Single sign-on ja Control Hub

Single sign-on (SSO) on istunnon tai käyttäjän todennusprosessi, jonka avulla käyttäjä voi antaa tunnistetiedot yhden tai useamman sovelluksen käyttämiseksi. Prosessi todentaa käyttäjät kaikkien niiden sovellusten osalta, joihin heille on annettu oikeudet. Se poistaa lisäkehotukset, kun käyttäjät vaihtavat sovelluksia tietyn istunnon aikana.

SAML 2.0 (Security Assertion Markup Language) -liittymäprotokollaa käytetään SSO-todennuksen tarjoamiseen Webex-pilven ja identiteetin tarjoajan (IdP) välillä.

Profiilit

Webex App tukee vain verkkoselaimen SSO-profiilia. Webex App tukee verkkoselaimen SSO-profiilissa seuraavia sidoksia:

  • SP aloitti POST -> POST-sidonnan

  • SP aloitti REDIRECT -> POST-sidonnan

NameID-muoto

SAML 2.0 -protokolla tukee useita NameID-muotoja, joiden avulla voidaan viestiä tietystä käyttäjästä. Webex App tukee seuraavia NameID-muotoja.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

IdP:ltäsi lataamissasi metatiedoissa ensimmäinen merkintä on määritetty käytettäväksi Webexissä.

SingleLogout

Webex App tukee yksittäistä uloskirjautumisprofiilia. Webex App -sovelluksessa käyttäjä voi kirjautua ulos sovelluksesta, joka käyttää SAML single logout -protokollaa istunnon lopettamiseen ja uloskirjautumisen vahvistamiseen IdP:lläsi. Varmista, että IdP:si on määritetty SingleLogout.

Integroi Control Hub PingFederaten kanssa

Määritysoppaat esittävät tietyn esimerkin SSO-integraatiosta, mutta ne eivät tarjoa tyhjentävää määritystä kaikille mahdollisuuksille. Esimerkiksi integraatiovaiheet nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient on dokumentoitu. Muut muodot, kuten urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified tai urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress , toimivat SSO-integroinnissa, mutta ne eivät kuulu dokumentaatiomme piiriin.

Määritä tämä integraatio Webex-organisaatiosi käyttäjille (mukaan lukien Webex App, Webex Meetings ja muut Control Hubissa hallinnoidut palvelut). Jos Webex-sivusto on integroitu Control Hubiin, Webex-sivusto perii käyttäjähallinnan. Jos et voi käyttää Webex Meetings -palvelua tällä tavoin eikä sitä hallita Control Hubissa, sinun on tehtävä erillinen integrointi Webex Meetingsin SSO:n käyttöön ottamiseksi. (Katso Configure Single Sign-On for Webex lisätietoja SSO-integraatiosta sivuston hallinnassa.)

Ennen kuin aloitat

SSO:n ja Control Hubin osalta id-palveluntarjoajien on oltava SAML 2.0 -määrittelyn mukaisia. Lisäksi IdP:t on määritettävä seuraavalla tavalla:

Lataa Webexin metatiedot paikalliseen järjestelmään.

1

Siirry asiakasnäkymässä osoitteessa https://admin.webex.com kohtaan Hallinta > Organisaatioasetukset ja selaa sitten kohtaan Todennus ja vaihda sitten Single sign-on -asetus käynnistääksesi ohjatun asennuksen.

2

Valitse organisaatiollesi sopiva varmenteen tyyppi:

  • Ciscon itse allekirjoittama- Suosittelemme tätä vaihtoehtoa. Anna meidän allekirjoittaa todistus, jotta sinun tarvitsee uusia se vain kerran viidessä vuodessa.
  • Julkisen varmentajan allekirjoittama- Turvallisempi, mutta metatiedot on päivitettävä usein (ellei IdP-toimittaja tue luottamusankkureita).

Luottamusankkurit ovat julkisia avaimia, jotka toimivat auktoriteettina digitaalisen allekirjoituksen varmenteen varmentamisessa. Lisätietoja on IdP:n dokumentaatiossa.

3

Lataa metatietotiedosto.

Webexin metatietotiedoston nimi on idb-meta--SP.xml.

Määritä uusi palveluntarjoajan yhteys

1

Mene PingFederate-hallintaportaaliin (https://:9999/pingfederate/app).

2

Valitse SP CONNECTIONS-kohdassa Create New.

3

Valitse Älä käytä mallia tätä yhteyttä varten -valintaruutu ja valitse sitten Seuraava.

4

Valitse Selaimen SSO-profiilit ja napsauta sitten Seuraava.

5

Valitse Import Metadata -välilehti.

6

Valitse Valitse tiedosto selataksesi ja tuodaksesi Control Hubista lataamasi metatietotiedoston ja valitse sitten Seuraava.

7

Tarkista tiedot General Info -välilehdellä ja napsauta sitten Done.

Selaimen kertakirjautumisen määrittäminen

1

Valitse PingFederaten hallintaportaalista Configure Browser SSO.

2

Merkitse SP-Initiated SSO -valintaruutu ja napsauta sitten Seuraava.

3

Valitse Configure Assertion Creation.

  1. Muuta NameID-muodoksi Transient ja merkitse valintaruutu Include attributes in addition to the transient identifier .

  2. Laajenna sopimusattribuutteja lisäämällä mail ja uid -attribuutit muodossa urn:oasis:names:tc:SAML:2.0:attrname-format-basic ja napsauta sitten Next.

  3. Valitse Map New Adapter Instance ja valitse todennusmekanismi. Valitse avattavasta ADAPTER INSTANCE -pudotusvalikosta jokin aiemmin määritetyistä todennusmekanismeista ja napsauta sitten Seuraava.

  4. Valitse Hae lisäattribuutteja useista tietovarastoista yhdellä kartoituksella -valintaruutu ja napsauta sitten Seuraava.

  5. Lisää toimialueen Active Directory -toimialueen ohjain valitsemalla Add Attribute Source ja valitse sitten Next.

  6. Määritä Base DN ja valitse juuriobjektiluokka . Kirjoita Suodatin-tekstiruutuun LDAP-suodatin ja napsauta sitten Seuraava.

    Merkinnän on sisällettävä attribuutti, jonka odotat käyttäjän antavan. Sen on myös sisällettävä arvo, jota se vastaa LDAP-lähteissä. Jos esimerkiksi aktiivihakemistosi on asetettu suodattamaan Windows-kirjautumisattribuutin perusteella, kirjoita sAMAccountName=${Username}.

  7. Valitse lähde ja arvo, jos haluat yhdistää väitteen määritteet AD-tietovaraston tarjoamiin määritteisiin. (Älä kirjoita mitään liikkeeseenlaskuperusteisiin.)

  8. Varmista, että Assertion Configuration -määrityksen Identity Mapping -asetukseksi on asetettu Transient, Attribute Contract -asetukseksi on asetettu uid ja Adapter Instances -asetukseksi on asetettu 1.

    uid-attribuutin tulisi vastata käyttäjän sähköpostiosoitetta.

4

Valitse Configure Protocol Settings.

  1. Merkitse Sallitut SAML-sidonnat -kohdassa vain valintaruudut POST ja Redirect .

  2. Valitse Signature Policy (Allekirjoituskäytäntö) -kohdasta Allekirjoita aina SAML Assertion.

    Protokolla-asetusten pitäisi näyttää seuraavalta.

  3. Valitse Configure Credentials määrittääksesi varmenteen vakuutusta varten.

  4. Valitse varmenne, joka on jo luotu SAML-vakuutuksia varten.

5

Aseta aktivointi- ja yhteenvetonäytössä Yhteyden tila kohtaan Aktiivinen.

Vie metatiedot PingFederatesta

1

Valitse päänäytössä Manage All SP.

2

Etsi juuri luomasi yhteys ja valitse Vie metatiedot.

3

Valitse avattavasta luettelosta varmenne, jota käytetään vietävän tiedoston allekirjoittamiseen.

4

Valitse Vie.

Tuo IdP-metatiedot ja ota kertakirjautuminen käyttöön testin jälkeen.

Kun olet vienyt Webex-metatiedot, määrittänyt IdP:n ja ladannut IdP-metatiedot paikalliseen järjestelmään, voit tuoda ne Webex-organisaatioon Control Hubista.

Ennen kuin aloitat

Älä testaa SSO-integraatiota identiteetin tarjoajan (IdP) käyttöliittymästä. Tuemme vain palveluntarjoajan (SP) käynnistämiä virtoja, joten sinun on käytettävä Control Hub SSO -testiä tätä integrointia varten.

1

Valitse yksi:

  • Palaa selaimessasi Control Hub - varmenteen valintasivulle ja napsauta sitten Next.
  • Jos Control Hub ei ole enää avoinna selaimen välilehdellä, siirry asiakasnäkymästä https://admin.webex.com, valitse Hallinta > Organisaatioasetukset, selaa kohtaan Todennus ja valitse sitten Toiminnot > Tuo metatiedot.
2

Tuo IdP-metatiedot -sivulla joko raahaa ja pudota IdP-metatietotiedosto sivulle tai käytä tiedostoselaimen vaihtoehtoa metatietotiedoston etsimiseen ja lataamiseen. Napsauta Next.

Sinun kannattaa käyttää More secure -vaihtoehtoa, jos voit. Tämä on mahdollista vain, jos tunnistuspalveluntarjoajasi on käyttänyt julkista varmentajaa metatietojensa allekirjoittamiseen.

Kaikissa muissa tapauksissa on käytettävä Vähemmän suojattua -vaihtoehtoa. Tämä koskee myös sitä, jos metatietoja ei ole allekirjoitettu, jos niitä on allekirjoitettu itse tai jos niitä on allekirjoittanut yksityinen varmentaja.

Okta ei allekirjoita metatietoja, joten sinun on valittava Less secure Okta SSO -integraatiota varten.

3

Valitse Test SSO setup, ja kun uusi selainvälilehti avautuu, tunnistaudu IdP:n kanssa kirjautumalla sisään.

Jos saat todennusvirheen, tunnuksissa voi olla ongelma. Tarkista käyttäjätunnus ja salasana ja yritä uudelleen.

Webex App -virhe tarkoittaa yleensä ongelmaa SSO-asetuksissa. Käy tässä tapauksessa vaiheet uudelleen läpi, erityisesti vaiheet, joissa kopioit ja liität Control Hubin metatiedot IdP-asetuksiin.

Jos haluat nähdä SSO-sisäänkirjautumiskokemuksen suoraan, voit myös napsauttaa Kopioi URL-osoite leikepöydälle tästä näytöstä ja liittää sen yksityiseen selainikkunaan. Sieltä voit käydä läpi kirjautumisen SSO:lla. Tämä vaihe estää vääriä positiivisia tuloksia, jotka johtuvat kirjautumisen yhteydessä mahdollisesti olemassa olevassa istunnossa olevasta käyttöoikeustunnuksesta.

4

Palaa Control Hub -selainvälilehdelle.

  • Jos testi onnistui, valitse Onnistunut testi. Ota SSO käyttöön ja napsauta Seuraava.
  • Jos testi ei onnistunut, valitse Epäonnistunut testi. Ota SSO pois käytöstä ja napsauta Seuraava.

SSO-konfiguraatio ei tule voimaan organisaatiossasi, ellet valitse ensimmäistä valintaruutua ja aktivoi SSO:ta.

Mitä tehdä seuraavaksi

Käytä menettelyjä osoitteessa Synkronoi Okta-käyttäjät Cisco Webex Control Hubiin , jos haluat tehdä käyttäjien käyttöönoton Oktasta Webex-pilveen.

Käytä menettelyjä osoitteessa Synkronoi Azure Active Directory -käyttäjät Cisco Webex Control Hubiin , jos haluat tehdä käyttäjien käyttöönoton Azure AD:stä Webex-pilveen.

Voit poistaa organisaatiosi uusille Webex App -käyttäjille lähetettävät sähköpostiviestit käytöstä kohdassa Suppress Automated Emails kuvatun menettelyn mukaisesti. Asiakirjassa on myös parhaita käytäntöjä viestinnän lähettämiseen organisaatiosi käyttäjille.