Единичен център за влизане и управление

Еднократната идентификация (SSO) е процес на удостоверяване на сесия или потребител, който позволява на потребителя да предостави идентификационни данни за достъп до едно или повече приложения. Процесът удостоверява потребителите за всички приложения, на които им се дават права. Той елиминира по-нататъшни подкани, когато потребителите превключват приложения по време на определена сесия.

Протоколът за маркиране на защитата assertion (SAML 2.0) Федерация протокол се използва за предоставяне на SSO удостоверяване между Облака на Webex и вашия доставчик на самоличност (IdP).

Профили

Webex App поддържа само уеб браузъра SSO профил. В профила на SSO на уеб браузъра Webex App поддържа следните свързвания:

  • SP инициира POST -> POST свързване

  • SP инициира ПРЕНАСОЧВАНЕ -> POST свързване

Формат nameID

Протоколът SAML 2.0 поддържа няколко NameID формата за комуникация за конкретен потребител. Webex App поддържа следните формати NameID.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

В метаданните, които зареждате от вашия IdP, първият запис е конфигуриран за използване в Webex.

Единично излизане

Webex App поддържа единния профил за излизане. В Webex Appпотребителят може да излезе от приложението, което използва протокола SAML за единично излизане, за да прекрати сесията и да потвърди този изход с вашия IdP. Гарантирайте, че вашият IdP е конфигуриран за SingleLogout.

Интегриране на центъра за управление с PingFederate

Ръководствата за конфигуриране показват конкретен пример за интегриране на SSO, но не предоставят изчерпателна конфигурация за всички възможности. Например, стъпките за интегриране за nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient са документирани. Други формати, като например urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress, ще работят за SSO интеграция, но са извън обхвата на нашата документация.

Настройте тази интеграция за потребители във вашата уебекс организация (включително Webex App, Webex Срещии други услуги, администрирани в контролния център). Ако вашият Webex сайт е интегриран в контролния център, Webex сайтът наследява управлението на потребителя. Ако нямате достъп до Webex Срещи по този начин и той не се управлява в контролния център, трябва да направите отделна интеграция, за да разрешите SSO за Webex срещи.

Преди да започнете

За SSO и Control Hub, IdP трябва да отговарят на спецификацията SAML 2.0. В допълнение, IdP трябва да бъдат конфигурирани по следния начин:

Изтеглете метаданните на Webex във вашата локална система

1

Влезте в контролния хъб.

2

Отидете на Управление > Сигурност > Удостоверяване.

3

Отидете в раздела Доставчик на самоличност и щракнете върху Активиране на SSO.

4

Изберете IdP.

5

Изберете типа сертификат за вашата организация:

  • Самоподписано от Cisco— Препоръчваме този избор. Нека подпишем сертификата, така че трябва да го подновявате само веднъж на пет години.
  • Подписано от публичен сертифициращ орган— По-сигурно, но ще трябва често да актуализирате метаданните (освен ако вашият доставчик на IdP не поддържа доверени котви).

Тръстовите котви са публични ключове, които действат като орган за проверка на сертификата на цифров подпис. За повече информация вижте вашата IdP документация.

6

Изтеглете файла с метаданни.

Името на файла с метаданни на Webex е idb-meta-<org-ID>-SP.xml.

Конфигуриране на нова връзка с доставчик на услуги

1

Отидете на портала за администриране на PingFederate (https://:9999/pingfederate/app).

2

Под SP ВРЪЗКИизберете Създаване на нов.

3

Изберете бутона Не използвайте шаблон за този радио бутон за връзка, след което изберете Напред .

4

Изберете SSO профили на браузъра, след което щракнете върху Напред.

5

Изберете раздела Импортиране на метаданни.

6

Щракнете върху Избор на файл, за да намерите и импортирате файла с метаданни, който сте изтеглили от Control Hub, след което щракнете върху Напред.

7

Прегледайте информацията в раздела Обща информация и след това щракнете върху Готово.

Конфигуриране на еднократната идентификация на браузъра

1

От портала за администриране на PingFederate изберете Конфигуриране на SSO на браузъра.

2

Поставете отметка в квадратчето Иницииран от SP SSO, след което щракнете върху Напред .

3

Изберете Конфигуриране на създаване на assertion.

  1. Променете квадратчето NameID-формат на преходен и поставете отметка в квадратчето Включи атрибутите в допълнение към преходния идентификатор.

  2. Разширете атрибутите на договора, като добавите атрибутите mail и uid във формат urn:oasis:names:tc:SAML:2.0:attrname-format-basic, след което щракнете върху Next.

  3. Изберете Карта нов екземпляр на адаптер, за да изберете механизъм за удостоверяване. От падащия екземпляр на адаптер изберете един от предварително конфигурираните механизми за удостоверяване, след което щракнете върху Напред.

  4. Изберете извличането на допълнителни атрибути от няколко магазина за данни с помощта на един бутон за съпоставяне на радио, след което щракнете върху Напред.

  5. Изберете Добавяне на източник на атрибут, за да добавите домейновия контролер на Active Directory за домейна и след това щракнете върху напред.

  6. Задайте Базов DN и изберете класа на главния обект <Show All Attributes>. В текстовото поле Филтър въведете LDAP филтъра и след това щракнете върху Напред.

    Записът трябва да съдържа атрибута, който очаквате потребителят да предостави. Той също така трябва да съдържа стойността, с която се съпоставя в източниците на LDAP. Например, ако вашата активна директория е настроена да филтрира в атрибута за вход в Windows, въведете sAMAccountName=${Потребителско име}.

  7. Изберете източника и стойността, за да нанесете атрибутите на assertion с атрибутите, предоставени от ad datastore. (Не въвеждайте нищо за Критерии за издаване.)

  8. Проверете дали конфигурацията на assertion има съпоставяне на самоличността, зададено на Преходен , Атрибутен договор, зададен на uid , и Екземпляри на адаптер, зададени на 1.

    Атрибутът uid трябва да се съпоставя с имейл адреса на потребителя.

4

Изберете Конфигуриране на настройките на протокола.

  1. За допустими SAML свързвания проверете само квадратчетата POST и Redirect.

  2. За Правила за подпис изберете Винаги подписвайте SAML assertion.

    Настройките на протокола трябва да изглеждат като следните.

  3. Изберете Конфигуриране на идентификационни данни, за да конфигурирате сертификата за твърдението.

  4. Изберете сертификата, който вече е създаден за SAML твърдения.

5

На екрана Активиране и резюме задайте състоянието на връзката на Активен.

Експортиране на метаданни от PingFederate

1

На главния екран щракнете върху Управление на всички SP.

2

Намерете връзката, която току-що създадохте, и щракнете върху Експортиране на метаданни.

3

Изберете сертификата, който да използвате за подписване на експортирания файл от падащия.

4

Щракнете върху Експортиране.

Импортиране на IdP метаданните и разрешаване на еднократна идентификация след тест

След като експортирате метаданните на Webex , конфигурирате вашия IdP и изтеглите метаданните на IdP във вашата локална система, сте готови да го импортирате във вашата Webex организация от Контролния център.

Преди да започнете

Не тествайте SSO интеграция от интерфейса на доставчика на самоличност (IdP). Ние поддържаме само потоци, инициирани от Доставчик на услуги (инициирани от SP), така че трябва да използвате sSO теста на контролния център за тази интеграция.

1

Изберете един:

  • Върнете се на страницата за избор на сертификат в Control Hub във вашия браузър и след това щракнете върху Next.
  • Отворете отново Control Hub, ако вече не е отворен в раздела на браузъра ви. От изгледа на клиента в Control Hub отидете на Управление > Сигурност > Удостоверяване, изберете IdP и след това изберете Действия > Импортиране на метаданни.
2

На страницата „Импортиране на метаданни на IdP“ плъзнете и пуснете файла с метаданните на IdP върху страницата или използвайте опцията за браузър на файлове, за да намерите и качите файла с метаданните. Щракнете върху Напред.

Трябва да използвате опцията По-сигурна , ако можете. Това е възможно само ако вашият IdP е използвал публичен CA, за да подпише метаданните си.

Във всички останали случаи трябва да използвате опцията По-малко защитена . Това включва, ако метаданните не са подписани, самоподписани или подписани от частен CA.

Okta не подписва метаданните, така че трябва да изберете По-малко защитена за интеграция на Okta SSO.

3

Изберете Тест на настройката на SSOи когато се отвори нов раздел в браузъра, удостоверете се с IdP, като влезете.

Ако получите грешка при удостоверяване може да има проблем с идентификационните данни. Проверете потребителското име и паролата и опитайте отново.

Грешка в Webex App обикновено означава проблем с настройката на SSO. В този случай преминете отново през стъпките, особено стъпките, където копирате и поставяте метаданните на контролния център в настройката на IdP.

За да видите директно средата за влизане с SSO, можете също да щракнете върху Копиране на URL адреса в клипборда от този екран и да го поставите в поверителен прозорец на браузъра. Оттам можете да преминете през влизането с SSO. Тази стъпка спира фалшивите положителни резултати поради маркер за достъп, който може да е в съществуваща сесия от вас, в който сте влезли.

4

Върнете се в раздела браузър на контролния център .

  • Ако тестът е бил успешен, изберете Успешен тест. Включете SSO и щракнете върху напред.
  • Ако тестът е бил неуспешен, изберете Неуспешен тест. Изключете SSO и щракнете върху напред.

Конфигурацията на SSO не влиза в сила във вашата организация, освен ако не изберете първия радио бутон и активирате SSO.

Какво да направите след това

Използвайте процедурите в Синхронизиране на потребителите на Okta в Cisco Webex контролен център , ако искате да направите осигуряване на потребителя извън Okta в облака Webex.

Използвайте процедурите в Синхронизиране на потребителите на Azure Active Directory в Cisco Webex Control Hub, ако искате да направите предоставяне на потребители от Azure AD в облака Webex.

Можете да следвате процедурата в Потискане на автоматизирани имейли, за да деактивирате имейлите, които се изпращат до нови потребители на приложението Webex във вашата организация. Документът съдържа и най-добри практики за изпращане на комуникации на потребители във вашата организация.