Gracias por sus comentarios.

Inicie sesión en Control Hub.

Vaya a Administración > Seguridad > Autenticación.

Vaya a la ficha Proveedor de identidad y haga clic en Activar SSO.

Seleccione un IdP.

Elija el tipo de certificado para su organización:

• Autofirmado por Cisco: recomendamos esta opción. Permítanos firmar el certificado para que solo necesite renovarlo una vez cada cinco años.
• Firmado por una autoridad de certificación pública: más seguro, pero necesitará actualizar con frecuencia los metadatos (a menos que su proveedor de IdP admita anclajes de confianza).

Descargue el archivo de metadatos.

Vaya al directorio /opt/shibboleth-idp/conf para acceder a los archivos de ejemplo.

Decida qué método de autorización usar, por ejemplo, enlace LDAP. Active Directory

Edite el archivo handler.xml de la siguiente manera:

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>

Complete sus datos Active Directory para permitir la autenticación. Proporcione la configuración al archivo login.config.

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Agregue el archivo que descargó del SP de Webex al directorio /opt/shibboleth-idp/metadata.

Edite el archivo relying-party.xml; después de la etiqueta DefaultRelyingParty, agregue los detalles de la aserción SAML para Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

Dentro de la etiqueta Metadata:MetadataProvider, agregue la ubicación del archivo:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

En la sección Conector de datos, especifique dónde recuperar los atributos de sus usuarios.

Active Directory, con una identificación de MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>

En la sección Definición de atributo, mantenga lo que ya está en la configuración para TransientID.

Agregue el atributo adicional que espera el SP y defina a qué se asigna en el origen del atributo.

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>

Defina qué atributo proporcionar a cada acuerdo SP en el archivo attribute-filter.xml.

Libere el atributo uid al acuerdo SP con Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

La regla que creó en attribute-resolver.xml debe tener una política para liberar el atributo mail-attr al entityId que coincida con Webex.

Descargue el archivo de metadatos del servidor Shibboleth en /opt/shibboleth-idp/metadata. El nombre del archivo es idp-metadata.xml.

Elija uno:

• Vuelva a la página de selección de certificados de Control Hub en su navegador y, a continuación, haga clic en Siguiente.
• Vuelva a abrir Control Hub si ya no está abierto en la pestaña de su navegador. Desde la vista del cliente en Control Hub, vaya a Administración > Seguridad > Autenticación, seleccione el IdP y, a continuación, elija Acciones > Importar metadatos.

En la página Importar metadatos de IdP, arrastre y suelte el archivo de metadatos del IdP en la página o utilice la opción del explorador de archivos para localizar y cargar el archivo de metadatos . Haga clic en Siguiente.

Seleccione Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión.

Vuelva a la pestaña del navegador Control Hub.

• Si la prueba fue exitosa, seleccione Prueba exitosa. Active el inicio de sesión único y haga clic en Siguiente.
• Si la prueba no tuvo éxito, seleccione Prueba fallida. Desactive el SSO y haga clic en Siguiente.