SSO avec plusieurs IDP dans Webex

L'authentification unique (SSO) permet aux utilisateurs de se connecter à Webex en toute sécurité en s'authentifiant auprès du fournisseur d'identité commun de votre organisation. Un fournisseur d'identité (IdP) stocke et gère en toute sécurité les identités numériques de vos utilisateurs et fournit un service d'authentification à vos utilisateurs Webex.

Pourquoi vous pourriez avoir besoin de plusieurs IDP

De nombreuses grandes entreprises procèdent à des fusions et acquisitions, et ces entreprises disposent rarement de la même infrastructure informatique et des mêmes fournisseurs d'identité. Les institutions gouvernementales sont gérées par diverses organisations et agences. Souvent, ces organisations disposent d'une adresse e-mail unique pour leurs propres services informatiques et leur propre infrastructure, respectivement. Les principaux établissements d'enseignement ont une centrale d'achats, mais différentes universités et universités ont des organisations et des départements informatiques différents.

Il est courant de voir des IDP et des fournisseurs de services (SP) se fédérer. L'IdP est chargé d'authentifier les informations d'identification de vos utilisateurs et le SP fait confiance à l'authentification effectuée par l'IdP. Cela permet à vos utilisateurs d'accéder à différentes applications et services SaaS en utilisant la même identité numérique. Mais si, pour une raison ou une autre, votre organisation ne parvient pas à fédérer les IdP, Webex propose une solution pour prendre en charge plusieurs IDP. Pour ces raisons, nous vous donnons la possibilité de configurer le SSO pour plusieurs IdP dans Webex et de simplifier le processus d'authentification de vos utilisateurs.

Limites

Tous les utilisateurs doivent disposer de Directory Connector si vous utilisez Directory Connector dans votre organisation. Consultez le guide de déploiement du Directory Connector pour plus d' informations.

Actuellement, seuls SAML, OpenID Connect et Webex Identity sont pris en charge en tant que fournisseurs d'identité.

Hors de portée

Configurez les devoirs de groupe.

Vérification du domaine. Reportez-vous à la section Gestion de vos domaines pour plus d'informations.

Approvisionnement des utilisateurs. Reportez-vous à la section Méthodes d'ajout d'utilisateurs à votre organisation Control Hub pour plus d'informations.

Cette section explique comment intégrer vos fournisseurs d'identité (IdP) à votre organisation Webex . Vous pouvez choisir les IDP qui correspondent le mieux aux besoins de votre organisation.

Si vous recherchez l'intégration SSO d'un Webex Meetings site (géré dans l'administration du site), reportez-vous à la section Configurer l'authentification unique pour Webex Administration.

Prérequis

Avant de commencer

Assurez-vous que les conditions suivantes sont remplies :

Vous devez avoir un rôle d'administrateur à part entière dans Control Hub.

Un fichier de métadonnées de l'IdP à transmettre à Webex et un fichier de métadonnées de Webex, à transmettre à l'IdP. Pour plus d'informations, reportez-vous à la section Intégration de l' authentification unique dans Control Hub. Cela ne s'applique qu'à la configuration SAML.

Vous devriez planifier le comportement de vos règles de routage avant de configurer plusieurs IDP.

La règle de routage par défaut est appliquée une fois que vous avez configuré votre IdP initial. Mais vous pouvez définir un autre IdP par défaut. Reportez-vous à la section Ajouter ou modifier une règle de routage dans l'onglet Règles de routage de cet article.

Configurer SAML

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité et cliquez sur Activer le SSO.
4	Sélectionnez SAML comme IdP et cliquez sur Suivant.
5	Choisissez le type de certificat : Autosigné par Cisco. Nous recommandons ce choix. Laissez-nous signer le certificat pour que vous n'ayez à le renouveler qu'une fois tous les cinq ans. Signé par une autorité de certification publique. C'est plus sûr, mais vous devrez fréquemment mettre à jour les métadonnées.
6	Cliquez sur Télécharger les métadonnées, puis sur Suivant. <org-ID>Le nom du fichier de métadonnées de l'application Webex est idb-meta - -SP.xml.
7	Téléchargez le fichier de métadonnées de votre IdP ou remplissez le formulaire de configuration. Lors du téléchargement du fichier de métadonnées, il existe deux manières de valider les métadonnées à partir de l'IdP du client : L'IdP du client fournit une signature dans les métadonnées qui sont signées par une autorité de certification racine publique. L'IdP du client fournit une autorité de certification privée autosignée ou ne fournit pas de signature pour ses métadonnées. Cette option est moins sécurisée. Sinon, dans le formulaire de configuration, saisissez les informations relatives à l'IdP. Cliquez sur Suivant.
8	`(Facultatif) Vous pouvez changer le nom de l'attribut SAML pour le nom d'utilisateur Webex ou l'adresse e-mail principale de uid à un nom convenu avec le gestionnaire de l'IdP, comme e-mail, upn, etc.`
9	(Facultatif) Configurez les paramètres Just In Time (JIT) et la réponse du mappage SAML. Reportez-vous à la section Configure Just In Time (JIT) et au mappage SAML dans l'onglet Gérer vos IdPs de cet article.
10	Cliquez sur Tester la configuration du SSO, et lorsqu'un nouvel onglet de navigateur s'ouvre, authentifiez-vous auprès de l' IdP en vous connectant. Testez la connexion SSO avant de l'activer. Cette étape fonctionne comme une version préliminaire et n'affecte pas les paramètres de votre organisation tant que vous n'aurez pas activé le SSO à l'étape suivante. Si vous recevez une erreur d'authentification, il y a peut-être un problème avec les informations d'identification. Vérifiez le nom d'utilisateur et le mot de passe, puis réessayez. Une erreur dans l'application Webex est généralement due à un problème de configuration du SSO. Dans ce cas, resuivez les étapes, en particulier celles qui consistent à copier-coller les métadonnées de Control Hub dans la configuration de l'IdP. Pour découvrir l'expérience de connexion SSO, nous vous recommandons de cliquer sur Copier l'URL dans le presse-papiers depuis cet écran et de la coller dans une fenêtre de navigateur privé. À partir de là, vous pouvez vous connecter par SSO. Cela permet de supprimer toutes les informations mises en cache dans votre navigateur Web qui pourraient donner un résultat faussement positif lors du test de votre configuration SSO.
11	Retournez à l'onglet du navigateur Control Hub. Si le test est réussi, sélectionnez Test réussi. Activez le SSO et l' IdP, puis cliquez sur Activer. Si le test n'a pas abouti, sélectionnez Échec du test. Revenez aux étapes précédentes pour corriger les erreurs. La configuration SSO ne prend pas effet dans votre organisation à moins que vous n'appuyiez sur le premier bouton radio et que vous n'activiez le SSO.

Que faire ensuite

Vous pouvez définir une règle de routage. Reportez-vous à la section Ajouter ou modifier une règle de routage dans l'onglet Règles de routage de cet article.

Vous pouvez suivre la procédure décrite dans Supprimer les e-mails automatisés pour désactiver les e-mails envoyés aux nouveaux utilisateurs de l'application Webex au sein de votre organisation. Le document contient également les meilleures pratiques pour envoyer des communications aux utilisateurs de votre organisation.

Configurer OpenID Connect

Lorsque vous configurez OpenID Connect avec Entra ID ou un IdP dont l'e-mail n'est pas un identifiant permanent, nous vous recommandons d'utiliser l'attribut de lien ExternalID pour le mapper à un identifiant unique. Pour Entra ID, nous vous suggérons de faire correspondre OIDC à ExternalID. Si nous constatons que l'e-mail ne correspond pas à l'attribut de lien, l'utilisateur est invité à vérifier son identité ou à créer un nouvel utilisateur avec la bonne adresse e-mail.

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité et cliquez sur Activer le SSO.
4	Sélectionnez OpenID Connect comme IdP et cliquez sur Suivant.
5	Entrez les informations de votre IdP. Nom : nom permettant d'identifier votre IdP. ID client : identifiant unique permettant de vous identifier, vous et votre IdP. Secret du client : mot de passe que vous et votre IdP connaissez. Portées : les étendues à associer à votre IdP.
6	(Facultatif) Activez Allow Proof Key for Code Exchange (PKCE) pour configurer votre IdP OIDC avec cette extension de sécurité. Cela renforce la sécurité des applications clientes et garantit la compatibilité avec les utilisateurs qui en ont besoin.
7	Choisissez comment ajouter des points de terminaison. Cela peut se faire automatiquement ou manuellement. Utilisez l'URL de découverte pour ajouter automatiquement des points de terminaison. Entrez l'URL de découverte de votre IdP. Cette URL renseignera automatiquement les points de terminaison nécessaires à la déconnexion unique (SLO) OIDC. Activez Autoriser la session pour vous déconnecter automatiquement pour vous assurer que les utilisateurs sont déconnectés de toutes les applications et services connectés lorsqu' ils se déconnectent de Webex. Si vous préférez ajouter manuellement toutes les informations relatives aux terminaux, ajoutez les informations suivantes. Émetteur : saisissez l'URL de l'émetteur telle que spécifiée par votre IdP. Point de terminaison d'autorisation : entrez l'URL du point de terminaison d'autorisation. Point de terminaison du jeton : entrez l'URL du point de terminaison du jeton. Point de terminaison JWKS : entrez l'URL du jeu de clés Web JSON (JWKS). Point de terminaison des informations utilisateur : entrez l'URL du point de terminaison des informations utilisateur. Si Autoriser la déconnexion automatique de la session est activé, vous devez saisir l'URL du point de terminaison de déconnexion de la session pour activer la déconnexion unique (SLO) sur toutes les applications connectées. Pour plus d'informations, consultez le guide de configuration d'OpenID Connect.
8	(Facultatif) Configurez les paramètres Just In Time (JIT). Reportez-vous à la section Configure Just In Time (JIT) et au mappage SAML dans l'onglet Gérer vos IdPs de cet article.
9	Cliquez sur Tester la configuration du SSO, et lorsqu'un nouvel onglet de navigateur s'ouvre, authentifiez-vous auprès de l' IdP en vous connectant. Testez la connexion SSO avant de l'activer. Cette étape fonctionne comme une version préliminaire et n'affecte pas les paramètres de votre organisation tant que vous n'aurez pas activé le SSO à l'étape suivante. Si vous recevez une erreur d'authentification, il y a peut-être un problème avec les informations d'identification. Vérifiez le nom d'utilisateur et le mot de passe, puis réessayez. Une erreur dans l'application Webex est généralement due à un problème de configuration du SSO. Dans ce cas, resuivez les étapes, en particulier celles qui consistent à copier-coller les métadonnées de Control Hub dans la configuration de l'IdP. Pour découvrir l'expérience de connexion SSO, nous vous recommandons de cliquer sur Copier l'URL dans le presse-papiers depuis cet écran et de la coller dans une fenêtre de navigateur privé. À partir de là, vous pouvez vous connecter par SSO. Cela permet de supprimer toutes les informations mises en cache dans votre navigateur Web qui pourraient donner un résultat faussement positif lors du test de votre configuration SSO.
10	Retournez à l'onglet du navigateur Control Hub. Si le test est réussi, sélectionnez Test réussi. Activez le SSO et l' IdP, puis cliquez sur Activer. Si le test n'a pas abouti, sélectionnez Échec du test. Revenez aux étapes précédentes pour corriger les erreurs. La configuration SSO ne prend pas effet dans votre organisation à moins que vous n'appuyiez sur le premier bouton radio et que vous n'activiez le SSO.

Que faire ensuite

Vous pouvez définir une règle de routage. Reportez-vous à la section Ajouter ou modifier une règle de routage dans l'onglet Règles de routage de cet article.

Configurer Webex Identity

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité et cliquez sur Activer le SSO.
4	Sélectionnez Webex comme IdP et cliquez sur Suivant.
5	Vérifiez que j'ai lu et compris le fonctionnement de Webex IdP et cliquez sur Suivant.
6	Définissez une règle de routage. Reportez-vous à la section Ajouter ou modifier une règle de routage dans l'onglet Règles de routage de cet article.

Une fois que vous avez ajouté une règle de routage, votre IdP est ajouté et apparaît sous l'onglet Fournisseur d'identité.

Que faire ensuite

Les règles de routage s'appliquent lorsque vous configurez plus d'un IdP. Les règles de routage permettent à Webex d'identifier vers quel IdP envoyer vos utilisateurs lorsque vous en avez configuré plusieurs.

Lorsque vous configurez plusieurs IdP, vous pouvez définir vos règles de routage dans l'assistant de configuration SSO. Si vous sautez l'étape des règles de routage, Control Hub ajoute l'IdP mais ne l' active pas. Vous devez ajouter une règle de routage pour activer l'IdP.

Ajouter ou modifier des règles de routage

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Règles de routage. Lorsque vous configurez votre premier IdP, la règle de routage est automatiquement ajoutée et définie comme règle par défaut. Vous pourrez choisir un autre IdP à définir comme règle par défaut ultérieurement.
4	Cliquez sur Ajouter une nouvelle règle de routage.
5	Entrez les détails d'une règle de routage : Nom de la règle : entrez le nom de la règle de routage. Sélectionnez un type de routage : sélectionnez un domaine ou un groupe. S'il s'agit de vos domaines/groupes, entrez les domaines/groupes au sein de votre organisation . Utilisez ensuite ce fournisseur d'identité : sélectionnez l'IdP.
6	Sélectionnez la méthode d'authentification multifactorielle (MFA) : Conserver le statut MFA actuel : vous permet de conserver la méthode MFA existante sans apporter de modifications. Remplacer le statut MFA actuel : vous permet de modifier la méthode MFA existante pour une nouvelle configuration. Autoriser le MFA pour cette règle uniquement. Activez cette option pour activer le MFA spécifiquement pour la règle de routage actuelle. Pour plus d'informations sur la configuration de l'authentification multifacteur pour votre organisation, voir Activer l'intégration de l'authentification multifacteur dans Control Hub.
7	Cliquez sur Ajouter.
8	Sélectionnez la nouvelle règle de routage et cliquez sur Activer.

Vous pouvez modifier l'ordre de priorité des règles de routage si vous avez des règles de routage pour plusieurs IDP.

Désactiver ou supprimer les règles de routage

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Règles de routage.
4	Sélectionnez la règle de routage.
5	Choisissez si vous souhaitez désactiver ou supprimer la règle de routage. Il est recommandé d'avoir une autre règle de routage active pour l'IdP. Sinon, vous risquez de rencontrer des problèmes avec votre connexion SSO.

La règle par défaut ne peut être ni désactivée ni supprimée, mais vous pouvez modifier l'IdP routé.

Gérez vos certificats de fournisseur d'identité (IdP)

Avant de commencer

De temps à autre, il se peut que vous receviez une notification par e-mail ou que vous voyiez une alerte dans Control Hub indiquant que le certificat IdP va expirer. Comme les fournisseurs d'IdP disposent de leur propre documentation spécifique pour le renouvellement des certificats, nous expliquons ce qui est requis dans Control Hub, ainsi que les étapes générales pour récupérer les métadonnées IdP mises à jour et les télécharger sur Control Hub pour renouveler le certificat.

Cela ne s'applique qu'à la configuration SAML.

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité.
4	Accédez à l'IdP, cliquez et sélectionnez Upload Idp metadata. Pour télécharger le fichier de métadonnées, cliquez et sélectionnez Télécharger les métadonnées Idp.
5	Accédez à l'interface de gestion de votre IdP pour récupérer le nouveau fichier de métadonnées.
6	Retournez à Control Hub et faites glisser le fichier de métadonnées de votre IdP dans la zone de téléchargement ou cliquez sur Choisir un fichier pour télécharger les métadonnées.
7	Choisissez Moins sécurisé (autosigné) ou Plus sécurisé (signé par une autorité de certification publique), selon la manière dont les métadonnées de votre IdP sont signées, puis cliquez sur Enregistrer.
8	Configurez les paramètres Just In Time (JIT) et la réponse du mappage SAML. Reportez-vous à la section Configure Just In Time (JIT) et au mappage SAML dans l'onglet Gérer vos IdPs de cet article.
9	Cliquez sur Tester la configuration du SSO, et lorsqu'un nouvel onglet de navigateur s'ouvre, authentifiez-vous auprès de l' IdP en vous connectant. Testez la connexion SSO avant de l'activer. Cette étape fonctionne comme une version préliminaire et n'affecte pas les paramètres de votre organisation tant que vous n'aurez pas activé le SSO à l'étape suivante. Si vous recevez une erreur d'authentification, il y a peut-être un problème avec les informations d'identification. Vérifiez le nom d'utilisateur et le mot de passe, puis réessayez. Une erreur dans l'application Webex est généralement due à un problème de configuration du SSO. Dans ce cas, resuivez les étapes, en particulier celles qui consistent à copier-coller les métadonnées de Control Hub dans la configuration de l'IdP. Pour découvrir l'expérience de connexion SSO, nous vous recommandons de cliquer sur Copier l'URL dans le presse-papiers depuis cet écran et de la coller dans une fenêtre de navigateur privé. À partir de là, vous pouvez vous connecter par SSO. Cela permet de supprimer toutes les informations mises en cache dans votre navigateur Web qui pourraient donner un résultat faussement positif lors du test de votre configuration SSO.
10	Cliquez sur Enregistrer.

Gérez vos certificats de fournisseur de services (SP)

Avant de commencer

Il est recommandé de mettre à jour tous les IDP de votre organisation lors du renouvellement de votre certificat SP.

Cela ne s'applique qu'à la configuration SAML.

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité.
4	Accédez à l'IdP et cliquez .
5	Cliquez sur Vérifier les certificats et leur date d'expiration. Vous êtes redirigée vers la page des certificats des fournisseurs de services (SP). Vous pouvez cliquer pour télécharger les métadonnées ou le certificat SP. Si votre organisation utilise des certificats doubles, vous avez également la possibilité de passer d'un certificat secondaire à un certificat principal ou de supprimer un certificat secondaire existant.
6	Cliquez sur Renouveler le certificat.
7	Choisissez le type d'IdP dans votre organisation : IdP qui prend en charge un seul certificat IdP qui prend en charge plusieurs certificats
8	Choisissez le type de certificat pour le renouvellement : Autosigné par Cisco (recommandé). Nous recommandons ce choix. Laissez-nous signer le certificat pour que vous n'ayez à le renouveler qu'une fois tous les cinq ans. Signé par une autorité de certification publique. C'est plus sûr, mais vous devrez fréquemment mettre à jour les métadonnées.
9	Pour confirmer que vous souhaitez remplacer le certificat actuel par celui que vous avez sélectionné, cochez En cliquant sur Remplacer un certificat, je vais échanger le certificat actuel avec celui que j'ai sélectionné, puis cliquez sur Remplacer un certificat.
10	Sur la page Renouveler les certificats des fournisseurs de services (SP), cliquez sur Télécharger les métadonnées ou sur Télécharger le certificat pour télécharger une copie du fichier de métadonnées ou du certificat mis à jour depuis le cloud Webex.
11	Accédez à l'interface de gestion de votre IdP pour télécharger le nouveau fichier de métadonnées ou le nouveau certificat Webex. Cette étape peut être effectuée via un onglet de navigateur, le protocole RDP (Remote Desktop Protocol) ou via l'assistance d'un fournisseur de cloud spécifique, selon la configuration de votre IdP et selon que vous ou un administrateur IdP distinct êtes responsable de cette étape. Pour plus d'informations, consultez nos guides d'intégration SSO ou contactez l'administrateur de votre IdP pour obtenir de l'aide. Si vous utilisez Active Directory Federation Services (AD FS), vous pouvez voir comment mettre à jour les métadonnées Webex dans AD FS
12	Retournez à l'interface Control Hub. Sur la page Renewal Service Provider ( SP), vérifiez que j'ai déjà mis à jour les métadonnées de tous les IdP, puis cliquez sur Suivant.
13	Cliquez sur OK.

Testez votre configuration SSO

Avant de commencer

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité.
4	Accédez à l'IdP et cliquez .
5	Sélectionnez Test IdP.
6	Cliquez sur Tester la configuration du SSO, et lorsqu'un nouvel onglet de navigateur s'ouvre, authentifiez-vous auprès de l' IdP en vous connectant. Si vous recevez une erreur d'authentification, il y a peut-être un problème avec les informations d'identification. Vérifiez le nom d'utilisateur et le mot de passe, puis réessayez. Une erreur dans l'application Webex est généralement due à un problème de configuration du SSO. Dans ce cas, resuivez les étapes, en particulier celles qui consistent à copier-coller les métadonnées de Control Hub dans la configuration de l'IdP. Pour découvrir l'expérience de connexion SSO, nous vous recommandons de cliquer sur Copier l'URL dans le presse-papiers depuis cet écran et de la coller dans une fenêtre de navigateur privé. À partir de là, vous pouvez vous connecter par SSO. Cela permet de supprimer toutes les informations mises en cache dans votre navigateur Web qui pourraient donner un résultat faussement positif lors du test de votre configuration SSO.
7	Retournez à l'onglet du navigateur Control Hub. Si le test est réussi, sélectionnez Test réussi. Activez le SSO et l' IdP, puis cliquez sur Enregistrer. Si le test n'a pas abouti, sélectionnez Échec du test. Revenez aux étapes précédentes pour corriger les erreurs. La configuration SSO ne prend pas effet dans votre organisation à moins que vous n'appuyiez sur le premier bouton radio et que vous n'activiez le SSO.

Configurer le mappage Just In Time (JIT) et SAML

Avant de commencer

Assurez-vous que les conditions préalables suivantes sont remplies :

Le SSO est déjà configuré.
Les domaines ont déjà été vérifiés.
Les domaines sont revendiqués et activés. Cette fonctionnalité garantit que les utilisateurs de votre domaine sont créés et mis à jour une fois qu'ils s'authentifient auprès de votre IdP.
Si DirSync ou Entra ID sont activés, la création ou la mise à jour du SAML JIT ne fonctionnera pas.
« Bloquer la mise à jour du profil utilisateur » est activé. Le mappage des mises à jour SAML est autorisé car cette configuration contrôle la capacité de l'utilisateur à modifier les attributs. Les méthodes de création et de mise à jour contrôlées par l'administrateur sont toujours prises en charge.

Lorsque vous configurez SAML JIT avec un identifiant Entra ou un IdP dont l'e-mail n'est pas un identifiant permanent, nous vous recommandons d'utiliser l'attribut de lien ExternalID pour le mapper à un identifiant unique. Si nous constatons que l'e-mail ne correspond pas à l'attribut de lien, l'utilisateur est invité à vérifier son identité ou à créer un nouvel utilisateur avec la bonne adresse e-mail.

Les utilisateurs nouvellement créés ne se verront pas attribuer automatiquement de licences à moins que l'organisation n'ait configuré un modèle de licence automatique.

Connectez-vous à Control Hub.

Accédez à Gestion > Sécurité > Authentification.

Accédez à l'onglet Fournisseur d'identité.

Accédez à l'IdP et cliquez More menu .

Sélectionnez Modifier le mappage SAML.

Configurez les paramètres Just-in-Time (JIT).

Créer ou activer un utilisateur : si aucun utilisateur actif n'est trouvé, Webex Identity le crée et met à jour ses attributs une fois que celui-ci s'est authentifié auprès de l'IdP.
Mettre à jour l'utilisateur avec les attributs SAML : si un utilisateur possède une adresse e-mail, Webex Identity le met à jour avec les attributs mappés dans l'assertion SAML.

Vérifiez que les utilisateurs peuvent se connecter avec une adresse e-mail différente et non identifiable.

Configurez les attributs requis pour le mappage SAML.

Tableau 1. Attributs obligatoires
Nom de l'attribut Webex Identity	nom de l'attribut SAML	Description des attributs
Nom d'utilisateur/adresse e-mail principale	Exemple : uid	Associez l'attribut UID à l'adresse e-mail, upn ou edupersonprincipalname de l'utilisateur configuré.

Configurez les attributs de liaison.

Cela doit être propre à chaque utilisateur. Il est utilisé pour rechercher un utilisateur afin que Webex puisse mettre à jour tous les attributs de son profil, y compris son adresse e-mail.

Tableau 2. Attributs de liens
Nom de l'attribut Webex Identity	nom de l'attribut SAML	Description des attributs
ID externe	Exemple : user.objectid	Pour identifier cet utilisateur à partir d'autres profils individuels. C'est nécessaire pour établir un mappage entre des annuaires ou pour modifier d'autres attributs de profil.
Attribut d'extension 1	Exemple : user.extensionattribute1	Associez ces attributs personnalisés à des attributs étendus d'Entra ID ou de votre annuaire, pour les codes de suivi.
Attribut d'extension 2	Exemple : user.extensionattribute2
Attribut d'extension 3	Exemple : user.extensionattribute3
Attribut d'extension 4	Exemple : user.extensionlattribute4
Attribut d'extension 5	Exemple : user.extensionattribute5

Configurez les attributs du profil.

Tableau 3. Attributs du profil
Nom de l'attribut Webex Identity	nom de l'attribut SAML	Description des attributs
ID externe	Exemple : user.objectid	Pour identifier cet utilisateur à partir d'autres profils individuels. C'est nécessaire pour établir un mappage entre des annuaires ou pour modifier d'autres attributs de profil.
Langue préférée	Exemple : user.preferredlanguage	La langue préférée de l'utilisateur.
locale	Exemple : user.locale	Lieu de travail principal de l'utilisateur.
fuseau horaire	Exemple : user.timezone	Fuseau horaire principal de l'utilisateur.
DisplayName	Exemple : user.displayname	Le nom d'affichage de l'utilisateur dans Webex.
Nom. Prénom	Exemple : user.givenname	Le prénom de l'utilisateur.
Nom. Nom de famille	Exemple : user.name	Le nom de famille de l'utilisateur.
Adresses. Adresse	Exemple : user.streetaddress	L'adresse de leur lieu de travail principal.
adresses. localité	Exemple : user.locality	La localité de leur lieu de travail principal.
adresses.region	Exemple : user.region	La région de leur lieu de travail principal.
Adresses. Code postal	Exemple : user.postalcode	Le code postal de leur lieu de travail principal.
adresses. pays	Exemple : user.country	Le pays de leur lieu de travail principal.
Numéros de téléphone. Work	Exemple : numéro de téléphone professionnel	Le numéro de téléphone professionnel de leur lieu de travail principal. Utilisez uniquement le format international E.164 (15 chiffres maximum).
Numéros de téléphone. Extension	Exemple : numéro de téléphone du poste	L'extension professionnelle de leur numéro de téléphone professionnel principal. Utilisez uniquement le format international E.164 (15 chiffres maximum).
Numéros de téléphone. Mobile	Exemple : numéro de téléphone portable	Le numéro de téléphone portable de leur lieu de travail principal. Utilisez uniquement le format international E.164 (15 chiffres maximum).
titre	Exemple : user.jobtitle	Intitulé du poste de l'utilisateur.
département	Exemple : user.department	Le service ou l'équipe du poste de l'utilisateur.
emails.work	Exemple : e-mails professionnels	Les e-mails professionnels de l'utilisateur.
organisation	Exemple : user.organization	L'identifiant de l'organisation de l'utilisateur

Configurez les attributs du groupe.

Créez un groupe dans Control Hub et notez l'identifiant du groupe Webex.
Accédez à votre répertoire d'utilisateurs ou à votre IdP et configurez un attribut pour les utilisateurs auxquels l'identifiant de groupe Webex sera attribué.
Mettez à jour la configuration de votre IdP pour inclure une réclamation contenant ce nom d'attribut ainsi que l'identifiant du groupe Webex (par exemple c65f7d85-b691-42b8-a20b-12345xxxx). Vous pouvez également utiliser l'identifiant externe pour gérer les modifications apportées aux noms des groupes ou pour de futurs scénarios d'intégration. Par exemple, la synchronisation avec Entra ID ou la mise en œuvre de la synchronisation des groupes SCIM.
Spécifiez le nom exact de l'attribut qui sera envoyé dans l'assertion SAML avec l'identifiant du groupe. C'est utilisé pour ajouter l'utilisateur à un groupe.
Spécifiez le nom exact de l'identifiant externe de l'objet du groupe si vous utilisez un groupe de votre annuaire pour envoyer des membres dans l'assertion SAML.

Si l'utilisateur A est associé à l'ID de groupe 1234 et l'utilisateur B à l'ID de groupe 4567, ils sont affectés à des groupes distincts. Ce scénario indique qu'un seul attribut permet aux utilisateurs de s'associer à plusieurs identifiants de groupe. Bien que cela soit rare, c'est possible et peut être considéré comme un changement additif. Par exemple, si l'utilisateur A se connecte pour la première fois en utilisant l'ID de groupe 1234, il devient membre du groupe correspondant. Si l'utilisateur A se connecte ultérieurement en utilisant l' ID de groupe 4567, il est également ajouté à ce second groupe.

Le provisionnement SAML JIT ne permet pas de supprimer des utilisateurs des groupes ni de supprimer des utilisateurs.

Tableau 4. Attributs du groupe
Nom de l'attribut Webex Identity	nom de l'attribut SAML	Description des attributs
ID de groupe	Exemple : GroupID	Associez les attributs de groupe de l'IdP aux attributs du groupe Webex Identity dans le but de mapper cet utilisateur à un groupe pour les licences ou le service de paramétrage.
ID externe du groupe	Exemple : GroupExternalID	Associez les attributs de groupe de l'IdP aux attributs du groupe Webex Identity dans le but de mapper cet utilisateur à un groupe pour les licences ou le service de paramétrage.

Pour une liste des attributs d'assertion SAML pourWebex Meetings, voir Attributs d'assertion SAML pour Webex Meetings et Jabber.

Supprimer votre fournisseur d'identité (IdP)

Avant de commencer

Il est recommandé de désactiver ou de supprimer d'abord les règles de routage de l'IdP avant de supprimer l'IdP.

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité.
4	Accédez à l'IdP et cliquez .
5	Sélectionnez Supprimer.

1	Connectez-vous à Control Hub.
2	Accédez à Gestion > Sécurité > Authentification.
3	Accédez à l'onglet Fournisseur d'identité.
4	Cliquez sur Désactiver le SSO. Confirmez la désactivation du SSO.

Une fois confirmé, le SSO est désactivé pour tous les IdP de votre organisation.

Vous recevrez des alertes sur Control Hub avant l'expiration des certificats, mais vous pouvez également définir des règles d'alerte de manière proactive. Ces règles vous permettent de savoir à l'avance que vos certificats SP ou IdP vont expirer. Nous pouvons vous les envoyer par e-mail, par un espace dans l'application Webex, ou les deux.

Quel que soit le canal de diffusion configuré, toutes les alertes apparaissent toujours dans Control Hub. Consultez le centre d'alertes de Control Hub pour plus d' informations.

1	Connectez-vous à Control Hub.
2	Accédez au centre d'alertes.
3	Choisissez Gérer puis Toutes les règles.
4	Dans la liste des règles, choisissez l'une des règles SSO que vous souhaitez créer : Expiration du certificat SSO IDP Expiration du certificat SSO SP
5	Dans la section Canal de diffusion, cochez la case « E-mail », « Espace Webex », ou les deux. Si vous choisissez E-mail, saisissez l'adresse e-mail qui devrait recevoir la notification. Si vous choisissez l'option Espace Webex, vous êtes automatiquement ajoutée à un espace de l'application Webex et nous y envoyons les notifications.
6	Enregistrez vos modifications.

Que faire ensuite

Nous envoyons des alertes d'expiration des certificats tous les 15 jours, à compter de 60 jours avant l'expiration. (Vous pouvez vous attendre à des alertes les jours 60, 45, 30 et 15.) Les alertes s'arrêtent lorsque vous renouvelez le certificat.

Si vous rencontrez des problèmes avec votre connexion SSO, vous pouvez utiliser l'option de récupération automatique du SSO pour accéder à votre organisation Webex gérée dans Control Hub. L'option de restauration automatique vous permet de mettre à jour ou de désactiver le SSO dans Control Hub.

Cisco AI Assistant

Merci pour votre commentaire.

SSO avec plusieurs IDP dans Webex

Pourquoi vous pourriez avoir besoin de plusieurs IDP

Limites

Hors de portée

Petite entreprise

Enterprise

Périphériques

Solutions pour le

Ressources

Société