Gracias por sus comentarios.
SSO con varios IDP en Webex
¿Comentarios?El inicio de sesión único (SSO) permite a los usuarios iniciar sesión en Webex de forma segura al autenticarse con el proveedor de identidad común de su organización. Un proveedor de identidad (IdP) almacena y administra de forma segura las identidades digitales de sus usuarios y proporciona el servicio de autenticación de usuarios para sus usuarios de Webex.
Por qué podría necesitar varios desplazados internos
Muchas grandes empresas se someten a fusiones y adquisiciones, y estas compañías rara vez tienen la misma infraestructura de TI y proveedores de identidad. Las instituciones gubernamentales tienen varias organizaciones y agencias bajo sus órdenes. A menudo, estas organizaciones tienen una sola dirección de correo electrónico para sus propios departamentos de TI e infraestructura, respectivamente. Las principales instituciones educativas tienen un departamento central de compras, pero diferentes universidades y colegios con diferentes organizaciones y departamentos de TI.
Es común que los desplazados internos y los proveedores de servicios (SPs) se federen entre sí. El IdP es responsable de autenticar las credenciales de sus usuarios y el SP confía en la autenticación realizada por el IdP. Esto permite a sus usuarios acceder a varias aplicaciones y servicios SaaS utilizando la misma identidad digital. Pero, si por alguna razón su organización no puede federarse entre los IDP, entonces Webex proporciona una solución alternativa para admitir múltiples IDP. Por estas razones, le damos la opción de configurar SSO para múltiples IDP en Webex y simplificar el proceso de autenticación de sus usuarios.
Limitaciones
- Todos los usuarios deben contar con Directory Connector si utiliza Directory Connector en su organización. Consulte la guía de implementación de Directory Connector para obtener más información.
- Actualmente solo admitimos SAML, OpenID Connect y Webex Identity como proveedores de identidad.
Fuera de alcance
- Configure las asignaciones grupales.
- Verificación de dominio. Consulte Administrar sus dominios para obtener más información.
- Aprovisionamiento de usuarios. Consulte Formas de agregar usuarios a su organización de Control Hub para obtener más información.
Esta sección cubre cómo puede integrar sus proveedores de identidad (IdP) con su organización Webex . Puede elegir los desplazados internos que mejor se adapten a los requisitos de su organización.
Si está buscando la integración de SSO de un Webex Meetings sitio (administrado en Administración del sitio), consulte Configurar el inicio de sesión único para la administración de Webex.
Antes de comenzar
Asegúrese de que se cumplan las siguientes condiciones:
- Debe tener una función de administrador completo en Control Hub.
- Un archivo de metadatos del IdP para dar a Webex y un archivo de metadatos de Webex, para dar al IdP. Para obtener más información, consulte Integración de inicio de sesión único en Control Hub. Esto solo es aplicable a la configuración SAML.
- Debe planificar el comportamiento de sus reglas de enrutamiento antes de configurar varios IDP.
La regla de enrutamiento predeterminada se aplica una vez que configura su IdP inicial. Pero puede establecer otro IdP como predeterminado. Consulte Agregar o editar regla de enrutamiento en la pestaña Reglas de enrutamiento de este artículo.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la ficha Proveedor de identidad y haga clic en Activar SSO. |
| 4 |
Seleccione SAML como su IdP y haga clic en Siguiente. |
| 5 |
Elija el tipo de certificado:
|
| 6 |
Haga clic en Descargar metadatos y haga clic en Siguiente. <org-ID>El nombre de archivo de metadatos de la aplicación Webex es idb-meta- -SP.xml. |
| 7 |
Cargue su archivo de metadatos IDP o complete el formulario de configuración. Al cargar el archivo de metadatos, hay dos formas de validar los metadatos del IdP del cliente:
Haga clic en Siguiente. |
| 8 |
|
| 9 |
(Opcional) Configure los ajustes Just In Time (JIT) y la respuesta de mapeo SAML. Consulte Configurar justo a tiempo (JIT) y mapeo SAML en la pestaña Administrar sus IDPs en este
artículo.
|
| 10 |
Haga clic en Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión. Pruebe la conexión SSO antes de habilitarla. Este paso funciona como una ejecución en seco y no afecta a la configuración de su organización hasta que habilite el SSO en el siguiente paso. Si recibe un error de autenticación, puede haber un problema con las credenciales. Compruebe el nombre de usuario y la contraseña e inténtelo de nuevo. Un error de Webex App generalmente significa un problema con la configuración del SSO. En este caso, vuelva a seguir los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP. Para ver la experiencia de inicio de sesión SSO, le recomendamos que haga clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. A partir de ahí, puede iniciar sesión con SSO. Esto ayuda a eliminar cualquier información almacenada en caché en su navegador web que pueda proporcionar un resultado falso positivo al probar su configuración de SSO. |
| 11 |
Vuelva a la pestaña del navegador Control Hub.
La configuración del SSO no tiene efecto en su organización a menos que elija el primer botón de radio y active el SSO. |
Qué hacer a continuación
Puede configurar una regla de enrutamiento. Consulte Agregar o editar regla de enrutamiento en la pestaña Reglas de enrutamiento de este artículo.
Puede seguir el procedimiento de Suprimir correos electrónicos automatizados para deshabilitar los correos electrónicos enviados a nuevos usuarios de Webex App en su organización. El documento también contiene las mejores prácticas para enviar comunicaciones a los usuarios de su organización.
Al configurar OpenID Connect con Entra ID o un IdP donde el correo electrónico no es un identificador permanente, le recomendamos que utilice el atributo de enlace
ExternalID para asignarlo a un identificador único. Para el ID de Entra, sugerimos mapear OIDC a ExternalID. Si encontramos que el correo electrónico
no coincide con el atributo de enlace, se le solicita al usuario que verifique su identidad o
cree un nuevo usuario con la dirección de correo electrónico correcta.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la ficha Proveedor de identidad y haga clic en Activar SSO. |
| 4 |
Seleccione OpenID Connect como su IdP y haga clic en Siguiente. |
| 5 |
Introduzca la información de su IdP.
|
| 6 |
(Opcional) Activa la configuración Permitir clave de prueba para intercambio de código (PKCE) para configurar su IdP de OIDC con esta extensión de seguridad. Esto fortalece la seguridad de las aplicaciones del cliente y garantiza la compatibilidad con los usuarios que lo requieren. |
| 7 |
Elija cómo agregar puntos finales. Esto se puede hacer de forma automática o manual.
|
| 8 |
(Opcional) Configure los ajustes Just In Time (JIT). Consulte Configurar justo a tiempo (JIT) y mapeo SAML en la pestaña Administrar sus IDPs en este
artículo.
|
| 9 |
Haga clic en Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión. Pruebe la conexión SSO antes de habilitarla. Este paso funciona como una ejecución en seco y no afecta a la configuración de su organización hasta que habilite el SSO en el siguiente paso. Si recibe un error de autenticación, puede haber un problema con las credenciales. Compruebe el nombre de usuario y la contraseña e inténtelo de nuevo. Un error de Webex App generalmente significa un problema con la configuración del SSO. En este caso, vuelva a seguir los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP. Para ver la experiencia de inicio de sesión SSO, le recomendamos que haga clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. A partir de ahí, puede iniciar sesión con SSO. Esto ayuda a eliminar cualquier información almacenada en caché en su navegador web que pueda proporcionar un resultado falso positivo al probar su configuración de SSO. |
| 10 |
Vuelva a la pestaña del navegador Control Hub.
La configuración del SSO no tiene efecto en su organización a menos que elija el primer botón de radio y active el SSO. |
Qué hacer a continuación
Puede configurar una regla de enrutamiento. Consulte Agregar o editar regla de enrutamiento en la pestaña Reglas de enrutamiento de este artículo.
Puede seguir el procedimiento de Suprimir correos electrónicos automatizados para deshabilitar los correos electrónicos enviados a nuevos usuarios de Webex App en su organización. El documento también contiene las mejores prácticas para enviar comunicaciones a los usuarios de su organización.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la ficha Proveedor de identidad y haga clic en Activar SSO. |
| 4 |
Seleccione Webex como su IdP y haga clic en Siguiente. |
| 5 |
Verifique que he leído y entendido cómo funciona Webex IdP y haga clic en Siguiente. |
| 6 |
Establezca una regla de enrutamiento. Consulte Agregar o editar regla de enrutamiento en la pestaña Reglas de enrutamiento de este artículo. |
Una vez que haya agregado una regla de enrutamiento, su IdP se agrega y se muestra en la pestaña Proveedor de identidad.
Qué hacer a continuación
Puede seguir el procedimiento de Suprimir correos electrónicos automatizados para deshabilitar los correos electrónicos que se envían a nuevos usuarios de Webex App en su organización. El documento también contiene las mejores prácticas para enviar comunicaciones a los usuarios de su organización.
Las reglas de enrutamiento son aplicables cuando se configura más de un IdP. Las reglas de enrutamiento permiten a Webex identificar a qué IdP enviar a sus usuarios cuando ha configurado varios IdP.
Al configurar más de un IdP, puede definir sus reglas de enrutamiento en el asistente de configuración de SSO. Si omite el paso de la regla de enrutamiento, entonces Control Hub agrega el IdP pero no activa el IdP. Debe agregar una regla de enrutamiento para activar el IdP.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Reglas de enrutamiento. Al configurar su primer IdP, la regla de enrutamiento se agrega automáticamente y se establece como la regla predeterminada. Puede elegir otro IdP para establecer como regla predeterminada más adelante. |
| 4 |
Haga clic en Agregar nueva regla de enrutamiento. |
| 5 |
Introduzca los detalles de una regla de enrutamiento:
|
| 6 |
Seleccione el método de autenticación multifactor (MFA):
Para obtener más información sobre la configuración de MFA para su organización, consulte Habilitar la integración de autenticación multifactor en Control Hub. |
| 7 |
Haga clic en Agregar. |
| 8 |
Seleccione la nueva regla de enrutamiento y haga clic en Activar. |
Puede cambiar el orden de prioridad de la regla de enrutamiento si tiene reglas de enrutamiento para varios IDP.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Reglas de enrutamiento. |
| 4 |
Seleccione la regla de enrutamiento. |
| 5 |
Elija si desea desactivar o eliminar la regla de enrutamiento. Se recomienda que tenga otra regla de enrutamiento activa para el IdP. De lo contrario, podría tener problemas con su inicio de sesión de SSO. |
La regla predeterminada no se puede desactivar ni eliminar, pero puede modificar el IdP enrutado.
Antes de comenzar
De vez en cuando, puede recibir una notificación por correo electrónico o ver una alerta en Control Hub de que el certificado de IdP va a caducar. Debido a que los proveedores de IdP tienen su propia documentación específica para la renovación de certificados, cubrimos lo que se requiere en Control Hub, junto con los pasos genéricos para recuperar los metadatos del IdP actualizados y cargarlos en Control Hub para renovar el certificado.
Esto solo es aplicable a la configuración SAML.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Proveedor de identidad. |
| 4 |
Vaya al IdP, haga clic Para descargar el archivo de metadatos, haga clic en
 y seleccione Descargar metadatos de Idp. |
| 5 |
Navegue hasta su interfaz de administración de IdP para recuperar el nuevo archivo de metadatos. |
| 6 |
Vuelva a Control Hub y arrastre y suelte su archivo de metadatos de IdP en el área de carga o haga clic en Elegir un archivo para cargar los metadatos. |
| 7 |
Elija Menos seguro (autofirmado) o Más seguro (firmado por una CA pública), dependiendo de cómo se firmen los metadatos de su IdP y haga clic en Guardar. |
| 8 |
Configure los ajustes Just In Time (JIT) y la respuesta de mapeo SAML. Consulte Configurar justo a tiempo (JIT) y mapeo SAML en la pestaña Administrar sus IDPs en este
artículo.
|
| 9 |
Haga clic en Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión. Pruebe la conexión SSO antes de habilitarla. Este paso funciona como una ejecución en seco y no afecta a la configuración de su organización hasta que habilite el SSO en el siguiente paso. Si recibe un error de autenticación, puede haber un problema con las credenciales. Compruebe el nombre de usuario y la contraseña e inténtelo de nuevo. Un error de Webex App generalmente significa un problema con la configuración del SSO. En este caso, vuelva a seguir los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP. Para ver la experiencia de inicio de sesión SSO, le recomendamos que haga clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. A partir de ahí, puede iniciar sesión con SSO. Esto ayuda a eliminar cualquier información almacenada en caché en su navegador web que pueda proporcionar un resultado falso positivo al probar su configuración de SSO. |
| 10 |
Haga clic en Guardar. |
y seleccione Antes de comenzar
Se recomienda que actualice todos sus IDP en su organización cuando renueve su certificado SP.
Esto solo es aplicable a la configuración SAML.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Proveedor de identidad. |
| 4 |
Vaya al IdP y haga clic |
| 5 |
Haga clic en Revisar certificados y fecha de caducidad. Esto lo lleva a la página de certificados del proveedor de servicios (SP). Puede
hacer clic Si su organización utiliza certificados duales, también tiene la opción de cambiar un certificado secundario a un certificado primario o eliminar un certificado secundario existente. |
| 6 |
Haga clic en Renovar certificado. |
| 7 |
Elija el tipo de IdP en su organización:
|
| 8 |
Elija el tipo de certificado para la renovación:
|
| 9 |
Para confirmar que desea reemplazar el certificado actual por el seleccionado, marque Al hacer clic en Reemplazar un certificado, cambiaré el certificado actual por el seleccionado y, a continuación, haga clic en Reemplazar un certificado. |
| 10 |
En la página Renovar certificados de proveedor de servicios (SP), haga clic en Descargar metadatos o Descargar certificado para descargar una copia del archivo o certificado de metadatos actualizado de la nube de Webex. |
| 11 |
Navegue hasta su interfaz de administración de IdP para cargar el nuevo archivo o certificado de metadatos de Webex. Este paso se puede realizar a través de una pestaña del navegador, protocolo de escritorio remoto (RDP) o a través de soporte de proveedor de nube específico, dependiendo de la configuración de su IdP y si usted o un administrador de IdP independiente son responsables de este paso. Para obtener más información, consulte nuestras guías de integración de SSO o comuníquese con su administrador de IdP para obtener asistencia. Si está en Active Directory Federation Services (AD FS), puede ver cómo actualizar los metadatos de Webex en AD FS |
| 12 |
Vuelva a la interfaz del centro de control. En la página Renovar certificados de proveedor de servicios (SP), compruebe que ya he actualizado los metadatos de todos los IDP y, a continuación, haga clic en Siguiente. |
| 13 |
Haga clic en Listo. |
.
para descargar los metadatos o el certificado SP. Antes de comenzar
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Proveedor de identidad. |
| 4 |
Vaya al IdP y haga clic |
| 5 |
Seleccione Test IdP. |
| 6 |
Haga clic en Probar configuración de SSO y, cuando se abra una nueva pestaña del navegador, autentique con el IdP iniciando sesión. Si recibe un error de autenticación, puede haber un problema con las credenciales. Compruebe el nombre de usuario y la contraseña e inténtelo de nuevo. Un error de Webex App generalmente significa un problema con la configuración del SSO. En este caso, vuelva a seguir los pasos, especialmente los pasos en los que copia y pega los metadatos de Control Hub en la configuración del IdP. Para ver la experiencia de inicio de sesión SSO, le recomendamos que haga clic en Copiar URL al portapapeles desde esta pantalla y pegarlo en una ventana privada del navegador. A partir de ahí, puede iniciar sesión con SSO. Esto ayuda a eliminar cualquier información almacenada en caché en su navegador web que pueda proporcionar un resultado falso positivo al probar su configuración de SSO. |
| 7 |
Vuelva a la pestaña del navegador Control Hub.
La configuración de SSO no tiene efecto en su organización a menos que elija el primer botón de radio y active el SSO. |
Antes de comenzar
Asegúrese de que se cumplan las siguientes condiciones previas:
-
El SSO ya está configurado.
-
Los dominios ya han sido verificados.
-
Los dominios son reclamados y activados. Esta función garantiza que los usuarios de su dominio se creen y actualicen una vez cada vez que se autentiquen con su IdP.
-
Si DirSync o Entra ID están habilitados, la creación o actualización de SAML JIT no funcionará.
-
“Bloquear actualización de perfil de usuario” está habilitado. La asignación de actualizaciones SAML está permitida porque esta configuración controla la capacidad del usuario para editar los atributos. Los métodos de creación y actualización controlados por el administrador siguen siendo compatibles.
Al configurar SAML JIT con entra ID o un IdP donde el correo electrónico no es un identificador permanente, le recomendamos que utilice el atributo de enlace
ExternalID para asignarlo a un identificador único. Si encontramos
que el correo electrónico no coincide con el atributo de enlace, se le solicita al usuario que verifique su
identidad o cree un nuevo usuario con la dirección de correo electrónico correcta.
Los usuarios recién creados no obrán automáticamente licencias asignadas a menos que la organización tenga configurada una plantilla de licencia automática.
| 1 |
Inicie sesión en Control Hub. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
Vaya a . | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
Vaya a la pestaña Proveedor de identidad. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
Vaya al IdP y haga clic | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
Seleccione Editar mapeo SAML. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
Configure los ajustes Just-in-Time (JIT).
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
Configure los atributos requeridos de mapeo SAML.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
Configure los atributos de enlace. Esto debería ser exclusivo para el usuario. Se utiliza para buscar un usuario para que Webex pueda
actualizar todos los atributos del perfil, incluido el correo electrónico de un usuario.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
Configure los atributos del perfil.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
Configure los atributos del grupo.
Si el usuario A está asociado con El aprovisionamiento SAML JIT no admite la eliminación de usuarios de grupos ni ninguna eliminación de usuarios.
Para obtener una lista de atributos de aserción SAML paraWebex Meetings, consulte Atributos de aserción SAML para y Jabber. Webex Meetings |
Antes de comenzar
Se recomienda que primero desactive o elimine las reglas de enrutamiento del IdP antes de eliminar el IdP.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Proveedor de identidad. |
| 4 |
Vaya al IdP y haga clic |
| 5 |
Seleccione Eliminar. |
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la pestaña Proveedor de identidad. |
| 4 |
Haga clic en Desactivar SSO. Confirme la desactivación del SSO. |
Una vez confirmado, el SSO se desactiva para todos los desplazados internos de su organización.
Recibirá alertas en Control Hub antes de que los certificados venzan, pero también puede configurar reglas de alerta de manera proactiva. Estas reglas le permiten saber de antemano que sus certificados SP o IdP van a caducar. Podemos enviarle esto por correo electrónico, un espacio en la aplicación Webex, o ambos.
Independientemente del canal de entrega configurado, todas las alertas siempre aparecen en Control Hub. Consulte Centro de alertas en Control Hub para obtener más información.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya al centro de alertas. |
| 3 |
Elija Administrar y luego todas las reglas. |
| 4 |
En la lista Reglas, elija cualquiera de las reglas de SSO que le gustaría crear:
|
| 5 |
En la sección Canal de entrega, marque la casilla Correo electrónico, espacio Webex o ambos. Si elige Correo electrónico, ingrese la dirección de correo electrónico que debe recibir la notificación. Si elige la opción de espacio Webex, se le agrega automáticamente a un espacio dentro de la aplicación Webex y nosotros entregamos las notificaciones allí. |
| 6 |
Guarde sus cambios. |
Qué hacer a continuación
Enviamos alertas de vencimiento del certificado una vez cada 15 días, comenzando 60 días antes del vencimiento. (Puede esperar alertas los días 60, 45, 30 y 15.) Las alertas se detienen cuando renueva el certificado.
Si tiene problemas con su inicio de sesión de SSO, puede usar la opción de recuperación automática de SSO para obtener acceso a su organización Webex administrada en Control Hub. La opción de recuperación automática le permite actualizar o deshabilitar el SSO en Control Hub.
