Einmalige Anmeldung und Control Hub

Die einmalige Anmeldung ist ein Sitzungs- oder Benutzerauthentifizierungsvorgang, bei dem ein Benutzer für den Zugriff auf eine oder mehrere Anwendungen Anmeldeinformationen angeben kann. Bei dem Vorgang werden Benutzer für alle Anwendungen authentifiziert, für die sie über Berechtigungen verfügen. Dadurch werden weitere Eingabeaufforderungen vermieden, wenn Benutzer während einer bestimmten Sitzung zwischen Anwendungen wechseln.

Das Security Assertion Markup Language (SAML 2.0) Federation-Protokoll wird für die SSO-Authentifizierung zwischen der Webex-Cloud und Ihrem Identitätsanbieter (IdP) eingesetzt.

Profile

Die Webex-App unterstützt nur den Webbrowser SSO Profil. Im Webbrowser- und SSO unterstützt Webex App die folgenden Bindungen:

  • SP initiierte POST -> POST-Bindung

  • SP initiierte REDIRECT -> POST-Bindung

NameID Format

Das SAML 2.0-Protokoll unterstützt mehrere NameID-Formate für die Kommunikation über einen bestimmten Benutzer. Die Webex-App unterstützt die folgenden NameID-Formate.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

In den von Ihrem IdP geladenen Metadaten ist der erste Eintrag für die Verwendung in Webex konfiguriert.

SingleLogout

Die Webex-App unterstützt das Einzel-Abmeldeprofil. In der Webex-Appkann sich ein Benutzer von der Anwendung abmelden, die zum Beenden der Sitzung und zum Bestätigen der Abmeldedatei bei Ihrem IdP das SAML-Einzel-Abmeldeprotokoll verwendet. Stellen Sie sicher, dass Ihr IdP für SingleLogout konfiguriert ist.

Integrieren von Control Hub in F5 Big-IP

Die Konfigurationsanweisungen zeigen ein konkretes Beispiel einer SSO-Integration, aber keine umfassende Konfiguration für alle Möglichkeiten. Beispielsweise werden die Integrationsschritte für nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient dokumentiert. Andere Formate wie urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress funktionieren für die SSO-Integration, liegen jedoch außerhalb des Rahmens unserer Dokumentation.

Richten Sie diese Integration für Benutzer in Ihrer Webex-Organisation ein (einschließlich webex App, Webex Meetingsund andere Dienste, die im Control Hub verwaltet werden). Wenn Ihre Webex-Site in Control Hubintegriert ist, erbt die Webex-Site die Benutzerverwaltung. Wenn Sie auf diese Weise nicht auf Webex Meetings zugreifen können und dies nicht in Control Hubverwaltet wird, müssen Sie eine separate Integration tun, um SSO-Benutzer Webex Meetings .

Vorbereitungen

Für SSO und Control Hub müssen die IdPs der SAML 2.0-Spezifikation entsprechen. Außerdem müssen die IdPs folgendermaßen konfiguriert werden:

Herunterladen der Webex-Metadaten auf Ihr lokales System

1

Melden Sie sich bei Control Hub an.

2

Gehe zu Management > Sicherheit > Authentifizierung.

3

Gehen Sie auf den Reiter Identitätsanbieter und klicken Sie auf SSO aktivieren.

4

Wählen Sie einen IdP aus.

5

Wählen Sie den Zertifikattyp für Ihre Organisation aus:

  • Selbstsigniert von Cisco– Wir empfehlen diese Auswahl. Unterzeichnen Sie das Zertifikat, damit Sie es nur alle fünf Jahre erneuern müssen.
  • Von einer öffentlichen Zertifizierungsstelle signiert– Sicherer, aber Sie müssen die Metadaten häufig aktualisieren (es sei denn, Ihr IdP-Anbieter unterstützt Vertrauensanker).

Vertrauensanker sind öffentliche Schlüssel, die als Berechtigung fungieren, das Zertifikat einer digitalen Signatur zu überprüfen. Weitere Informationen finden Sie in Ihrer IdP-Dokumentation.

6

Laden Sie die Metadatendatei herunter.

Der Dateiname der Webex-Metadaten lautet idb-meta-<org-ID>-SP.xml.

Konfigurieren des externen Dienstanbieters und Identitätsanbieters

1

Wechseln Sie auf der BIG-IP F5-Verwaltungsoberfläche zu Zugriffsrichtlinie > SAML > BIG-IP als IdP.

2

Wählen Sie unter Externe SP-Connectoren Erstellen > Aus Metadaten.

3

Geben Sie einen aussagekräftigen Namen für den Dienstanbieternamen ein, z. B. .ciscowebex.com.<yourorganizationname>

4

Aktivieren Sie unter Sicherheitseinstellungen folgende Kontrollkästchen:

  • Antwort muss signiert sein
  • Assertion muss signiert sein
5

Kehren Sie zu Zugriffsrichtlinie > SAML > BIG-IP als IdP zurück und erstellen Sie dann einen neuen Identitätsanbieter-Dienst (IdP).

6

Geben Sie einen aussagekräftigen Namen für den IdP-Dienstnamen ein, z. B. CI.

7

Verwenden Sie für die IdP-Entitäts-ID FQDN des Big-IP-Servers mit etwas im Vorderseite, z. https://bigip0a.uc8sevtlab13.com/CIB. .

8

Wählen Sie unter Assertionseinstellungen bei Assertionssubjekttyp Vorübergehender Bezeichner ein.

9

Geben Sie für Assertionssubjektwert den Wert der E-Mail des Benutzers zurück %{session.ad.last.attr.mail}.

10

Geben Sie die Attribute mail und uid mit dem Wert %{session.ad.last.attr.mail} zurück.

11

Wählen Sie unter Sicherheitseinstellungen ein Zertifikat für die Signierung der Assertion.

12

Speichern Sie Ihre Änderungen und erstellen Sie dann Bindungen mit dem von Ihnen erstellten Dienstanbieter und Identitätsanbieter.

Laden Sie die F5 Big-IP-Metadaten herunter

1

Wählen Sie IDP-Dienst exportieren.

2

Vergewissern Sie sich, dass der Wert bei Metadaten signieren Ja lautet.

3

Laden Sie die Metadatendatei auf Ihren Desktop oder an einen leicht auffindbaren Speicherort herunter.

Hinzufügen einer Zugriffsrichtlinie

1

Wechseln Sie zu Zugriffsrichtlinie > Zugriffsprofile > SAML und erstellen Sie eine SAML-Ressource für den von Ihnen erstellten IdP.

2

Wechseln Sie zu Ihrem Zugriffsprofil und bearbeiten Sie die Zugriffsrichtlinie, die Sie für WebEx Messenger CAS verwenden.

3

Fügen Sie auf der Registerkarte Anmeldung ein neues Element mit dem Namen Anmeldeseite und behalten Sie den Standardwert bei.

4

Fügen Sie auf der Registerkarte Authentifizierung einen neuen Wert mit dem Namen AD Auth hinzu und geben Sie als Server Active Directory an.

5

Fügen Sie bei der erfolgreichen Verzweigung AD Query von der Registerkarte Authentifizierung hinzu

6

Wechseln Sie zu den Verzweigungsregeln und ändern Sie in AD Query bestanden.

7

Fügen Sie bei der erfolgreichen Verzweigung von AD Query Erweiterte Ressourcenzuweisung von der Registerkarte Zuweisung hinzu.

8

Klicken Sie auf Hinzufügen/Löschen und fügen Sie beide Ressourcen SAML mit allen SAML-Ressourcen und dem Webtop hinzu, den Sie erstellt haben.

9

Wählen Sie bei Ende auswählen Zulassen aus.

Die Zugriffsrichtlinie sollte wie in diesem Screenshot aussehen:

Verknüpfen des Zugriffsprofils mit dem virtuellen Server

Sie müssen das Zugriffsprofil mit dem von Ihnen erstellten virtuellen Server verknüpfen.

1

Wechseln Sie zu Lokaler Datenverkehr > Virtuelle Server.

2

Öffnen Sie die Zugriffsprofile, um sicherzustellen, dass kein virtueller Server mit dem Profil verknüpft ist.

3

Wählen Sie Erweiterte Ressourcenzuweisung aus.

4

Wählen Sie Hinzufügen/löschen, um die neue SAML-Ressource hinzuzufügen.

5

Schließen Sie die Zugriffsrichtlinien-Entwurfsfenster und wenden Sie die neue Zugriffsrichtlinie an.

Importieren der IdP-Metadaten und Aktivieren einmaliges Anmelden nach einem Test

Nachdem Sie die Webex-Metadaten exportiert haben, konfigurieren Sie Ihren IdP und laden Sie die IdP-Metadaten auf Ihr lokales System herunter, nun können Sie sie aus Control Hub in Ihre Webex-Organisation importieren.

Vorbereitungen

Testen Sie die SSO-Integration nicht über die Benutzeroberfläche des Identitätsanbieters (IdP). Wir unterstützen nur Dienstleister initiierten (mit SP initiierten) strömen, daher müssen Sie den Control Hub SSO Test für diese Integration verwenden.

1

Wählen Sie eine Option:

  • Kehren Sie in Ihrem Browser zur Seite „Control Hub – Zertifikatauswahl“ zurück und klicken Sie dann auf Weiter.
  • Öffnen Sie Control Hub erneut, wenn es in Ihrem Browser-Tab nicht mehr geöffnet ist. Gehen Sie in der Kundenansicht im Control Hub zu Verwaltung > Sicherheit > Authentifizierung, wählen Sie den IdP aus und wählen Sie dann Aktionen > Metadaten importieren.
2

Ziehen Sie auf der Seite „IdP-Metadaten importieren“ die IdP-Metadatendatei entweder per Drag & Drop auf die Seite oder verwenden Sie die Dateibrowseroption, um die Metadatendatei zu suchen und hochzuladen. Klicken Sie auf Weiter.

Sie sollten die Option "Sicherer" verwenden , wenn dies möglich ist. Dies ist nur möglich, wenn Ihr IdP zum Signieren seiner Metadaten eine öffentliche Zertifizierungsstelle verwendet hat.

In allen anderen Fällen müssen Sie die Option Weniger sicher verwenden. Dies beinhaltet, wenn die Metadaten nicht signiert, selbstsignierte oder von einer privaten Zertifizierungsstelle signiert sind.

Okta signieren die Metadaten nicht. Sie müssen daher für eine Okta-Integration Weniger sicher SSO auswählen.

3

Wählen Sie SSO-Setup testenund authentifizieren Sie sich beim IdP, indem Sie sich anmelden, wenn ein neuer Browser-Tab geöffnet wird.

Wenn Sie einen Authentifizierungsfehler erhalten, kann es ein Problem mit den Anmeldeinformationen geben. Überprüfen Sie Nutzernamen und Passwort und versuchen Sie es erneut.

Ein Fehler in der Webex-App bedeutet in der Regel ein Problem mit der SSO Einrichtung. Gehen Sie in diesem Fall erneut die Schritte durch, insbesondere die Schritte, in denen Sie die Cisco Control Hub-Metadaten kopieren und in die IdP-Einrichtung einfügen.

Um die SSO-Anmeldung direkt anzuzeigen, können Sie auch auf URL in die Zwischenablage kopieren von diesem Bildschirm aus klicken und in ein privates Browserfenster einfügen. Von dort aus können Sie sich mit SSO anmelden. Bei diesem Schritt werden die falschen Positives aufgrund eines Zugriffstokens, das sich möglicherweise in einer bestehenden Sitzung von Ihrer angemeldeten Sitzung bewegt, beendet.

4

Kehren Sie zur Registerkarte Control Hub im Browser zurück.

  • Wenn der Test erfolgreich war, wählen Sie Erfolgreicher Test aus. Aktivieren Sie SSO , und klicken Sie auf Weiter.
  • Wenn der Test nicht erfolgreich war, wählen Sie Nicht erfolgreich aus. Deaktivieren Sie SSO , und klicken Sie auf Weiter.

Die SSO-Konfiguration wird in Ihrer Organisation erst wirksam, wenn Sie die erste Option Optionsschaltfläche wählen und diese SSO.

Nächste Schritte

Verwenden Sie die Verfahren zum Synchronisieren von Okta-Benutzern in Cisco Webex Control Hub, wenn Sie die Benutzerbereitstellung über Okta in der Webex-Cloud tun möchten.

Verwenden Sie die Verfahren zum Synchronisieren von Azure Active Directory-Benutzern in Cisco Webex Control Hub , wenn Sie die Benutzerbereitstellung von Azure AD in der Webex-Cloud tun möchten.

Sie können das Verfahren unter Automatisierte E-Mails unterdrücken befolgen, um E-Mails zu deaktivieren, die an neue Webex-App-Benutzer in Ihrer Organisation gesendet werden. Das Dokument enthält außerdem bewährte Methoden zum Senden von Mitteilungen an Benutzer in Ihrer Organisation.