- Inicio
- /
- Artículo
Gracias por sus comentarios.
En este artículo
¿Comentarios?Puede configurar una integración de inicio de sesión único (SSO) entre Control Hub y una implementación que utiliza F5 Big-IP como proveedor de identidad (IdP).
Inicio de sesión único y centro de control
El inicio de sesión único (SSO) es un proceso de autenticación de sesión o usuario que permite a un usuario proporcionar credenciales para acceder a una o más aplicaciones. El proceso autentica a los usuarios para todas las aplicaciones a las que se les otorgan derechos. Elimina más indicaciones cuando los usuarios cambian de aplicación durante una sesión en particular.
El protocolo de federación del lenguaje de marcado de aserción de seguridad (SAML 2.0) se utiliza para proporcionar autenticación SSO entre la nube de Webex y su proveedor de identidad (IdP).
Perfiles
La aplicación Webex solo admite el perfil SSO del navegador web. En el perfil SSO del navegador web, Webex App admite los siguientes binomios:
-
SP inició el enlace POST -> POST
-
SP inició el enlace REDIRECT -> POST
Formato NameID
El protocolo SAML 2.0 admite varios formatos de NameID para comunicarse sobre un usuario específico. La aplicación Webex admite los siguientes formatos de NameID.
-
urn:oasis:names:tc:SAML:2.0:nameid-format:transient -
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified -
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
En los metadatos que carga desde su IdP, la primera entrada está configurada para su uso en Webex.
Sale de sesión único
La aplicación Webex admite el perfil de cierre de sesión único. En la aplicación Webex, un usuario puede cerrar sesión en la aplicación, que utiliza el protocolo de cierre de sesión único SAML para finalizar la sesión y confirmar ese cierre de sesión con su IdP. Asegúrese de que su IdP esté configurado para SingleLogout.
Integre el concentrador de control con F5 Big-IP
Las guías de configuración muestran un ejemplo específico para la integración de SSO, pero no proporcionan una configuración exhaustiva para todas las posibilidades. Por ejemplo, los pasos de integración nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transientestán documentados. Otros formatos, como urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddressfuncionarán para la integración de SSO, pero están fuera del alcance de nuestra documentación.
Configure esta integración para los usuarios de su organización Webex (incluida Webex App y otros servicios administrados en Control Hub). Webex Meetings Si su sitio de Webex está integrado en Control Hub, el sitio de Webex hereda la administración de usuarios. Si no puede acceder Webex Meetings de esta manera y no se administra en Control Hub, debe realizar una integración separada para Webex Meetings habilitar el SSO.
Antes de comenzar
Para SSO y Control Hub, los IDP deben cumplir con la especificación SAML 2.0. Además, los IDP deben configurarse de la siguiente manera:
Descargue los metadatos de Webex a su sistema local
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la ficha Proveedor de identidad y haga clic en Activar SSO. |
| 4 |
Seleccione un IdP. |
| 5 |
Elija el tipo de certificado para su organización:
Los anclajes de confianza son claves públicas que actúan como una autoridad para verificar el certificado de una firma digital. Para obtener más información, consulte la documentación de su IdP. |
| 6 |
Descargue el archivo de metadatos. <org-ID>El nombre de archivo de metadatos de Webex es idb-meta- -SP.xml. |
Configurar el proveedor de servicios externos y el proveedor de identidad
| 1 |
|
| 2 |
En Conectores SP externos, seleccione . |
| 3 |
Escriba un nombre significativo para el nombre del proveedor de servicios, tal como .ciscowebex.com<yourorganizationname>. |
| 4 |
En Configuración de seguridad, marque las siguientes casillas de verificación:
|
| 5 |
Vuelva a y, a continuación, cree un nuevo servicio de proveedor de identidad (IdP). |
| 6 |
Escriba un nombre significativo para el nombre del servicio IdP, como CI. |
| 7 |
Para el Id. de entidad de IdP, utilice el FQDN del servidor de IP grande con algo delante, por ejemplo, https://bigip0a.uc8sevtlab13.com/CI. |
| 8 |
En Configuración de aserción, seleccione Identificador transitorio para el tipo de asunto de aserción. |
| 9 |
Para el valor del asunto de la afirmación, devuelva el valor del correo electrónico del usuario% {session.ad.last.attr.mail}. |
| 10 |
Devolver los atributos mail y uid con el valor% {session.ad.last.attr.mail}. |
| 11 |
En Configuración de seguridad, elija un certificado para firmar la afirmación. |
| 12 |
Guarde sus cambios y luego vincule al proveedor de servicios y al proveedor de identidad que creó. |
Descargue los metadatos F5 Big-IP
| 1 |
Seleccione Exportar servicio IDP. |
| 2 |
Asegúrese de que el valor Sign Metadata sea Sí. |
| 3 |
Descargue el archivo de metadatos en su escritorio o en una ubicación que sea fácil de encontrar. |
Agregar una política de acceso
| 1 |
Vaya a Política de acceso > Perfiles de acceso > SAML y cree un recurso SAML para el IdP que creó. |
| 2 |
Vaya a su perfil de acceso y edite la política de acceso que utiliza para WebEx Messenger CAS. |
| 3 |
Agregue un nuevo elemento en la ficha Inicio de sesión con el nombre Página de inicio de sesión y deje los valores predeterminados. |
| 4 |
Agregue un nuevo elemento en la pestaña Autenticación con el nombre AD Auth y especifique su nombre Active Directory como servidor. |
| 5 |
En la rama correcta, agregue AD Query desde la ficha Autenticación |
| 6 |
Vaya a las Reglas de la sucursal y cambie a AD La consulta está aprobada. |
| 7 |
En la rama exitosa de AD Query, agregue Asignación avanzada de recursos en la pestaña Asignación. |
| 8 |
Haga clic en Agregar/Eliminar y agregue dos recursos SAML con todos los recursos SAML y el Webtop que creó. |
| 9 |
Para Seleccionar finalización, seleccione Permitir. La política de acceso debería verse como esta captura de pantalla: 
|
Asociar el perfil de acceso con el servidor virtual
Debe asociar el perfil de acceso con el servidor virtual que creó.
| 1 |
Vaya a . |
| 2 |
Abrir perfiles de acceso para confirmar que no hay ningún servidor virtual asociado al perfil. |
| 3 |
Seleccione Asignación avanzada de recursos. |
| 4 |
Seleccione Agregar o eliminar para agregar el nuevo recurso SAML. |
| 5 |
Cierre las ventanas de diseño de la Política de acceso y aplique la nueva política de acceso. |
Importe los metadatos del IdP y habilite el inicio de sesión único después de una prueba
Después de exportar los metadatos de Webex, configurar su IdP y descargar los metadatos del IdP a su sistema local, estará listo para importarlos a su organización Webex desde Control Hub.
Antes de comenzar
No pruebe la integración de SSO desde la interfaz del proveedor de identidad (IdP). Solo admitimos flujos iniciados por el proveedor de servicios (iniciados por SP), por lo que debe usar la prueba de SSO de Control Hub para esta integración.
| 1 |
Elija uno:
|
| 2 |
En la página Importar metadatos de IdP, arrastre y suelte el archivo de metadatos del IdP en la página o utilice la opción del explorador de archivos para localizar y cargar el archivo de metadatos . Haga clic en Siguiente.
Debería usar la opción Más seguro, si puede. Esto solo es posible si su IdP usó una CA pública para firmar sus metadatos. En todos los demás casos, debe usar la opción Menos seguro. Esto incluye si los metadatos no están firmados, autofirmados o firmados por una CA privada. Okta no firma los metadatos, por lo que debe elegir Menos seguro para una integración de Okta SSO. |
| 3 |
Seleccione Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión. Si recibe un error de autenticación, puede haber un problema con las credenciales. Compruebe el nombre de usuario y la contraseña e inténtelo de nuevo. Un error de Webex App generalmente significa un problema con la configuración del SSO. En este caso, vuelva a seguir los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP. Para ver directamente la experiencia de inicio de sesión de SSO, también puede hacer clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. A partir de ahí, puede iniciar sesión con SSO. Este paso detiene los falsos positivos debido a un token de acceso que podría estar en una sesión existente al iniciar sesión . |
| 4 |
Vuelva a la pestaña del navegador Control Hub.
La configuración de SSO no tiene efecto en su organización a menos que elija el primer botón de radio y active el SSO. |
Qué hacer a continuación
Utilice los procedimientos de Sincronizar usuarios de Okta en Cisco Webex Control Hub si desea realizar el aprovisionamiento de usuarios de Okta a la nube de Webex.
Utilice los procedimientos de Sincronizar usuarios de Microsoft Entra ID Cisco Webex Control Hub si desea realizar el aprovisionamiento de usuarios desde Entra ID en la nube de Webex.
Puede seguir el procedimiento de Suprimir correos electrónicos automatizados para deshabilitar los correos electrónicos que se envían a nuevos usuarios de Webex App en su organización. El documento también contiene las mejores prácticas para enviar comunicaciones a los usuarios de su organización.
