Single sign-on ja Control Hub

Single sign-on (SSO) on istunnon tai käyttäjän todennusprosessi, jonka avulla käyttäjä voi antaa tunnistetiedot yhden tai useamman sovelluksen käyttämiseksi. Prosessi todentaa käyttäjät kaikkien niiden sovellusten osalta, joihin heille on annettu oikeudet. Se poistaa lisäkehotukset, kun käyttäjät vaihtavat sovelluksia tietyn istunnon aikana.

SAML 2.0 (Security Assertion Markup Language) -liittymäprotokollaa käytetään SSO-todennuksen tarjoamiseen Webex-pilven ja identiteetin tarjoajan (IdP) välillä.

Profiilit

Webex App tukee vain verkkoselaimen SSO-profiilia. Webex App tukee verkkoselaimen SSO-profiilissa seuraavia sidoksia:

  • SP aloitti POST -> POST-sidonnan

  • SP aloitti REDIRECT -> POST-sidonnan

NameID-muoto

SAML 2.0 -protokolla tukee useita NameID-muotoja, joiden avulla voidaan viestiä tietystä käyttäjästä. Webex App tukee seuraavia NameID-muotoja.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

IdP:ltäsi lataamissasi metatiedoissa ensimmäinen merkintä on määritetty käytettäväksi Webexissä.

SingleLogout

Webex App tukee yksittäistä uloskirjautumisprofiilia. Webex App -sovelluksessa käyttäjä voi kirjautua ulos sovelluksesta, joka käyttää SAML single logout -protokollaa istunnon lopettamiseen ja uloskirjautumisen vahvistamiseen IdP:lläsi. Varmista, että IdP:si on määritetty SingleLogout.

Integroi Control Hub F5 Big-IP:n kanssa

Määritysoppaat esittävät tietyn esimerkin SSO-integraatiosta, mutta ne eivät tarjoa tyhjentävää määritystä kaikille mahdollisuuksille. Esimerkiksi integraatiovaiheet nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient on dokumentoitu. Muut muodot, kuten urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified tai urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress , toimivat SSO-integroinnissa, mutta ne eivät kuulu dokumentaatiomme piiriin.

Määritä tämä integraatio Webex-organisaatiosi käyttäjille (mukaan lukien Webex App, Webex Meetings ja muut Control Hubissa hallinnoidut palvelut). Jos Webex-sivusto on integroitu Control Hubiin, Webex-sivusto perii käyttäjähallinnan. Jos et voi käyttää Webex Meetings -palvelua tällä tavoin eikä sitä hallita Control Hubissa, sinun on tehtävä erillinen integrointi Webex Meetingsin SSO:n käyttöön ottamiseksi. (Katso Configure Single Sign-On for Webex lisätietoja SSO-integraatiosta sivuston hallinnassa.)

Ennen kuin aloitat

SSO:n ja Control Hubin osalta id-palveluntarjoajien on oltava SAML 2.0 -määrittelyn mukaisia. Lisäksi IdP:t on määritettävä seuraavalla tavalla:

Lataa Webexin metatiedot paikalliseen järjestelmään.

1

Siirry asiakasnäkymässä osoitteessa https://admin.webex.com kohtaan Hallinta > Organisaatioasetukset ja selaa sitten kohtaan Todennus ja vaihda sitten Single sign-on -asetus käynnistääksesi ohjatun asennuksen.

2

Valitse organisaatiollesi sopiva varmenteen tyyppi:

  • Ciscon itse allekirjoittama- Suosittelemme tätä vaihtoehtoa. Anna meidän allekirjoittaa todistus, jotta sinun tarvitsee uusia se vain kerran viidessä vuodessa.
  • Julkisen varmentajan allekirjoittama- Turvallisempi, mutta metatiedot on päivitettävä usein (ellei IdP-toimittaja tue luottamusankkureita).

Luottamusankkurit ovat julkisia avaimia, jotka toimivat auktoriteettina digitaalisen allekirjoituksen varmenteen varmentamisessa. Lisätietoja on IdP:n dokumentaatiossa.

3

Lataa metatietotiedosto.

Webexin metatietotiedoston nimi on idb-meta--SP.xml.

Ulkoisen palveluntarjoajan ja identiteetin tarjoajan määrittäminen

1

Siirry BIG-IP F5:n hallintakäyttöliittymästä osoitteeseen Access Policy > SAML > BIG-IP as IdP.

2

Valitse External SP Connectors, valitse Create > From Metadata.

3

Kirjoita palveluntarjoajan nimeksi mielekäs nimi, esimerkiksi .ciscowebex.com.

4

Valitse seuraavat valintaruudut kohdasta Security Settings:

  • Vastaus on allekirjoitettava
  • Väite on allekirjoitettava
5

Palaa osoitteeseen Access Policy > SAML > BIG-IP as IdP ja luo sitten uusi identiteetin tarjoajan (IdP) palvelu.

6

Kirjoita IdP-palvelun nimeksi mielekäs nimi, esimerkiksi CI.

7

Käytä IdP Entity ID:nä Big-IP-palvelimen FQDN-nimeä, jonka eteen on lisätty jokin - esimerkiksi https://bigip0a.uc8sevtlab13.com/CI.

8

Valitse Assertion Settings-kohdassa Transient Identifier for Assertion Subject Type.

9

For Assertion Subject Value, return the value of the email of the user %{session.ad.last.attr.mail}.

10

Palauta attribuutit mail ja uid arvolla %{session.ad.last.attr.mail}.

11

Valitse osoitteessa Security Settings varmenne vakuutuksen allekirjoittamista varten.

12

Tallenna muutokset ja sido sitten luomasi palveluntarjoaja ja identiteetin tarjoaja.

Lataa F5 Big-IP:n metatiedot.

1

Valitse Export IDP Service.

2

Varmista, että Sign Metadata -arvo on Kyllä.

3

Lataa metatietotiedosto työpöydällesi tai paikkaan, joka on helppo löytää.

Lisää käyttöoikeuskäytäntö

1

Siirry osoitteeseen Access Policy > Access Profiles > SAML ja luo SAML-resurssi luomallesi IdP:lle.

2

Siirry käyttöoikeusprofiiliisi ja muokkaa WebEx Messenger CAS -palvelun käyttämääsi käyttöoikeuskäytäntöä.

3

Lisää uusi kohde välilehdelle Kirjautuminen nimellä Kirjautumissivu ja jätä oletusarvot.

4

Lisää uusi kohde Authentication -välilehdelle nimellä AD Auth ja määritä palvelimeksi Active Directory.

5

Lisää AD Query onnistuneessa haarassa Authentication -välilehdeltä.

6

Siirry osoitteeseen Branch Rules ja muuta se muotoon AD Query is Passed.

7

Lisää AD Queryn onnistuneessa haarassa Advanced Resource Assign Assignment -välilehdeltä.

8

Napsauta Add/Delete ja lisää kaksi resurssia SAML , jossa on kaikki SAML-resurssit ja Webtop , jonka olet luonut.

9

For Select Ending, valitse Allow.

Käyttöoikeuskäytännön pitäisi näyttää tältä kuvakaappaukselta:

Liitä käyttöoikeusprofiili virtuaalipalvelimeen

Pääsyprofiili on yhdistettävä luotuun virtuaalipalvelimeen.

1

Siirry osoitteeseen Paikallinen liikenne > Virtuaalipalvelimet.

2

Avaa Access Profiles (Pääsyprofiilit) varmistaaksesi, että profiiliin ei ole liitetty virtuaalipalvelinta.

3

Valitse Advanced Resource Assign.

4

Valitse Add/delete lisätäksesi uuden SAML-resurssin.

5

Sulje käyttöoikeuskäytännön suunnitteluikkunat ja ota uusi käyttöoikeuskäytäntö käyttöön.

Tuo IdP-metatiedot ja ota kertakirjautuminen käyttöön testin jälkeen.

Kun olet vienyt Webex-metatiedot, määrittänyt IdP:n ja ladannut IdP-metatiedot paikalliseen järjestelmään, voit tuoda ne Webex-organisaatioon Control Hubista.

Ennen kuin aloitat

Älä testaa SSO-integraatiota identiteetin tarjoajan (IdP) käyttöliittymästä. Tuemme vain palveluntarjoajan (SP) käynnistämiä virtoja, joten sinun on käytettävä Control Hub SSO -testiä tätä integrointia varten.

1

Valitse yksi:

  • Palaa selaimessasi Control Hub - varmenteen valintasivulle ja napsauta sitten Next.
  • Jos Control Hub ei ole enää avoinna selaimen välilehdellä, siirry asiakasnäkymästä https://admin.webex.com, valitse Hallinta > Organisaatioasetukset, selaa kohtaan Todennus ja valitse sitten Toiminnot > Tuo metatiedot.
2

Tuo IdP-metatiedot -sivulla joko raahaa ja pudota IdP-metatietotiedosto sivulle tai käytä tiedostoselaimen vaihtoehtoa metatietotiedoston etsimiseen ja lataamiseen. Napsauta Next.

Sinun kannattaa käyttää More secure -vaihtoehtoa, jos voit. Tämä on mahdollista vain, jos tunnistuspalveluntarjoajasi on käyttänyt julkista varmentajaa metatietojensa allekirjoittamiseen.

Kaikissa muissa tapauksissa on käytettävä Vähemmän suojattua -vaihtoehtoa. Tämä koskee myös sitä, jos metatietoja ei ole allekirjoitettu, jos niitä on allekirjoitettu itse tai jos niitä on allekirjoittanut yksityinen varmentaja.

Okta ei allekirjoita metatietoja, joten sinun on valittava Less secure Okta SSO -integraatiota varten.

3

Valitse Test SSO setup, ja kun uusi selainvälilehti avautuu, tunnistaudu IdP:n kanssa kirjautumalla sisään.

Jos saat todennusvirheen, tunnuksissa voi olla ongelma. Tarkista käyttäjätunnus ja salasana ja yritä uudelleen.

Webex App -virhe tarkoittaa yleensä ongelmaa SSO-asetuksissa. Käy tässä tapauksessa vaiheet uudelleen läpi, erityisesti vaiheet, joissa kopioit ja liität Control Hubin metatiedot IdP-asetuksiin.

Jos haluat nähdä SSO-sisäänkirjautumiskokemuksen suoraan, voit myös napsauttaa Kopioi URL-osoite leikepöydälle tästä näytöstä ja liittää sen yksityiseen selainikkunaan. Sieltä voit käydä läpi kirjautumisen SSO:lla. Tämä vaihe estää vääriä positiivisia tuloksia, jotka johtuvat kirjautumisen yhteydessä mahdollisesti olemassa olevassa istunnossa olevasta käyttöoikeustunnuksesta.

4

Palaa Control Hub -selainvälilehdelle.

  • Jos testi onnistui, valitse Onnistunut testi. Ota SSO käyttöön ja napsauta Seuraava.
  • Jos testi ei onnistunut, valitse Epäonnistunut testi. Ota SSO pois käytöstä ja napsauta Seuraava.

SSO-konfiguraatio ei tule voimaan organisaatiossasi, ellet valitse ensimmäistä valintaruutua ja aktivoi SSO:ta.

Mitä tehdä seuraavaksi

Käytä menettelyjä osoitteessa Synkronoi Okta-käyttäjät Cisco Webex Control Hubiin , jos haluat tehdä käyttäjien käyttöönoton Oktasta Webex-pilveen.

Käytä menettelyjä osoitteessa Synkronoi Azure Active Directory -käyttäjät Cisco Webex Control Hubiin , jos haluat tehdä käyttäjien käyttöönoton Azure AD:stä Webex-pilveen.

Voit poistaa organisaatiosi uusille Webex App -käyttäjille lähetettävät sähköpostiviestit käytöstä kohdassa Suppress Automated Emails kuvatun menettelyn mukaisesti. Asiakirjassa on myös parhaita käytäntöjä viestinnän lähettämiseen organisaatiosi käyttäjille.