Einmalige Anmeldung und Control Hub

Wechseln Sie aus der Kundenansicht in zu Management > Organisationseinstellungen und blättern Sie zu Authentifizierung und aktivieren Sie die Einstellung Einmalige Anmeldung, um den Einrichtungsassistenten https://admin.webex.com zu starten.

Wählen Sie den Zertifikattyp für Ihre Organisation aus:

• Selbstsigniertes von Cisco– Diese Auswahl wird empfohlen. Unterzeichnen Sie das Zertifikat, damit Sie es nur alle fünf Jahre erneuern müssen.
• Von einer öffentlichen Zertifizierungsstelle signiert – Sicherer, aber Sie müssen häufig die Metadaten aktualisieren (sofern Ihr IdP-Anbieter keineVertrauensanker unterstützt).

Vertrauensanker sind öffentliche Schlüssel, die als Berechtigung fungieren, das Zertifikat einer digitalen Signatur zu überprüfen. Weitere Informationen finden Sie in Ihrer IdP-Dokumentation.

Laden Sie die Metadatendatei herunter.

Melden Sie sich am ADFS-Server mit Administratorberechtigungen an.

Öffnen Sie die ADFS-Managementkonsole und navigieren Sie zu Vertrauensstellungen > Vertrauensstellungen der vertrauenden Seite > Vertrauensstellung der vertrauenden Seite hinzufügen.

Wählen Sie im Fenster Add Relying Party Trust WizardStart.

Wählen Sie für Datenquelle auswählen die Option Daten zur vertrauenden Seite aus Datei importieren aus , navigieren Sie zu der Control Hub-Metadatendatei, die Sie heruntergeladen haben, und wählen Sie Weiter aus.

Erstellen Sie für Anzeigename angeben einen Anzeigenamen für diese Vertrauensstellung der vertrauenden Seite, z. B. Webex, und wählen Sie Weiteraus.

Wählen Sie für Ausstellungsautorisierungsregeln wählen die Option Allen Benutzern den Zugriff auf diese vertrauende Seite erlauben aus und wählen Sie Weiter aus.

Wählen Sie für Bereit zum Hinzufügen der Vertrauensstellung die Option Weiter aus und schließen Sie das Hinzufügen der vertrauenden Seite zu ADFS ab.

Wählen Sie im ADFS-Hauptbereich die von Ihnen erstellte Vertrauensstellung aus und wählen Sie anschließend Anspruchsregeln bearbeiten. Wählen Sie auf der Registerkarte „Ausstellungstransformationsregeln“ Regel hinzufügen.

Wählen Sie im Schritt „Regeltyp auswählen“ LDAP-Attribute als Ansprüche senden und klicken Sie dann auf Weiter.

1. Geben Sie einen Anspruchsregelnamen ein.

2. Wählen Sie Active Directory als Attributspeicher.

3. Ordnen Sie dem uid-Typ des ausgehenden Anspruchs das LDAP-Attribut E-Mail-Adressen zu.

   Diese Regel gibt ADFS an, welche Felder zur Identifizierung eines Benutzers Webex zuordnen werden müssen. Buchstabieren Sie die Typen der ausgehenden Ansprüche genau wie dargestellt.

4. Speichern Sie Ihre Änderungen.

Wählen Sie erneut Regel hinzufügen, Ansprüche mit einer benutzerdefinierten Regel senden und dann Weiter.

1. Öffnen Sie Ihren Texteditor und kopieren Sie den folgenden Inhalt.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Ersetzen Sie URL1 und URL2 im Text wie folgt:

   • URL1 ist die entityID aus der heruntergeladenen ADFS-Metadatendatei.

     Ihnen wird ein Wert ähnlich des folgenden Texts angezeigt: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Kopieren Sie nur die entityID aus der ADFS-Metadatendatei und fügen Sie sie an der Stelle von URL1 in die Textdatei ein.

   • URL2 befindet sich in der ersten Zeile der heruntergeladenen Webex-Metadatendatei.

     Ihnen wird ein Wert ähnlich des folgenden Texts angezeigt: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Kopieren Sie nur die entityID aus der Webex-Metadatendatei und fügen Sie sie an der Stelle von URL2 in die Textdatei ein.

2. Kopieren Sie die Regel aus Ihrem Text-Editor mit den aktualisierten URLs (beginnend bei „c:“) und fügen Sie sie in das Feld „Benutzerdefinierte Regel“ auf Ihrem ADFS-Server ein.

   Die vervollständigte Regel sollte ungefähr so aussehen:

   

3. Wählen Sie zum Erstellen der Regel Fertigstellen und schließen Sie anschließend das Fenster „Anspruchsregeln bearbeiten“.

Wählen Sie im Hauptfenster Vertrauensstellung der vertrauenden Seite und klicken Sie anschließend rechts auf Eigenschaften.

Wenn das Fenster „Eigenschaften“ angezeigt wird, navigieren Sie zur Registerkarte Erweitert und zu SHA-256 und wählen Sie dann OK, um Ihre Änderungen zu speichern.

Öffnen Sie die folgende URL auf dem internen ADFS-Server, um die Datei herunterzuladen: https://AD__FS-Server>/FederationMetadata/2007-06/FederationMetadata.xml

Sie müssen möglicherweise mit der rechten Maustaste auf die Seite klicken und die Seitenquelle anzeigen, damit Sie die korrekt formatierte XML-Datei erhalten.

Speichern Sie die Datei auf Ihrem lokalen Computer.

Wählen Sie eine Option:

• Kehren Sie in Ihrem Browser zur Control Hub – Zertifikatsauswahlseite zurück und klicken Sie auf Weiter.
• Wenn Control Hub in der Browserregisterkarte nicht mehr geöffnet ist, wechseln Sie aus der Kundenansicht in zu Management > Organisationseinstellungen , scrollen Sie zu Authentifizierung und wählen Sie Aktionen > Metadaten importieren https://admin.webex.comaus.

Ziehen Sie die idP-Metadatendatei auf der Idp-Metadatenimportseite entweder per Drag & Drop auf die Seite oder verwenden Sie den Dateibrowser, um zur Metadatendatei zu navigieren und sie hochzuladen. Klicken Sie auf Weiter.

Wählen Sie test SSO-Einrichtung aus und authentifizieren Sie sich beimIdP, wenn sich eine neue Browser-Registerkarte öffnet.

Wenn Sie einen Authentifizierungsfehler erhalten, kann es ein Problem mit den Anmeldeinformationen geben. Überprüfen Sie Nutzernamen und Passwort und versuchen Sie es erneut. Ein Fehler in der Webex-App bedeutet in der Regel ein Problem mit der SSO Einrichtung. Gehen Sie in diesem Fall erneut die Schritte durch, insbesondere die Schritte, in denen Sie die Cisco Control Hub-Metadaten kopieren und in die IdP-Einrichtung einfügen.

Um den anmeldebasierten SSO können Sie von diesem Bildschirm aus auch auf URL in Zwischenablage kopieren klicken und ihn in ein privates Browserfenster einfügen. Von dort aus können Sie sich mit Ihrem Neuen SSO. Bei diesem Schritt werden die falschen Positives aufgrund eines Zugriffstokens, das sich möglicherweise in einer bestehenden Sitzung von Ihrer angemeldeten Sitzung bewegt, beendet.

Kehren Sie zur Registerkarte Control Hub im Browser zurück.

• Wenn der Test erfolgreich war, wählen Sie Erfolgreicher Test aus. Aktivieren Sie SSO, und klicken Sie auf Weiter.
• Wenn der Test nicht erfolgreich war, wählen Sie Nicht erfolgreich aus. Deaktivieren Sie SSO, und klicken Sie auf Weiter.

Die SSO-Konfiguration wird in Ihrer Organisation erst wirksam, wenn Sie die erste Option Optionsschaltfläche aktivieren und SSO.

Melden Sie sich am AD FS-Server mit Administratorberechtigungen an.

Laden Sie die SAML-Metadatendatei von Webex in einen temporären lokalen Ordner auf dem AD FS-Server hoch, z. B. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml definiert.

Öffnen Sie Powershell.

Ausführen Get-AdfsRelyingPartyTrust um alle Vertrauensstellungen der vertrauenden Partei zu lesen.

Ausführen Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex" definiert.

Ersetzen Sie den Dateinamen und den Namen des Ziels durch die richtigen Werte aus Ihrer Umgebung.

Siehe .https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust

Wenn Sie das Webex SP 5-Jahreszertifikat heruntergeladen und die Sperrung von Signier- oder Verschlüsselungszertifikat aktiviert haben, müssen Sie die folgenden beiden Befehle ausführen: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None definiert.

Melden Sie sich bei Control Hub an und testen Sie die SSO-Integration:

1. Gehen Sie zu Management > Organisationseinstellungen , blättern Sie zu Authentifizierung und aktivieren Sie die Einstellung Single Sign-On, um den Konfigurationsassistenten zu starten.

2. Klicken Sie auf Weiter, um die Seite zum Importieren der IdP-Metadaten zu überspringen.

   Sie müssen diesen Schritt nicht wiederholen, weil Sie die IdP-Metadaten bereits zuvor importiert haben.

3. Testen Sie die SSO-Verbindung, bevor Sie sie aktivieren. Dieser Schritt funktioniert wie ein Trockenlauf und wirkt sich nicht auf Ihre Organisationseinstellungen aus, bis Sie SSO nächsten Schritt aktivieren.

   Um den anmeldebasierten SSO können Sie von diesem Bildschirm aus auch auf URL in Zwischenablage kopieren klicken und ihn in ein privates Browserfenster einfügen. Von dort aus können Sie sich mit Ihrem Neuen SSO. Auf diese Weise können Sie alle in Ihrem Webbrowser zwischengespeicherten Informationen entfernen, die beim Testen Ihrer Browserkonfiguration zu einem falschen SSO führen könnten.

4. Melden Sie sich an, um den Test abzuschließen.