À partir de la vue client danshttps://admin.webex.com , allez à Gestion > Paramètres de l'organisation , puis faites défiler jusqu’à Authentification , puis activez Authentification unique pour démarrer l’assistant d’installation.

Choisissez le type de certificat pour votre organisation :

• Auto-signé par Cisco : nous recommandons ce choix. Laissez-nous signer le certificat afin que vous n’ayez à le renouveler qu’une fois tous les cinq ans.
• Signé par une autorité de certification publique : plus sûr, mais vous devrez fréquemment mettre à jour les métadonnées (à moins que votre fournisseur d'IdP ne prenne en charge les ancres de confiance).

Les ancres de confiance sont des clés publiques qui agissent en tant qu'autorité pour vérifier le certificat d'une signature numérique. Pour plus d’informations, reportez-vous à la documentation de votre IdP.

Télécharger le fichier de métadonnées.

À partir de votre interface d'administration BIG-IP F5, allez à Politique d'accès > SAML > BIG-IP comme IdP.

Dans Connecteurs SP externes, sélectionnez Créer > À partir des métadonnées.

Saisissez un nom explicite pour le nom du fournisseur de service, tel que .ciscowebex.com.<yourorganizationname>

Sous Paramètres sécurité, cochez les cases suivantes :

• La réponse doit être signée
• L'assertion doit être signée

Retourner à Politique d'accès > SAML > BIG-IP comme IdP, puis créez un nouveau service de fournisseur d'identité (IdP).

Saisissez un nom explicite pour le nom de l'IDP, tels que le IC.

Pour l'ID de l'entité IdP, utilisez le nom de domaine complet du serveur Big-IP avec quelque chose devant, par exemple, https://bigip0a.uc8sevtlab13.com/CI.

Sous Paramètres d'assertion, sélectionnez Identifiant transitoire pourtype de sujet d'assertion.

Pour la Valeur pour l'assertion, renvoyez la valeur du courrier électronique de l'utilisateur %{session.ad.last.attr.mail}.

Renvoyez les attributs adresse électronique et uid avec la valeur %{session.ad.last.attr.mail}.

Sous Paramètres sécurité, sélectionner un certificat pour signer l'assertion.

Enregistrez vos modifications, puis liez le fournisseur de services et le fournisseur d'identité que vous avez créé.

Sélectionnez Exporter le service IDP.

Assurez-vous que la valeur Sign Metadata est Oui.

Téléchargez le fichier de métadonnées sur votre bureau ou dans un dossier facile à trouver.

Accédez à Politique d'accès > Accès aux profils > SAML et créez une ressource SAML pour l'IdP que vous avez créée.

Allez à votre accès aux profils et éditez votre politique d'accès que vous utilisez pour WebEx Messenger CAS.

Ajouter un nouvel onglet Connexion avec le nom de Page de connexion et laissez les valeurs par défaut.

Ajoutez un nouvel élément dans l'onglet Authentification avec le nom AD Auth et spécifiez votre répertoire actif comme serveur.

Sur la succursale réussie, ajoutez requête AD à partir de l'onglet Authentication

Accédez à Règles de branche et modifiez-la en La requête AD est transmise.

Sur la succursale réussie de la requête AD, ajoutez Affectation avancée des ressources de l'onglet Affectation.

Cliquez sur Ajouter/Supprimer et ajoutez deux ressources SAML avec toutes les ressources SAML et Webtop que vous avez créées.

Pour Sélectionnez Terminer, sélectionnez Autoriser.

La politique d'accès devrait ressembler à cette capture d'écran :

Aller à Trafic local > Serveurs virtuels.

Ouvrez les profils d'accès pour confirmer qu'aucun serveur virtuel n'est associé au profil.

Sélectionnez Affectation avancée de ressources.

Sélectionnez Ajouter/Supprimer pour ajouter la nouvelle ressource SAML.

Fermez les fenêtres de conception de la politique d'accès et appliquez la nouvelle stratégie d'accès.

Choisissez une option :

• Revenez à la page Control Hub – sélection du certificat dans votre navigateur, puis cliquez sur Suivant .
• Si Control Hub n'est plus ouvert dans l'onglet du navigateur, à partir de l'affichage du client danshttps://admin.webex.com , allez à Gestion > Paramètres de l'organisation , faites défiler jusqu'à Authentification , puis choisissez Actions > Importer des métadonnées .

Sur la page Importer les métadonnées IdP, faites glisser et déposez le fichier de métadonnées IdP sur la page, ou utilisez l’option de navigateur de fichiers pour localiser et charger le fichier de métadonnées. Cliquez sur Suivant.

Vous devez utiliser le Plus sécurisé option, si vous le pouvez. Ceci n'est possible que si votre IdP a utilisé une autorité de certification publique pour signer ses métadonnées.

Dans tous les autres cas, vous devez utiliser le Moins sécurisé option. Cela inclut si les métadonnées ne sont pas signées, auto-signées ou signées par une autorité de certification privée.

Okta ne signe pas les métadonnées, vous devez donc choisir Moins sécurisé pour une intégration Okta SSO .

Sélectionner Tester la configuration SSO , et lorsqu'un nouvel onglet de navigateur s'ouvre, authentifiez-vous auprès de l'IdP en vous connectant.

Si vous recevez une erreur d’authentification il peut y avoir un problème avec les identifiants de connexion. Veuillez vérifier le nom d’utilisateur et le mot de passe et réessayer. Une erreur de l'application Webex signifie généralement un problème avec la configuration SSO . Dans ce cas, suivez à nouveau les étapes, notamment celles où vous copiez et collez les métadonnées Control Hub dans la configuration IdP.

Pour voir directement l’expérience de connexion SSO, vous pouvez également cliquer sur Copier l’URL dans le presse-papiers à partir de cet écran et la coller dans une fenêtre de navigation privée. De là, vous pouvez vous connecter avec la SSO. Cette étape arrête les faux positifs en raison d'un jeton d'accès qui peut être dans une session existante à partir de votre connexion.

Retournez à l’onglet Control Hub du navigateur.

• Si le test a réussi, sélectionnez Test réussi. Activer SSO et cliquez sur Suivant .
• Si le test a échoué, sélectionnez Test infructueux. Désactiver SSO et cliquez sur Suivant .

La configuration SSO ne prend effet dans votre organisation que si vous choisissez le premier bouton radio et activez SSO.