Sign-on unique et Control Hub

À partir de l’affichage du client dans , https://admin.webex.com allez à Gestion > Paramètresde l’organisation, puis faites défiler jusqu’à Authentification,puis basculez sur le paramètre Authentification unique pour lancer l’assistant d’installation.

Choisissez le type de certificat pour votre organisation :

• Auto-signé par Cisco—Nousrecommandons ce choix. Laissez-nous signer le certificat afin que vous n’ayiez à le renouveler qu’une seule fois tous les cinq ans.
• Signé par une autorité de certification publique—Plus sécurisée mais vous devez fréquemment mettre à jour les métadonnées (à moins que votre fournisseur IdP ne prend en charge les ancres de confiance).

Les chevilles de confiance sont des clés publiques qui agissent en tant qu’autorité de vérification du certificat d’une signature numérique. Pour plus d’informations, reportez-vous à la documentation de votre IdP.

Télécharger le fichier de métadonnées.

Allez au répertoire /opt/shibboleth-idp/conf pour accéder aux exemples de fichiers.

Décidez de la méthode d'autorisation à utiliser—par exemple, LDAP se lie au répertoire actif.

Modifiez le fichier handler.xml comme suit :

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>

Remplir les détails de votre répertoire actif pour permettre l'authentification. Fournissez la configuration au fichier login.config.

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Ajoutez le fichier que vous avez téléchargé à partir du FS Webex dans le répertoire /opt/shibboleth-idp/metadata.

Modifiez le fichier relying-party.xml ; après la balise DefaultRelyingParty, ajoutez les détails de l’assertion SAML pour Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

À l'intérieur des métadonnées : balise MetadataProvider, ajoutez l'emplacement du fichier :

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

Dans la section Connecteur de données, indiquez où récupérer les attributs de vos utilisateurs. Exemple :

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>

Dans la section Définition d'attribut, conservez ce qui est déjà dans la configuration pour transientID.

Ajoutez l'attribut supplémentaire attendu par le SP et définissez ce qu'il mappe dans la source de l'attribut.

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>

Définissez l'attribut à fournir à chaque accord SP dans le fichier attribute-filter.xml.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

Téléchargez le fichier de métadonnées à partir du serveur Shibboleth dans /opt/shibboleth-idp/metadata. Le nom de fichier est idp-metadata.xml.

Choisissez une option :

• Retournez à la page Control Hub – choix de certificat dans votre navigateur, puis cliquez sur Suivant.
• Si Control Hub n’est plus ouvert dans l’onglet du navigateur, https://admin.webex.comà partir de l’affichage du client dans , allez à Gestion > Paramètresde l’organisation, faites défiler jusqu’à Authentification, puis choisissez Actions > Importerles métadonnées.

Sur la page Importer les métadonnées IdP, faites glisser et déposez le fichier de métadonnées IdP sur la page, ou utilisez l’option de navigateur de fichiers pour localiser et charger le fichier de métadonnées. Cliquez sur Suivant.

Sélectionnez Tester SSO l’installationdu réseau, puis lorsqu’un nouvel onglet de navigation s’ouvre, authentifier avec l’IdP en vous authentification.

Si vous recevez une erreur d’authentification il peut y avoir un problème avec les identifiants de connexion. Veuillez vérifier le nom d’utilisateur et le mot de passe et réessayer. Une erreur de l’application Webex signifie généralement qu’il y a un problème SSO d’installation. Dans ce cas, suivez à nouveau les étapes, notamment celles où vous copiez et collez les métadonnées Control Hub dans la configuration IdP.

Pour voir l’SSO de se inscrire directement, vous pouvez également cliquer sur Copier l’URL dans le presse-papiers à partir de cet écran et la coller dans une fenêtre de navigateur privée. À partir de là, vous pouvez aller jusqu’à la signature avec SSO. Cette étape arrête les faux positif en raison d’un jeton d’accès qui peut être dans une session existante à partir de votre signature.

Retournez à l’onglet Control Hub du navigateur.

• Si le test a réussi, sélectionnez Test réussi. Allumez le SSO et cliquez sur Suivant.
• Si le test a échoué, sélectionnez Échec du test. Éteint et SSO cliquez sur Suivant.

La configuration SSO’entrée en réseau ne prend pas effet dans votre organisation à moins que vous ne choisissiez bouton à cliquer et activez le SSO.