- Inicio
- /
- Artículo
Gracias por sus comentarios.
En este artículo
¿Comentarios?Puede configurar una integración de inicio de sesión único (SSO) entre una organización cliente de Control Hub y una implementación que utilice Microsoft Entra ID como proveedor de identidad (IdP).
Inicio de sesión único y centro de control
El inicio de sesión único (SSO) es un proceso de autenticación de sesión o usuario que permite a un usuario proporcionar credenciales para acceder a una o más aplicaciones. El proceso autentica a los usuarios para todas las aplicaciones a las que se les otorgan derechos. Elimina más indicaciones cuando los usuarios cambian de aplicación durante una sesión en particular.
El protocolo de federación del lenguaje de marcado de aserción de seguridad (SAML 2.0) se utiliza para proporcionar autenticación SSO entre la nube de Webex y su proveedor de identidad (IdP).
Perfiles
La aplicación Webex solo admite el perfil SSO del navegador web. En el perfil SSO del navegador web, Webex App admite los siguientes binomios:
-
SP inició el enlace POST -> POST
-
SP inició el enlace REDIRECT -> POST
Formato NameID
El protocolo SAML 2.0 admite varios formatos de NameID para comunicarse sobre un usuario específico. La aplicación Webex admite los siguientes formatos de NameID.
-
urn:oasis:names:tc:SAML:2.0:nameid-format:transient -
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified -
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
En los metadatos que carga desde su IdP, la primera entrada está configurada para su uso en Webex.
Integre Control Hub con Microsoft Entra ID
Webex solo admite un IdP para cada solicitud de autenticación. El flujo de autenticación es el siguiente: Usuario > Autenticación de Webex > IdP 1 > Autenticación de Webex > Usuario. Esto significa que si bien diferentes usuarios pueden autenticarse usando diferentes IDP, un usuario no puede cambiar entre varios IDP durante un solo proceso de autenticación. Cualquier paso adicional, como MFA, debe integrarse con el único IdP utilizado para esa solicitud en particular.
Las guías de configuración muestran un ejemplo específico para la integración de SSO, pero no proporcionan una configuración exhaustiva para todas las posibilidades. Por ejemplo, los pasos de integración nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transientestán documentados. Otros formatos, como urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddressfuncionarán para la integración de SSO, pero están fuera del alcance de nuestra documentación.
Configure esta integración para los usuarios de su organización Webex (incluida Webex App y otros servicios administrados en Control Hub). Webex Meetings Si su sitio de Webex está integrado en Control Hub, el sitio de Webex hereda la administración de usuarios. Si no puede acceder Webex Meetings de esta manera y no se administra en Control Hub, debe realizar una integración separada para Webex Meetings habilitar el SSO.
Antes de comenzar
Para SSO y Control Hub, los IDP deben cumplir con la especificación SAML 2.0. Además, los IDP deben configurarse de la siguiente manera:
- En Entra ID, el aprovisionamiento solo se admite en modo manual. Este documento solo cubre la integración de inicio de sesión único (SSO).
- Los clientes existentes de Webex con configuraciones de federación anteriores pueden encontrar problemas con la plantilla Webex ID de Entra estándar debido a cambios en los atributos SAML. Le recomendamos que configure una federación de ID de Entra personalizada para resolver esto utilizando su configuración SAML anterior. Asegúrese de realizar la prueba de SSO de Control Hub para permitir la compatibilidad y abordar cualquier discrepancia.
Descargue los metadatos de Webex a su sistema local
Descargue los metadatos de Webex antes de configurar su proveedor de identidad. Este archivo contiene la configuración del proveedor de servicios de Webex para su organización, y su proveedor de identidad utiliza esa configuración para reconocer Webex y enviar las respuestas de inicio de sesión SAML al lugar correcto. Utilice este archivo de metadatos cuando configure la aplicación SAML en su proveedor de identidad.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la ficha Proveedor de identidad y haga clic en Activar SSO. |
| 4 |
Seleccione un IdP. |
| 5 |
Elija el tipo de certificado para su organización:
Los anclajes de confianza son claves públicas que actúan como una autoridad para verificar el certificado de una firma digital. Para obtener más información, consulte la documentación de su IdP. |
| 6 |
Descargue el archivo de metadatos. <org-ID>El nombre de archivo de metadatos de Webex es idb-meta- -SP.xml. |
Configurar la configuración de la aplicación SSO en Entra ID
Antes de comenzar
Antes de configurar la aplicación SAML en Entra ID, asegúrese de que su proveedor de identidad esté listo y que sus usuarios de Webex ya existan. Puede crear usuarios localmente o sincronizarlos desde su directorio. Mantenga disponible el archivo de metadatos de Webex que descargó de Control Hub, porque lo cargará en la aplicación SAML durante este procedimiento.
Para obtener más información sobre las capacidades del proveedor de identidad de Entra ID, consulte la documentación de Microsoft.
| 1 |
Inicie sesión en el centro de administración de Microsoft Entra y vaya a . |
| 2 |
Abra la aplicación Webex que agregó o creó en la galería de aplicaciones. Haga clic aquí para obtener más información sobre la diferencia
entre la aplicación preconstruida o la Cisco Webex aplicación SCIM 2.0 personalizada.
|
| 3 |
|
| 4 |
Haga clic en Cargar archivo de metadatos y, a continuación, elija el archivo de metadatos que descargó de Control Hub. 
Algunos campos se llenan automáticamente para usted. |
| 5 |
En , haga clic en Configurar inicio de sesión único con SAML > Editar. |
| 6 |
Abra la configuración básica de SAML, copie el valor URL de respuesta, péguelo en la URL de inicio de sesión y guarde sus cambios.
|
| 7 |
Vaya a y elija los usuarios y grupos correspondientes a los que desea otorgar acceso a Webex App. |
| 8 |
En la página Configurar inicio de sesión único con SAML, en la sección Certificado de firma SAML, haga clic en Descargar para descargar el XML de metadatos de federación y guardarlo en su computadora. |
Importe los metadatos del IdP y habilite el inicio de sesión único después de una prueba
Después de exportar los metadatos de Webex, configurar su IdP y descargar los metadatos del IdP a su sistema local, estará listo para importarlos a su organización Webex desde Control Hub.
Antes de comenzar
No pruebe la integración de SSO desde la interfaz del proveedor de identidad (IdP). Solo admitimos flujos iniciados por el proveedor de servicios (iniciados por SP), por lo que debe usar la prueba de SSO de Control Hub para esta integración.
| 1 |
Elija uno:
|
| 2 |
En la página Importar metadatos de IdP, arrastre y suelte el archivo de metadatos del IdP en la página o utilice la opción del explorador de archivos para localizar y cargar el archivo de metadatos . Haga clic en Siguiente.
Debería usar la opción Más seguro, si puede. Esto solo es posible si su IdP usó una CA pública para firmar sus metadatos. En todos los demás casos, debe usar la opción Menos seguro. Esto incluye si los metadatos no están firmados, autofirmados o firmados por una CA privada. Okta no firma los metadatos, por lo que debe elegir Menos seguro para una integración de Okta SSO. |
| 3 |
Seleccione Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión. Si recibe un error de autenticación, puede haber un problema con las credenciales. Compruebe el nombre de usuario y la contraseña e inténtelo de nuevo. Un error de Webex App generalmente significa un problema con la configuración del SSO. En este caso, vuelva a seguir los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP. Para ver directamente la experiencia de inicio de sesión de SSO, también puede hacer clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. A partir de ahí, puede iniciar sesión con SSO. Este paso detiene los falsos positivos debido a un token de acceso que podría estar en una sesión existente al iniciar sesión . |
| 4 |
Vuelva a la pestaña del navegador Control Hub.
La configuración de SSO no tiene efecto en su organización a menos que elija el primer botón de radio y active el SSO. |
Qué hacer a continuación
Utilice los procedimientos de Sincronizar usuarios de Okta en Control Hub si desea realizar el aprovisionamiento de usuarios de Okta a la nube de Webex.
Utilice los procedimientos de Sincronizar usuarios de Microsoft Entra ID en Control Hub si desea realizar el aprovisionamiento de usuarios desde Entra ID a la nube de Webex.
Puede seguir el procedimiento de Suprimir correos electrónicos automatizados para deshabilitar los correos electrónicos que se envían a nuevos usuarios de Webex App en su organización. El documento también contiene las mejores prácticas para enviar comunicaciones a los usuarios de su organización.
Solucionar problemas de integración de Entra ID
Cuando pruebe el SSO, utilice Mozilla Firefox con el complemento SAML Tracer para inspeccionar la afirmación SAML que proviene de Entra ID.
En la afirmación, verifique que el NameIDelemento utilice el formato de ID de nombre transitorio.
<NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">...</NameID>También verifique que la aserción incluya un uidatributo y que el valor coincida con un usuario en Webex App.
<Attribute Name="uid">
<AttributeValue>...</AttributeValue>
</Attribute>
