малко сигур на. Това включва, ако метаданните не са подписани, самоподписани или подписани от частен сертификат. Okta не подписва метаданните, така че трябва да изберете По-малко сигурно за интегра ция на Okta SSO. |
| 3 |
Изберете Т естване на настройката на SSO и когато се отвори нов раздел на браузъра, удостоверявайте се с IDP, като влезете. Ако получите грешка при удостоверяване, може да има проблем с идентификационните данни. Проверете потребителското име и паролата и опитайте отново. Грешка в приложението Webex обикновено означава проблем с настройката на SSO. В този случай преминете отново през стъпките, особено стъпките, при които копирате и поставяте метаданните на Control Hub в настройката на IDP. За да видите директно опита за влизане в SSO, можете също да щракнете върху Копиране на URL адреса в клипборда от този екран и да го поставите в частен прозорец на браузъра. Оттам можете да преминете през в лизането в SSO. Тази стъпка спира фалшивите положителни резултати поради токен за достъп, който може да е в съществуваща сесия, след като сте влезли в системата. |
| 4 |
Върнете се в раздела на браузъра Control Hub.
Конфигурацията на SSO не влиза в сила във вашата организация, освен ако не изберете първия радио бутон и не активирате SSO. |
Какво да правя по-нататък
Използвайте процедурите в Син хронизиране на потребителите на Okta в, Cisco Webex Control Hub ако искате да извършите предоставяне на потребители извън Okta в облака Webex.
Използвайте процедурите в Синхронизиране на потребителите на Microsoft Entra ID, Cisco Webex Control Hub ако искате да извършите предоставяне на потребители извън Entra ID в облака Webex.
Можете да следвате процедурата в Запушване на автоматизирани имейли, за да деактивирате имейлите, които се изпращат до нови потребители на Webex App във вашата организация. Документът съдържа и най-добрите практики за изпра щане на съобщения до потребители във вашата организация.
