- Начало
- /
- Статия
Благодарим за обратната връзка.
В тази статия
Обратна връзка?Можете да конфигурирате интеграция за еднократно влизане (SSO) между Control Hub и внедряване, което използва Active Directory Federation Services (ADFS 2.x и по-нови версии) като доставчик на идентичност (IDP).
Център за единично влизане и управление
Еднократно влизане (SSO) е процес на сесия или процес на удостоверяване на потребителя, който позволява на потребителя да предостави идентификационни данни за достъп до едно или повече приложения. Процесът удостоверява потребителите за всички приложения, на които им се предоставят права. Той елиминира допълнителни подкани, когато потребителите сменят приложения по време на определена сесия.
Протоколът за федерация на езика за маркиране на защитата (SAML 2.0) се използва за осигуряване на удостоверяване на SSO между облака Webex и вашия доставчик на идентичност (IDP).
Профили
Приложението Webex поддържа само SSO профила на уеб браузъра. В SSO профила на уеб браузъра Webex App поддържа следните връзки:
-
SP инициира POST -> POST свързване
-
SP инициира ПРЕНАСОЧВАНЕ -> POST свързване
НаименованиеID формат
Протоколът SAML 2.0 поддържа няколко формати NameID за комуникация за конкретен потребител. Приложението Webex поддържа следните формати NameID.
-
URN:OASI:Имена:TC:SAML:2.0:Формат на име:Преходен -
URN:OASIS:Имена:TC:SAML:1.1:Име-формат: Неуточнено -
URN:OASI:Имена:TC:SAML:1.1:Име-формат:Имейладрес
В метаданните, които зареждате от вашия IDP, първият запис е конфигуриран за използване в Webex.
Единично записване
Приложението Webex поддържа единичния профил за излизане. В Webex App потребителят може да излезе от приложението, което използва протокола за единично излизане SAML, за да прекрати сесията и да потвърди това излизане с вашия IDP. Уверете се, че вашият IDP е конфигуриран за SingleLogout.
Интегрирайте контролния център с ADFS
Ръководствата за конфигуриране показват конкретен пример за интеграция на SSO, но не предоставят изчерпателна конфигурация за всички възможности. Например, документирани са стъпките за интеграция на URL:Oasis:Names:tc:saml:2.0:Nameid-format:Transitive. Други формати като URN:OASIS:Names:tc:saml:1.1:NameId-Format:Undefined или URN:Oasis:Names:tc:saml:1.1:NameID-формат:emailAddress ще работят за интеграция на SSO, но са извън обхвата на нашата документация.
Настройте тази интеграция за потребители във вашата организация Webex (включително Webex App и други услугиWebex Meetings, администрирани в Control Hub). Ако вашият сайт на Webex е интегриран в Control Hub, сайтът Webex наследява управлението на потребителите. Ако не можете да получите достъп Webex Meetings по този начин и той не се управлява в Control Hub, трябва да направите отделна интеграция, за да активирате SSO заWebex Meetings.
В зависимост от това какво е конфигурирано в механизмите за удостоверяване в ADFS, интегрираното удостоверяване на Windows (IWA) може да бъде активирано по подразбиране. Ако е активирано, приложенията, които се стартират чрез Windows (като Webex App и Cisco Directory Connector) се удостоверяват като потребител, който е вписан, независимо от това какъв имейл адрес е въведен по време на първоначалния имейл подкана.
Изтеглете метаданните на Webex във вашата локална система
Изтеглете метаданните на Webex, преди да конфигурирате вашия доставчик на самоличност. Този файл съдържа настройките на доставчика на услуги на Webex за вашата организация и вашият доставчик на самоличност използва тези настройки, за да разпознае Webex и да изпрати отговорите за влизане в SAML обратно на правилното място. Използвайте този файл с метаданни, когато конфигури рате приложението SAML във вашия доставчик на самоличност.
| 1 |
Влезте в контролния център. |
| 2 |
Отидете в . |
| 3 |
Отидете в раздела Д оставчик на идентичност и щракнете върху А ктивиране на SSO. |
| 4 |
Изберете IdP. |
| 5 |
Изберете типа сертификат за вашата организация:
|
| 6 |
Изтеглете файла с метаданни. <org-ID>Името на файла с метаданни на Webex е idb-meta- -SP.xml. |
Инсталиране на метаданни на Webex в ADFS
Преди да започнете
Контролният център поддържа ADFS 2.x или по-нова версия.
Windows 2008 R2 включва само ADFS 1.0. Трябва да инсталирате минимум ADFS 2.x от Microsoft.
За услугите на SSO и Webex доставчиците на самоличност (IDP) трябва да отговарят на следната спецификация SAML 2.0:
-
Задайте атрибута NameID Format на URN:OASIS:Names:tc:saml:2.0:NameID-формат: преходен
-
Конфигурирайте претенция в IDP, за да включва името на атрибута uid със стойност, която е картографирана към атрибута, избран в Cisco Directory Connector, или потребителския атрибут, който съответства на този, който е избран в услугата за идентичност на Webex. (Този атрибут може да бъде например имейл адреси или основно потребителско име.) Вижте информацията за персонализираните атрибути в https://www.cisco.com/go/hybrid-services-directory за насоки.
| 1 |
Влезте в ADFS сървъра с администраторски разрешения. |
| 2 |
Отворете конзолата за управление на ADFS и преминете към Връзки . |
| 3 |
От прозореца Съ ветника за добавяне на доверие на разчитателна страна изберете Старт. |
| 4 |
За Из бор на източник на данни изберете Импортиране на данни за разчитаната страна от файл, прегледайте файла с метаданни на контролния център, който сте изтеглили, и изберете Напред. |
| 5 |
За Посочване на показано име създайте показано име за това доверие на разчитаната страна като Webex и изберете Напред. |
| 6 |
За Из бор на правила за разрешение за изда ване изберете Разрешаване на всички потребители да имат достъп до тази разчитана страна и изберете Напред. |
| 7 |
За Г отово за добавяне на довери е изберете На пред и завършете добавянето на доверието за разчитане към ADFS. |
Създаване на правила за претенции за удостоверяване на Webex
| 1 |
В основния екран на ADFS изберете връзката с доверие, която сте създали, и след това изберете Реда ктиране на правилата за претен ции. В раздела Правила за трансформиране на издаване изберете Добавяне на правило. |
| 2 |
В стъпката Избор на тип правило изберете Из пращане на LDAP атрибути като претенции и след това изберете Напред.  |
| 3 |
Изберете Добавяне на правило отново, изберете Из пращане на искове с помощта на персонализирано правило и след това изберете Напред. Това правило предоставя на ADFS атрибута „spname qualifier“, който Webex не предоставя по друг начин.
|
| 4 |
В глав ния прозорец изберете Trust на разчитане на парти ята и след това изберете Свойства в десния екран. |
| 5 |
Когато се появи прозорецът Свойства, преминете към раздел а Разширени, SHA-256 и след това изберете OK, за да запазите промените. |
| 6 |
Прегледайте следния URL адрес на вътрешния ADFS сървър, за да изтеглите файла: https: //< ad_fs_server >/FederationMetadata/2007-06/FederationMetadata.xml Може да се наложи да щракнете с десния бутон върху страницата и да видите източника на страницата, за да получите правилно форматирания XML файл. |
| 7 |
Запазете файла на вашата локална машина. |
Какво да правя по-нататък
Готови сте да импортирате метаданните на ADFS обратно в Webex от портала за управление.
Импортирайте метаданните на IDP и активирайте еднократно влизане след тест
След като експортирате метаданните на Webex, конфигурирате вашия IdP и изтеглите метаданните на IDP в локалната си система, сте готови да ги импортирате във вашата организация Webex от Control Hub.
Преди да започнете
Не тествайте интеграцията на SSO от интерфейса на доставчика на идентичност (IDP). Ние поддържаме само инициирани от доставчика на услуги (инициирани от SP-инициирани) потоци, така че трябва да използвате теста Control Hub SSO за тази интеграция.
| 1 |
Изберете един:
|
| 2 |
На страницата Импортиране на метаданни на IDP плъзнете и пуснете файл а с метаданни на IdP на страницата или използвайте опцията на браузъра на файлове, за да намерите и качите файла с метаданни . Щракнете върху На пред.
Трябва да използвате оп цията По- сигурна, ако можете. Това е възможно само ако вашият IdP използва публичен CA, за да подпише своите метаданни. Във всички останали случаи трябва да използвате опцията По-малко сигур на. Това включва, ако метаданните не са подписани, самоподписани или подписани от частен сертификат. Okta не подписва метаданните, така че трябва да изберете По-малко сигурно за интегра ция на Okta SSO. |
| 3 |
Изберете Т естване на настройката на SSO и когато се отвори нов раздел на браузъра, удостоверявайте се с IDP, като влезете. Ако получите грешка при удостоверяване, може да има проблем с идентификационните данни. Проверете потребителското име и паролата и опитайте отново. Грешка в приложението Webex обикновено означава проблем с настройката на SSO. В този случай преминете отново през стъпките, особено стъпките, при които копирате и поставяте метаданните на Control Hub в настройката на IDP. За да видите директно опита за влизане в SSO, можете също да щракнете върху Копиране на URL адреса в клипборда от този екран и да го поставите в частен прозорец на браузъра. Оттам можете да преминете през в лизането в SSO. Тази стъпка спира фалшивите положителни резултати поради токен за достъп, който може да е в съществуваща сесия, след като сте влезли в системата. |
| 4 |
Върнете се в раздела на браузъра Control Hub.
Конфигурацията на SSO не влиза в сила във вашата организация, освен ако не изберете първия радио бутон и не активирате SSO. |
Какво да правя по-нататък
Използвайте процедурите в Син хронизиране на потребителите на Okta в Control Hub, ако искате да извършите предоставяне на потребители извън Okta в облака Webex.
Използвайте процедурите в Син хронизиране на потребителите на Microsoft Entra ID в контролния център, ако искате да извършите предоставяне на потребителя от Entra ID в облака Webex.
Можете да следвате процедурата в Запушване на автоматизирани имейли, за да деактивирате имейлите, които се изпращат до нови потребители на Webex App във вашата организация. Документът съдържа и най-добрите практики за изпра щане на съобщения до потребители във вашата организация.
Актуализирайте доверието на Webex, разчитайки на страните в ADFS
Преди да започнете
Трябва да експортирате файла с метаданни SAML от Control Hub, преди да можете да актуализирате Webex Releasing Party Trust в ADFS.
| 1 |
Влезте в ADFS сървъра с администраторски разрешения. |
| 2 |
Качете файла с метаданни SAML от Webex във временна локална папка на ADFS сървъра, напр.
|
| 3 |
Отворете Powershell. |
| 4 |
Стартирайте Обърнете внимание на пара |
| 5 |
<org-ID>Стартирайте актуализа Уверете се, че сте заменили името на файла и целевото име с правилните стойности от вашата среда. Ви жте https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.Ако сте изтеглили 5-годишния сертификат Webex SP и имате включено Отмяна на сертификат за подписване или криптиране, трябва да изпълните тези две команди: |
| 6 |
Влезте в Control Hub, след което тествайте интеграцията на SSO:
|
.Отстраняване на проблеми с ADFS
ADFS грешки в дневниците на Windows
В дневниците на Windows може да видите код за грешка в дневника на събитията в ADFS 364. Подробностите за събитието идентифицират невалиден сертификат. В тези случаи ADFS хостът не е разрешен чрез защитната стена на порт 80 за валидиране на сертификата.
Възникна грешка по време на опит за изграждане на веригата на сертификати за доверието на разчитаната страна
При актуализиране на сертификата за SSO може да се появи тази грешка при влизане: Невалиден код
на състоянието в отговор.
Ако видите тази грешка, проверете регистрационните файлове за преглед на събития на
ADFS сървъра и потърсете следната грешка: Възникна грешка при опит за
изграждане на веригата на сертификати за доверителния сертификат
„https://idbroker.webex.com/“, идентифициран чрез отпечатък „754B9208F1F75C5CC122740F3675C5D129471D80
“<org-ID>. Възможните причини са, че
сертификатът е бил отменен, веригата на сертификатите не може да бъде проверена, както е посочено в настройките за от
мяна на сертификата за криптиране на доверителя, или сертификатът не е
в рамките на срока на валидност.
<orgID>Ако възникне тази грешка, трябва да изпълните командите
Set-ADFSRely ingPartyTrust -TargetIdentifier https://idbroker.webex.com/ -EncryptionCertificateRevocationCheck None
ИД на федерацията
Идентификаторът на федерацията е чувствителен към малките и малки Ако това е вашият организационен имейл адрес, въведете го точно както го изпраща ADFS или Webex не може да намери съответстващия потребител.
Не може да се напише персонализирано правило за претенции, за да се нормализира атрибута LDAP, преди да бъде изпратен.
Импортирайте вашите метаданни от ADFS сървър а, който сте настроили във вашата среда.
Можете да проверите URL адреса, ако е необходимо, като преминете към Услуга > Крайни
Синхронизация на времето
Уверете се, че системният часовник на вашия ADFS сървър е синхронизиран с надежден интернет източник на време, който използва протокола за мрежово време (NTP). Използвайте следната команда PowerShell, за да изкривите часовника само за връзката Webex Relating Party Trust.
Set-ADFSRelyingPartyTrust -TargetIdEntifier "https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE" -NotBeforesKew 3
Хексадецималната стойност е уникална за вашата среда. Моля, заменете стойността от стойността на ID на SP EntityDescriptor във файла с метаданни на Webex. Например:
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
