Sign-on unique et Control Hub

L’authentification unique (SSO) est un processus d’identification de session ou d’utilisateur qui permet à un utilisateur de fournir des informations d’identification pour accéder à une ou plusieurs applications. Ce processus authentifie vos utilisateurs pour toutes les applications auxquelles ils ont droit. Il élimine d’autres invites lorsque les utilisateurs changent d’applications au cours d’une session particulière.

Le protocole de fédération SAML 2.0 (Security Assertion Markup Language) est utilisé pour fournir une authentification par accès SSO entre le Cloud Webex et votre fournisseur d’identité (IdP).

Profils

L’application Webex prend uniquement en charge le navigateur web SSO profil. Dans le profil de l SSO Webex, l’application Webex prend en charge les liaisons suivantes :

  • SP initié POST -> Liaison POST

  • SP a initié REDIRECT -> Liaison POST

Format NameID

Le protocole SAML 2 prend en charge un certain nombre de formats NameID dans le but de communiquer à propos d’un utilisateur spécifique. L’application Webex prend en charge les formats nameID suivants.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

Dans les métadonnées que vous chargez depuis votre IdP, la première entrée est configurée pour être utilisé dans Webex.

Déconnexion individuelle

L’application Webex prend en charge le profil de connexion unique. Dans l’application Webex , un utilisateur peut se déconnecter de l’application, qui utilise le protocole SAML unique de connexion pour mettre fin à la session et confirmer la connexion avec votre IdP. IdPs SSO testés

Intégrer Control Hub avec PingFederate pour l' sign-on unique


Les guides de configuration montrent un exemple spécifique d’intégration SSO mais ne fournissent pas une configuration exhaustive pour toutes les possibilités. Par exemple, les étapes d’intégration pour nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient sont documentées. D’autres formats tels que urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified ou urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress fonctionneront pour l’intégration SSO mais sont hors du champ de notre documentation.

Configurer cette intégration pour les utilisateurs dans votre organisation Webex (y compris l’application Webex , Webex Meetings , et autres services gérés dans Control Hub). Si votre site Webex est intégré dans Control Hub , le site Webex hérite de la gestion des utilisateurs. Si vous ne pouvez pas accéder aux Webex Meetings de cette façon et que la gestion n’est pas gérée dans Control Hub , vous devez faire une intégration séparée pour activer la SSO pour Webex Meetings . (Voir Configurer l’authentification unique SSO pour Webex pour plus d’informations sur l’intégration de l’authentification unique SSO dans l’administration du site).

Avant de commencer

Pour SSO control Hub , les IdP doivent être conformes à la spécification SAML 2.0. En outre, les IdP doivent être configurés de la manière suivante :

Téléchargez les métadonnées Webex sur votre système local

1.

À partir de l’affichage du client dans , allez à Gestion > Paramètres de l’organisation , puis faites défiler jusqu’à Authentification , puis basculez sur le paramètre Authentification unique pour lancer l’assistant https://admin.webex.com d’installation.

2

Choisissez le type de certificat pour votre organisation :

  • Auto-signé par Cisco—Nous recommandons ce choix. Laissez-nous signer le certificat afin que vous n’ayiez à le renouveler qu’une fois tous les cinq ans.
  • Signé par une autorité de certification publique —Plus sécurisée mais vous devez fréquemment mettre à jour les métadonnées (à moins que votre fournisseur IdP ne prend en charge leschevilles de confiance).

 

Les chevilles de confiance sont des clés publiques qui agissent en tant qu’autorité de vérification du certificat d’une signature numérique. Pour plus d’informations, reportez-vous à la documentation de votre IdP.

3

Télécharger le fichier de métadonnées.

Le fichier de métadonnées Webex est idb-meta-<org-ID>-SP.xml.

Configurer la connexion d’un nouveau fournisseur de service

1.

Allez à votre portail d’administration PingFederate ( https://<FQDN of PingFederate>:9999/pingfederate/app).

2

Sous CONNEXIONS SP, sélectionnez Créer une nouvelle connexion.

3

Sélectionnez la case d'option N'utilisez pas de modèle pour cette connexion, puis sélectionnez Suivant.

4

Sélectionnez Profils SSO du navigateur, puis cliquez sur Suivant.

5

Sélectionnez l'onglet Importer les métadonnées.

6

Cliquez sur Choisir un fichier pour parcourir et importer le fichier de métadonnées que vous avez téléchargé à partir de Control Hub, puis cliquez sur Suivant .

7

Consultez les Informations de l'onglet Informations générales, puis cliquez sur Terminé.

Configurer la signature unique (SSO) d’un navigateur

1.

Dans le portail d'administration PingFederate, sélectionnez Configurer l'authentification unique (SSO) du navigateur.

2

Cochez la case SP-Initiated SSO, puis cliquez sur Suivant.

3

Sélectionnez Configurer la création d'assertion.

  1. Modifiez le format NameID sur Transitoire et cochez la case Inclure des attributs en plus de l'identificateur transitoire.

  2. Étendez les attributs du contrat en ajoutant les attributs courrier électronique et uid au format urn:oasis:names:tc:SAML:2.0:attrname-format-basic, puis cliquez sur Suivant.

  3. Sélectionnez Mapper une nouvelle instance d'adaptateur pour sélectionner un mécanisme d'authentification. À partir du menu déroulant INSTANCE DE L'ADAPTATEUR, sélectionnez l'un des mécanismes d'authentification précédemment configurés, puis cliquez sur Suivant.

  4. Sélectionnez Récupérer des attributs supplémentaires à partir de plusieurs banques de données à l'aide d'un bouton radio de mappage, puis cliquez sur Suivant.

  5. Sélectionnez Ajouter une source d'attributs pour ajouter le contrôleur de domaine du répertoire actif pour le domaine, puis cliquez sur Suivant.

  6. Spécifiez le ND de base et sélectionnez la classe d’objet racine <Show All="" Attributes="">. Dans la zone de texte Filtre, Saisissez le filtre LDAP, puis cliquez sur Suivant.

    L'entrée doit comporter l'attribut utilisateur que vous prévoyez de fournir. Elle doit également contenir la valeur à laquelle il se mappe dans les sources LDAP. Par exemple, si votre répertoire actif est configuré pour filtrer l'attribut de connexion de Windows, Saisissez sAMAccountName=${Username}.

  7. Sélectionnez la source et la valeur pour mapper les attributs d'assertion avec les attributs fournis par la banque de données du répertoire actif (AD). (Ne saisissez rien pour les critères d'émission.)

  8. Vérifiez que la configuration d’assertion a Mappage des identités set sur Transitoire , Contrat d’attribut définissez sur uid etInstances de l’adaptateur sur 1.


     

    L’attribut uid doit être mapé sur l’adresse électronique de l’utilisateur.

4

Sélectionnez Configuration des paramètres du protocole.

  1. Pour les Associations SAML autorisables, cochez uniquement les cases POSTER et Rediriger.

  2. Pour la Politique de signature, sélectionnez Toujours signer l'Assertion SAML.

    Les paramètres du protocole doivent ressembler à ceci.

  3. Sélectionnez Configurer les identifiants pour configurer le certificat pour l'assertion.

  4. Sélectionnez le certificat qui a déjà été créé pour les assertions SAML.

5

Dans l'écran Activation et Sommaire, configurez le statut de la connexion sur actif.

Exporter les métadonnées à partir de PingFederate

1.

Sur l'écran principal, cliquez sur Gérer tous les SP.

2

Recherchez la connexion que vous venez de créer et cliquez sur Exporter les métadonnées.

3

Choisissez le certificat à utiliser pour signer le fichier exporté depuis le menu déroulant.

4

Cliquez sur Exporter.

Importer les métadonnées IdP et activer les authentification unique (SSO) après un test

Après avoir exporté les métadonnées Webex, configuré votre IdP et téléchargé les métadonnées IdP dans votre système local, vous êtes prêt à l’importer dans votre organisation Webex à partir de Control Hub .

Avant de commencer

Ne testez pas l’intégration SSO à partir de l’interface du fournisseur d’identité (IdP). Nous prenons uniquement en charge les flux initiés par le fournisseur de services (SP), vous devez donc utiliser le test SSO de Control Hub pour cette intégration.

1.

Choisissez une option :

  • Retournez à la page Control Hub – choix de certificat dans votre navigateur, puis cliquez sur Suivant .
  • Si Control Hub n’est plus ouvert dans l’onglet du navigateur, à partir de l’affichage du client dans , allez à Gestion > https://admin.webex.comParamètresde l’organisation , faites défiler jusqu’à Authentification , puis choisissez Actions > Importer les métadonnées .
2

Sur la page Importer les métadonnées IdP, faites glisser et déposez le fichier de métadonnées IdP sur la page, ou utilisez l’option de navigateur de fichiers pour localiser et charger le fichier de métadonnées. Cliquez sur Suivant.

Vous devez utiliser l’option Plus sécurisée, si vous le pouvez. Ceci est possible uniquement si votre IdP a utilisé une AC publique pour signer ses métadonnées.

Dans tous les autres cas, vous devez utiliser l’option Moins sécurisée. Ceci inclut si les métadonnées ne sont pas signées, auto-signées, ou signées par une AC privée.

3

Sélectionnez Tester SSO l’installation du , puis lorsqu’un nouvel onglet de navigation s’ouvre, authentifier avec l’IdP en vous authentification.


 

Si vous recevez une erreur d’authentification il peut y avoir un problème avec les identifiants de connexion. Veuillez vérifier le nom d’utilisateur et le mot de passe et réessayer.

Une erreur de l’application Webex signifie généralement qu’il y a un problème avec la configuration SSO’application. Dans ce cas, suivez à nouveau les étapes, notamment celles où vous copiez et collez les métadonnées Control Hub dans la configuration IdP.


 

Pour afficher l’SSO de se inscrire directement, vous pouvez également cliquer sur Copier l’URL dans le presse-papiers à partir de cet écran et la coller dans une fenêtre de navigateur privée. À partir de là, vous pouvez aller jusqu’à la signature avec SSO. Cette étape arrête les faux positif en raison d’un jeton d’accès qui peut être dans une session existante à partir de votre signature.

4

Retournez à l’onglet Control Hub du navigateur.

  • Si le test a réussi, sélectionnez Test réussi. Allumez le SSO et cliquez sur Suivant .
  • Si le test a échoué, sélectionnez Échec du test. Éteint et SSO cliquez sur Suivant.

 

La configuration SSO’entrée en réseau ne prend pas effet dans votre organisation à moins que vous ne choisissiez d’bouton à cliquer et d’activer SSO.

Ce qu’il faut faire ensuite

Vous pouvez suivre la procédure dans Supprimer les courriers électroniques automatisés pour désactiver les courriers électroniques qui sont envoyés aux nouveaux utilisateurs de l’application Webex de votre organisation. Ce document contient également les meilleures pratiques pour l’envoi de communications aux utilisateurs de votre organisation.