Ändern der Single Sign-On-Authentifizierung in Control Hub

Vorbereitungen

Stellen Sie sicher, dass die folgenden Vorbedingungen erfüllt werden:

  • SSO ist bereits konfiguriert. Informationen zur Verwendung des SSO-Konfigurationsassistenten finden Sie unter Single Sign-On-Integration in Control Hub.

  • Die Domänen wurden bereits verifiziert.

  • Die Domänen sind beansprucht und aktiviert. Diese Funktion stellt sicher, dass Benutzer aus Ihrer Domäne bei jeder Authentifizierung bei Ihrem IdP einmal erstellt und aktualisiert werden.

  • Wenn DirSync oder Entra ID aktiviert sind, funktioniert das Erstellen oder Aktualisieren von SAML JIT nicht.

  • "Block Benutzerprofil Aktualisierung" ist aktiviert. SAML Update Mapping (SAML-Aktualisierungszuordnung) ist zulässig, da diese Konfiguration die Möglichkeit des Benutzers steuert, die Attribute zu bearbeiten. Vom Administrator kontrollierte Methoden der Erstellung und Aktualisierung werden weiterhin unterstützt.

Neu erstellte Benutzer erhalten lizenzen nicht automatisch, es sei denn, das Unternehmen hat eine automatische Lizenzvorlage eingerichtet.

Die Benutzerbereitstellung für die SAML-JIT-Bereitstellung von Gruppen ist auf nur eine einzige Gruppe beschränkt.

Just-in-Time (JIT) und SAML-Mapping konfigurieren
1

Melden Sie sich bei Control Hub an.

2

Gehe zu Management > Sicherheit > Authentifizierung.

3

Gehen Sie zur Registerkarte Identitätsanbieter.

4

Gehen Sie zum IdP und klicken Sie auf Menü „Mehr“.

5

Wählen Sie SAML-Zuordnung bearbeitenaus.

6

Konfigurieren Sie Just-in-Time (JIT)-Einstellungen.

  • Benutzer erstellen oder aktivieren: Wenn kein aktiver Benutzer gefunden wird, erstellt Webex Identity den Benutzer und aktualisiert die Attribute, nachdem sich der Benutzer beim IdP authentifiziert hat.
  • Benutzer mit SAML-Attributen aktualisieren: Wenn ein Benutzer mit E-Mail-Adresse gefunden wird, aktualisiert Webex Identity den Benutzer mit den in der SAML-Assertion zugeordneten Attributen.
Bestätigen Sie, dass sich Benutzer mit einer anderen, nicht identifizierbaren E-Mail-Adresse anmelden können.

7

Konfigurieren Sie die erforderlichen Attribute der SAML-Zuordnung.

Tabelle 1. Erforderliche Attribute

Webex-Identitätsattributname

SAML-Attributname

Attributbeschreibung

Benutzername/Primäre E-Mail-Adresse

Beispiel: Uid

Ordnen Sie das UID-Attribut der angegebenen E-Mail-Adresse des Benutzers, UPN oder edupersonprincipalname zu.

8

Konfigurieren Sie die Verknüpfungsattribute.

Dies sollte für den Benutzer eindeutig sein. Es wird verwendet, um einen Benutzer nachzuschlagen, damit Webex alle Profilattribute, einschließlich der E-Mail-Adresse eines Benutzers, aktualisieren kann.
Tabelle 2. Attribute verknüpfen

Webex-Identitätsattributname

SAML-Attributname

Attributbeschreibung

externe ID

Beispiel: user.objectid

Um diesen Benutzer über andere Einzelprofile zu identifizieren. Das ist nötig bei der Zuordnung zwischen Verzeichnissen oder beim Ändern anderer Profilattribute.

Erweiterungsattribut 1

Beispiel: user.extensionattribute1

Ordnen Sie diese benutzerdefinierten Attribute für Tracking-Codes erweiterten Attributen in Entra ID oder Ihrem Verzeichnis zu.

Erweiterungsattribut 2

Beispiel: user.extensionattribute2

Erweiterungsattribut 3

Beispiel: user.extensionattribute3

Erweiterungsattribut 4

Beispiel: Benutzer.Erweiterungsattribut4

Erweiterungsattribut 5

Beispiel: user.extensionattribute5

9

Konfigurieren Sie Profilattribute.

Tabelle 3. Profilattribute

Webex-Identitätsattributname

SAML-Attributname

Attributbeschreibung

externe ID

Beispiel: user.objectid

Um diesen Benutzer über andere Einzelprofile zu identifizieren. Das ist nötig bei der Zuordnung zwischen Verzeichnissen oder beim Ändern anderer Profilattribute.

preferredLanguage

Beispiel: user.preferredsprache

Die bevorzugte Sprache des Benutzers.

locale

Beispiel: user.locale

Der primäre Arbeitsstandort des Benutzers.

timezone

Beispiel: user.zeitzone

Die primäre Zeitzone des Benutzers.

displayName

Beispiel: user.displayname

Der Anzeigename des Benutzers in Webex.

name.givenName

Beispiel: user.givenname

Der Vorname des Benutzers.

name.familyName

Beispiel: Benutzer. Nachname

Der Nachname des Benutzers.

Adressen.streetAddress

Beispiel: user.streetaddress

Die Postanschrift des primären Arbeitsstandorts.

Adressen.Ort

Beispiel: Benutzer.OrtDer Ort des primären Arbeitsstandorts.

Adressen.Region

Beispiel: Benutzer.Region

Die Region des primären Arbeitsstandorts.

Adressen.postalCode

Beispiel: user.postalcode

Die Postleitzahl des primären Arbeitsstandorts.

Adressen.Land

Beispiel: Benutzer.Land

Das Land des primären Arbeitsstandorts.

phoneNumbers.work

Beispiel: Telefonnummer (arbeit)

Die geschäftliche Telefonnummer des primären Arbeitsstandorts. Verwenden Sie nur das internationale E.164-Format (maximal 15 Ziffern).

phoneNumbers.extension

Beispiel: Durchwahl Telefonnummer

Die geschäftliche Durchwahl der primären geschäftlichen Telefonnummer. Verwenden Sie nur das internationale E.164-Format (maximal 15 Ziffern).

phoneNumbers.mobile

Beispiel: MobiltelefonnummerDie Mobiltelefonnummer des primären Arbeitsstandorts. Verwenden Sie nur das internationale E.164-Format (maximal 15 Ziffern).

title

Beispiel: user.jobtitle

Die Position des Benutzers.

abteilung

Beispiel: Benutzer.Abteilung

Die Arbeitsabteilung oder das Team des Benutzers.

E-Mails.ArbeitBeispiel: geschäftliche E-MailsDie geschäftlichen E-Mails des Benutzers.
OrganisationBeispiel: Benutzer.OrganisationDie Organisations-ID des Benutzers
10

Konfigurieren Sie Gruppenattribute.

  1. Erstellen Sie eine Gruppe im Control Hub und notieren Sie sich die Webex-Gruppen-ID.
  2. Gehen Sie zu Ihrem Benutzerverzeichnis oder IdP und richten Sie ein Attribut für Benutzer ein, denen die Webex-Gruppen-ID zugewiesen wird.
  3. Aktualisieren Sie die Konfiguration Ihres IdP, um einen Anspruch einzuschließen, der diesen Attributnamen zusammen mit der Webex-Gruppen-ID enthält (z. B. c65f7d85-b691-42b8-a20b-12345xxxx). Sie können die externe ID auch zum Verwalten von Änderungen an Gruppennamen oder für zukünftige Integrationsszenarien verwenden. Beispielsweise die Synchronisierung mit Entra ID oder die Implementierung der SCIM-Gruppensynchronisierung.
  4. Geben Sie den genauen Namen des Attributs an, das in der SAML-Assertion mit der Gruppen-ID gesendet wird. Dies wird verwendet, um den Benutzer zu einer Gruppe hinzuzufügen.
  5. Geben Sie den genauen Namen der externen ID des Gruppenobjekts an, wenn Sie eine Gruppe aus Ihrem Verzeichnis verwenden, um Mitglieder in der SAML-Assertion zu senden.

Wenn Benutzer A mit groupID 1234 und Benutzer B mit groupID 4567 verknüpft ist, werden sie separaten Gruppen zugewiesen. Dieses Szenario zeigt, dass ein einzelnes Attribut es Benutzern ermöglicht, sich mit mehreren Gruppen-IDs zu verknüpfen. Dies kommt zwar selten vor, ist jedoch möglich und kann als additive Änderung betrachtet werden. Meldet sich beispielsweise Benutzer A zunächst mit groupID 1234 an, wird er Mitglied der entsprechenden Gruppe. Meldet sich Benutzer A später mit groupID 4567 an, wird er ebenfalls dieser zweiten Gruppe hinzugefügt.

Die SAML-JIT-Bereitstellung unterstützt nicht das Entfernen von Benutzern aus Gruppen oder das Löschen von Benutzern.

Tabelle 4. Gruppenattribute

Webex-Identitätsattributname

SAML-Attributname

Attributbeschreibung

Gruppen-ID

Beispiel: Gruppen-ID

Ordnen Sie Gruppenattribute von IdP den Webex-Identitätsgruppen-Attributen zu, um den Benutzer einer Gruppe für eine Lizenzierung oder den Einstellungsdienst zuzuordnen.

groupexternalId

Beispiel: groupexternalId

Ordnen Sie Gruppenattribute von IdP den Webex-Identitätsgruppen-Attributen zu, um den Benutzer einer Gruppe für eine Lizenzierung oder den Einstellungsdienst zuzuordnen.

Eine Liste der SAML-Assertion-Attribute für Webex Meetings finden Sie unter https://help.webex.com/article/WBX67566.