Sie können die Integration einer einmaligen Anmeldung (Single Sign-On, SSO) zwischen Control Hub und einer Bereitstellung konfigurieren, bei der Shibboleth als Identitätsanbieter (IdP) verwendet wird.
Einmalige Anmeldung und Control Hub
Die einmalige Anmeldung ist ein Sitzungs- oder Benutzerauthentifizierungsvorgang, bei dem ein Benutzer für den Zugriff auf eine oder mehrere Anwendungen Anmeldeinformationen angeben kann. Bei dem Vorgang werden Benutzer für alle Anwendungen authentifiziert, für die sie über Berechtigungen verfügen. Dadurch werden weitere Eingabeaufforderungen vermieden, wenn Benutzer während einer bestimmten Sitzung zwischen Anwendungen wechseln.
Das Security Assertion Markup Language (SAML 2.0) Federation-Protokoll wird für die SSO-Authentifizierung zwischen der Webex-Cloud und Ihrem Identitätsanbieter (IdP) eingesetzt.
Profile
Die Webex-App unterstützt nur den Webbrowser SSO Profil. Im Webbrowser- und SSO unterstützt Webex App die folgenden Bindungen:
SP initiierte POST -> POST-Bindung
SP initiierte REDIRECT -> POST-Bindung
NameID Format
Das SAML 2.0-Protokoll unterstützt mehrere NameID-Formate für die Kommunikation über einen bestimmten Benutzer. Die Webex-App unterstützt die folgenden NameID-Formate.
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
In den von Ihrem IdP geladenen Metadaten ist der erste Eintrag für die Verwendung in Webex konfiguriert.
SingleLogout
Die Webex-App unterstützt das Einzel-Abmeldeprofil. In der Webex-Appkann sich ein Benutzer von der Anwendung abmelden, die zum Beenden der Sitzung und zum Bestätigen der Abmeldedatei bei Ihrem IdP das SAML-Einzel-Abmeldeprotokoll verwendet. Stellen Sie sicher, dass Ihr IdP für SingleLogout konfiguriert ist.
Integrieren von Control Hub in Shibboleth
Die Konfigurationsanweisungen zeigen ein konkretes Beispiel einer SSO-Integration, aber keine umfassende Konfiguration für alle Möglichkeiten. So sind beispielsweise die Integrationsschritte für nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient dokumentiert. Andere Formate wie urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified oder urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress sind für die SSO-Integration geeignet, aber nicht in der Dokumentation enthalten. |
Richten Sie diese Integration für Benutzer in Ihrer Webex-Organisation ein (einschließlich webex App, Webex Meetingsund andere Dienste, die im Control Hub verwaltet werden). Wenn Ihre Webex-Site in Control Hubintegriert ist, erbt die Webex-Site die Benutzerverwaltung. Wenn Sie auf diese Weise nicht auf Webex Meetings zugreifen können und dies nicht in Control Hubverwaltet wird, müssen Sie eine separate Integration tun, um SSO-Benutzer Webex Meetings . (Weitere Informationen über die SSO-Integration in der Site-Administration finden Sie unter Configure Single Sign-On for Webex[Konfigurieren von Single Sign-On für Cisco WebEx Site].)
Die Integrationsschritte beziehen sich auf Shibboleth 2.4.5 in CentOS 7 mit Tomcat 7 als Webserver.
Vorbereitungen
Für SSO und Control Hubmüssen die IdPs der SAML 2.0-Spezifikation entsprechen. Außerdem müssen die IdPs folgendermaßen konfiguriert werden:
Herunterladen der Webex-Metadaten auf Ihr lokales System
1 | Wechseln Sie aus der Kundenansicht in https://admin.webex.com , scrollen Sie zu Authentifizierung und aktivieren Sie die Einstellung Einmalige Anmeldung, um den Einrichtungsassistenten zu starten. |
||
2 | Wählen Sie den Zertifikattyp für Ihre Organisation aus:
|
||
3 | Laden Sie die Metadatendatei herunter. Der Name der Webex-Metadatendatei ist idb-meta-<org-ID>-SP.xml. |
Konfigurieren der Autorisierung in Shibboleth-Dateien
Nach der Installation von Shibboleth erhalten Sie die Konfigurationsdateien mit Beispielen.
1 | Navigieren Sie zu dem Verzeichnis /opt/shibboleth-idp/conf, um auf die Beispieldateien zuzugreifen. |
2 | Entscheiden Sie sich für eine Autorisierungsmethode – beispielsweise LDAP-Bindung mit Active Directory. |
3 | Ändern Sie die handler.xml-Datei wie folgt: Kommentierung aufheben
Kommentar
|
4 | Tragen Sie die Details zu Ihrem Active Directory für die Authentifizierung ein. Geben Sie die Konfiguration in der Datei login.config an. Beispiel:
|
Konfiguration von Shibboleth-Dienstanbieterkomponenten für die SAML-Assertion
1 | Fügen Sie die aus dem Webex SP heruntergeladene Datei zum Verzeichnis /opt/shibboleth-idp/metadata hinzu. |
2 | Bearbeiten Sie die Datei relying-party.xml , und fügen Sie die Details der SAML-Assertion für Webex nach dem DefaultRelyingParty-Tag hinzu.
Für "id" müssen Sie den EntityID-Wert aus der Webex-Metadatendatei verwenden. Ersetzen Sie die ID des Beispiels durch die EntityID Ihrer Organisation. |
3 | Fügen Sie innerhalb des metadata:MetadataProvider-Tag den Speicherort der Datei hinzu:
Die SP-Metadaten stammen aus einer Datei im Shibboleth-Dateisystem, aus dem Speicherort, aus dem Sie die Metadaten für Ihre Webex-Organisation hochgeladen haben. |
Assertionsattribute konfigurieren
1 | Geben Sie im Data Connector-Bereich an, wo die Attribute über Ihre Benutzer abgerufen werden sollen. Beispiel:Active Directory, mit der id MyLDAP.
|
2 | Behalten Sie im Bereich Attributdefinition den bereits in der Konfiguration vorhandenen Wert für transientID bei. |
3 | Fügen Sie das zusätzliche Attribut hinzu, das der SP erwartet und definieren Sie die Zuordnung in der Attributquelle. Beispiel:
|
4 | Definieren Sie das Attribut, das bei den einzelnen SP-Vereinbarungen in der attribute-filter.xml-Datei angegeben werden soll. Geben Sie in Webex das uid-Attribut an , das der E-Mail-Adresse des Benutzers zu ordnet. Beispiel:Geben Sie das uid-Attribut mit Webex in der SP-Vereinbarung frei.
Die in attribute-resolver.xml erstellte Regel sollte eine Richtlinie haben, damit das mail-attr-Attribut in der EntityID veröffentlicht wird, das mit Webex in Übereinstimmung ist. |
5 | Laden Sie die Metadatendatei vom Shibboleth-Server in /opt/shibboleth-idp/metadata herunter. Der Dateiname lautet idp-metadata.xml. |
Importieren der IdP-Metadaten und Aktivieren einmaliges Anmelden nach einem Test
Nachdem Sie die Webex-Metadaten exportiert haben, konfigurieren Sie Ihren IdP und laden Sie die IdP-Metadaten auf Ihr lokales System herunter, nun können Sie sie aus Control Hub in Ihre Webex-Organisationimportieren.
Vorbereitungen
Testen Sie die SSO-Integration nicht über die Benutzeroberfläche des Identitätsanbieters (IdP). Es werden nur vom Dienstleister initiierte (SP-initiierte) Vorgänge unterstützt, daher müssen Sie den SSO-Test im Control Hub für diese Integration verwenden.
1 | Wählen Sie eine Option:
|
||||
2 | Ziehen Sie die idP-Metadatendatei auf der Idp-Metadatenimportseite entweder per Drag & Drop auf die Seite oder verwenden Sie den Dateibrowser, um zur Metadatendatei zu navigieren und sie hochzuladen. Klicken Sie auf Weiter. Sie sollten die Option "Sicherer" verwenden , wenn dies möglich ist. Dies ist nur möglich, wenn Ihr IdP zum Signieren seiner Metadaten eine öffentliche Zertifizierungsstelle verwendet hat. In allen anderen Fällen müssen Sie die Option Weniger sicher verwenden. Dies beinhaltet, wenn die Metadaten nicht signiert, selbstsignierte oder von einer privaten Zertifizierungsstelle signiert sind. |
||||
3 | Wählen Sie SSO Browser-Einrichtungtesten aus und authentifizieren Sie sich beim IdP, wenn sich eine neue Browser-Registerkarte öffnet.
|
||||
4 | Kehren Sie zur Registerkarte Control Hub im Browser zurück.
|
Nächste Schritte
Sie können das Verfahren in Automatische E-Mails unterdrücken befolgen , um E-Mails zu deaktivieren, die an neue Webex App-Benutzer in Ihrer Organisation gesendet werden. Das Dokument enthält außerdem bewährte Methoden zum Senden von Mitteilungen an Benutzer in Ihrer Organisation.