Jednotné přihlašování a centrum Control Hub

Jednotné přihlašování (SSO) je proces relace nebo ověření uživatele, který umožňuje uživateli zadat pověření pro přístup k jedné nebo více aplikacím. Proces ověřuje uživatele pro všechny aplikace, ke kterým mají přiřazena práva. Eliminuje další výzvy, když uživatelé během konkrétní relace přepnou aplikace.

Protokol SAML 2.0 (Security Assertion Markup Language) se používá k zajištění SSO mezi cloudem Webex a vaším poskytovatel identity (IdP).

Profily

Aplikace Webex podporuje pouze profil SSO webového prohlížeče. V profilu SSO webového prohlížeče podporuje aplikace Webex následující vazby:

  • SP spustil vazbu POST -> POST

  • SP inicializoval vazbu PŘESMĚR -> ZPĚT

Formát ID názvu

Protokol SAML 2.0 podporuje několik formátů ID názvu pro komunikaci o konkrétním uživateli. Aplikace Webex podporuje následující formáty ID názvů.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

V metadatech, která načítáte od svého poskytovatele identity, je první položka nakonfigurována pro použití ve Webex.

Odhlásit se

Aplikace Webex podporuje profil jednotného odhlášení. V Aplikaci Webex se může uživatel odhlásit z aplikace, která k ukončení relace používá protokol jednotného odhlášení SAML a toto odhlášení potvrdí pomocí nástroje Idp. Ujistěte se, že je Idp nakonfigurován pro Logout.

Integrace prostředí Control Hub se službou Shibboleth


 

Konfigurační příručky ukazují konkrétní příklad integrace SSO, ale neuvádějí vyčerpávající konfiguraci pro všechny možnosti. Jsou zdokumentovány například integrační kroky pro nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient. Jiné formáty, jako například urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress budou při integraci SSO fungovat, avšak naše dokumentace je neuvádí.

Nastavte tuto integraci pro uživatele ve své organizaci Webex (včetně aplikace Webex , Webex Meetings a dalších služeb spravovaných v centru Control Hub). Pokud je váš web Webex integrován v centru Control Hub, zdědí web Webex správu uživatelů. Pokud nemáte k Webex Meetings tento přístup a není spravována v centru Control Hub, musíte provést samostatnou integraci a povolit SSO pro Webex Meetings. (Viz Nakonfigurujte jednotné přihlašování pro Webex naleznete další informace o integraci SSO ve správa webu.)

Kroky integrace odkazují na Shibboleth 2.4.5 v CentOS 7 s Tomcat 7 jako webovým serverem.

Než začnete

Pro SSO a prostředí Control Hub musí poskytovatelé identity splňovat specifikaci SAML 2.0. Kromě toho musí být poskytovatelé identity nakonfigurováni následujícím způsobem:

Stáhněte si metadata služby Webex do místního systému

1

Z pohledu zákazníkahttps://admin.webex.com , přejít na Management > Nastavení organizace a přejděte na Ověřování a pak zapněte možnost Jednotné přihlašování nastavením spusťte průvodce nastavením.

2

Vyberte typ certifikátu pro organizaci:

  • Podepsané společností Cisco – Doporučujeme tuto možnost. Certifikát nám nechte podepsat, takže jej stačí obnovovat jednou za pět let.
  • Podepsáno veřejnou certifikační autoritou – Bezpečnější, ale metadata budete muset často aktualizovat (pokud váš dodavatel poskytovatele identity nepodporuje kotvy důvěry).

 

Kotvy důvěry jsou veřejné klíče, které fungují jako autorizace k ověření certifikátu digitálního podpisu. Další informace naleznete v dokumentaci poskytovatele identity.

3

Stáhněte si soubor metadat.

Název souboru metadat Webex je idb-meta-<org-ID> -SP.xml .

Konfigurovat autorizaci v Shibboleth souborech

Po instalaci Shibboleth obdržíte konfigurační soubory s příklady.

1

Přejděte do adresáře /opt/shibboleth-idp/conf pro přístup k ukázkovým souborům.

2

Rozhodněte, jaký způsob autorizace použít – například LDAP se váže ke službě Active Directory.

3

Upravte soubor handler.xml následovně:

Odkomentovat

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

Komentář

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>
4

Vyplněním podrobností služby Active Directory umožníte ověření. Zadejte konfiguraci souboru login.config.

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Konfigurace komponent poskytovatele služeb Shibboleth pro výraz SAML

1

Přidejte stažený soubor ze služby Webex SP do adresáře /opt/shibboleth-idp/metadata.

2

Upravit relying.xml soubor; za značku Re Party přidejte podrobnosti výrazu SAML pro aplikaci Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

Pro id musíte použít hodnotu ID ze souboru metadat Webex. Nahraďte ID příkladu ID vaší organizace.

3

Uvnitř značky metadata:Meta Provider přidejte umístění souboru:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

Metadata SP pocházejí ze souboru v souborovém systému Shibboleth v místě, kde jste nahráli metadata pro organizaci Webex.

Konfigurovat atributy výrazu

1

V části Datový konektor zadejte, kde chcete načíst atributy o uživatelích.

Active Directory s ID MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>
2

V části Definice atributů si ponechte to, co je již v konfiguraci pro ID.

3

Přidejte další atribut, který SP očekává, a definujte, na co mapuje ve zdroji atributů.

Namapujte atribut mail (atribut e-mailové adresy ve službě Active Directory) na uid (UserID v aplikaci Webex).

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>
4

V souboru attribute-filter.xml definujte atribut, který chcete poskytnout každé smlouvě SP.

Zadejte do aplikace Webex atribut uid, který se mapuje na e-mailovou adresu uživatele.

Uvolněte atribut uid do smlouvy o SP se službou Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

Pravidlo, které jste vytvořili v atributu attribute-resolver.xml, by mělo mít zásadu pro uvolnění atributu mail-attr na ID , které odpovídá službě Webex.

5

Stáhněte soubor metadat ze serveru Shibboleth v /opt/shibboleth-idp/metadata. Název souboru je idp-metadata.xml.

Po testu importujte metadata poskytovatele identity a povolte jednotné přihlašování

Po exportování metadat služby Webex , konfiguraci poskytovatele identity a stažení metadat poskytovatele identity do místního systému jste připraveni importovat je do organizace Webex z centra Control Hub.

Než začnete

Netestovat integraci SSO z rozhraní poskytovatel identity (IdP). Podporujeme pouze toky iniciované poskytovatelem služeb, takže pro tuto integraci je nutné použít test SSO Control Hub.

1

Vyberte si jednu:

  • Vraťte se v prohlížeči na stránku Control Hub – výběr certifikátu a klikněte na Další .
  • Pokud již není Control Hub otevřená na kartě prohlížeče, z zobrazení zákazníka vhttps://admin.webex.com , přejít na Management > Nastavení organizace , přejděte na Ověřování a pak zvolte možnost Akce > Importovat metadata .
2

Na stránce Import metadata poskytovatele identity přetáhněte soubor metadat IdP na stránku nebo použijte možnost prohlížeče k vyhledání a nahrání souboru metadat. Klepněte na tlačítko Další.

Měli byste použít Bezpečnější Pokud můžete, možnost . To je možné pouze v případě, že váš poskytovatel identity použil k podepsání metadat veřejnou certifikační autoritu.

Ve všech ostatních případech je nutné použít Méně bezpečné možnost. To platí i pro případy, kdy metadata nejsou podepsána, podepsána svým držitelem nebo soukromou certifikační autoritou.


 

Okta metadata nepodepisuje, takže si musíte vybrat Méně bezpečné pro integraci Okta SSO .

3

Vyberte možnost Testovat nastavení SSO a když se otevře nová karta prohlížeče, přihlaste se u poskytovatele identity (IdP).


 

Pokud se zobrazí chyba ověření, může být problém s přihlašovacími údaji. Zkontrolujte uživatelské jméno a heslo a zkuste to znovu.

Chyba aplikace Webex obvykle znamená problém s nastavením SSO . V takovém případě si tyto kroky projděte znovu, zejména ty, kdy zkopírujete a vložíte metadata Control Hub do nastavení IdP.


 

Chcete-li přímo zobrazit prostředí jednotného přihlašování, můžete na této obrazovce rovněž kliknout na možnost Zkopírovat adresu URL do schránky a vložit ji do soukromého okna prohlížeče. Tam můžete projít přihlášením pomocí SSO. Tento krok zastaví falešné poplachy kvůli přístupovému tokenu, který se může nacházet ve stávající relaci od vás, když se přihlašujete.

4

Vraťte se na kartu prohlížeče Control Hub.

  • Pokud byl test úspěšný, vyberte Test byl úspěšný. Zapněte SSO a klikněte Další .
  • Pokud byl test neúspěšný, vyberte Test byl úspěšný. Vypněte SSO a klikněte Další .

 

Konfigurace SSO se ve vaší organizaci neprojeví, pokud nezvolíte první přepínač a neaktivujete SSO.

Co dělat dál

Použijte postupy v Synchronizujte uživatele Okta se službou Cisco Webex Control Hub pokud chcete provést zřizování uživatelů z řešení Okta do cloudu Webex .

Použijte postupy v Synchronizujte uživatele Azure Active Directory do Cisco Webex Control Hub pokud chcete provést zřizování uživatelů mimo Azure AD do cloudu Webex .

Můžete použít postup v Potlačit automatické e-maily zakázání e-mailů odesílaných novým uživatelům aplikace Webex ve vaší organizaci. Tento dokument také obsahuje osvědčené postupy pro rozesílání komunikace uživatelům v organizaci.