Desde la vista del cliente enhttps://admin.webex.com ir a Gestión > Configuración de la organización y luego desplácese hasta Autenticación y luego active el Inicio de sesión único configuración para iniciar el asistente de configuración.

Elija el tipo de certificado para su organización:

• Autofirmado por Cisco —Recomendamos esta opción. Permítanos firmar el certificado para que solo tenga que renovarlo una vez cada cinco años.
• Firmado por una autoridad de certificación pública —Más seguro, pero deberá actualizar con frecuencia los metadatos (a menos que su proveedor de IdP admita anclajes de confianza).

Los anclajes de confianza son claves públicas que actúan como una autoridad para verificar el certificado de una firma digital. Para obtener más información, consulte la documentación de su IdP.

Descargue el archivo de metadatos.

Diríjase al directorio /opt/shibboleth-idp/conf para acceder a los archivos de ejemplo.

Decida qué método de autorización se usará, por ejemplo: enlace LDAP a Active Directory.

Edite el archivo handler.xml de la siguiente manera:

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>

Complete los detalles de su Active Directory para permitir la autenticación. Proporcione la configuración para el archivo login.config.

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Agregue el archivo que descargó del SP de Webex al directorio /opt/shibboleth-idp/metadatos.

Editar el relying-party.xml; después de la etiqueta DefaultRelyingParty, agregue los detalles de la aserción SAML para Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

Dentro de la etiqueta metadata:MetadataProvider, agregue la ubicación del archivo:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

En la sección de Conectores de datos, especifique dónde se recuperarán los atributos sobre sus usuarios.

Active Directory, con un id de MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>

En la sección de Definición de atributos, no haga cambios en la configuración correspondiente a transientID.

Agregue el atributo adicional que está esperando SP, y defina a qué elemento se asigna en el origen del atributo.

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>

Defina qué atributo se proporcionará a cada acuerdo de SP en el archivo attribute-filter.xml.

Libere el atributo uid al acuerdo de SP con Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

La regla que creó en attribute-resolver.xml debería tener una política para liberar el atributo mail-attr al EntityID que coincida con Webex.

Descargue el archivo de metadatos del servidor Shibboleth en /opt/shibboleth-idp/metadata. El nombre del archivo es idp-metadata.xml.

Elija una opción:

• Regrese a Control Hub - página de selección de certificado en su navegador, y luego haga clic en Siguiente .
• Si Control Hub ya no está abierto en la pestaña del navegador, desde la vista del cliente enhttps://admin.webex.com ir a Gestión > Configuración de la organización , desplácese hasta Autenticación y luego elija Acciones > Importar metadatos .

En la página Importar metadatos del IdP, arrastre y suelte el archivo de metadatos del IdP a la página o utilice la opción para examinar archivos y localizar y cargar el archivo de metadatos. Haga clic en Siguiente.

Deberías usar el Más seguro opción, si puede. Esto solo es posible si su IdP utilizó una CA pública para firmar sus metadatos.

En todos los demás casos, debe utilizar el Menos seguro opción. Esto incluye si los metadatos no están firmados, autofirmados o firmados por una CA privada.

Okta no firma los metadatos, por lo que debe elegir Menos seguro para una integración de SSO de Okta.

Seleccionar Probar la configuración de SSO , y cuando se abra una nueva pestaña del navegador, autentíquese con el IdP iniciando sesión.

Si recibe un error de autenticación, es posible que haya un problema con las credenciales. Controle el nombre de usuario y la contraseña e inténtelo nuevamente. Un error de la aplicación Webex generalmente significa un problema con la configuración de SSO . En este caso, repita los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP.

Para ver la experiencia de inicio de sesión de SSO directamente, también puede hacer clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. Desde allí, puede iniciar sesión con SSO. Este paso detiene los falsos positivos debido a un token de acceso que podría estar en una sesión existente cuando usted inició sesión.

Vuelva a la ficha del navegador de Control Hub.

• Si la prueba fue exitosa, seleccione Prueba exitosa. Activar SSO y haga clic en Siguiente .
• Si la prueba no tuvo éxito, seleccione Prueba fallida. Desactivar SSO y haga clic en Siguiente .

La configuración de SSO no tiene efecto en su organización a menos que elija el primer botón de radio y active SSO.