Sign-on unique et Control Hub

À partir de l’affichage du client dans , allez à Gestion > Paramètres de l’organisation , puis faites défiler jusqu’à Authentification , puis basculez sur le paramètre Authentification unique pour lancer l’assistant https://admin.webex.com d’installation.

Choisissez le type de certificat pour votre organisation :

• Auto-signé par Cisco—Nous recommandons ce choix. Laissez-nous signer le certificat afin que vous n’ayiez à le renouveler qu’une seule fois tous les cinq ans.
• Signé par une autorité de certification publique —Plus sécurisée mais vous devez fréquemment mettre à jour les métadonnées (à moins que votre fournisseur IdP ne prend en charge leschevilles de confiance).

Les chevilles de confiance sont des clés publiques qui agissent en tant qu’autorité de vérification du certificat d’une signature numérique. Pour plus d’informations, reportez-vous à la documentation de votre IdP.

Télécharger le fichier de métadonnées.

Connectez-vous au serveur ADFS avec vos permissions d’administrateur.

Ouvrez la console de gestion ADFS et naviguez vers Relations de confiance > Relying Party Trusts (Approbations des parties de confiance > Ajouter une approbations de partie de confiance.

À partir de la fenêtre Ajouter une approbation de partie de confiance, sélectionnez Démarrer.

Pour Sélectionner la source de données, sélectionnez Importer les données sur la partie de confiance à partir d’un fichier , allez au fichier de métadonnées Control Hub que vous avez téléchargé, puis sélectionnez Suivant.

Pour Spécifier le nom d’affichage , créez un nom d’affichage pour cette confiance de partie deconfiance, telle que Webex et sélectionnez Suivant.

Pour Choisir les règles d'autorisation d'émission, sélectionnez Autoriser tous les utilisateurs à accéder à cette partie de confiance, et sélectionnez Suivant.

Pour Prêt à ajouter la confiance, sélectionnez Suivant et finissez d’ajouter la partir de confiance à ADFS.

Dans le volet ADFS principal, sélectionnez la relation de confiance que vous avez créée, puis sélectionnez Modifier les règles de réclamation. Dans l’onglet règles de transformation d’émission, sélectionnez Ajouter une règle.

Dans l’étape Choisir un type de règle, sélectionnez Envoyer les attributs LDAP sous la forme de réclamations, puis sélectionnez Suivant.

1. Saisissez un Nom de règle de réclamation.

2. Sélectionnez Répertoire actif comme magasin d’attributs.

3. Mappez l’attribut LDAP Adresses électroniques au type de réclamation sortante uid.

   Cette règle indique à l’ADFS quels champs doit être mapué à Webex pour identifier un utilisateur. Épelez les types de réclamations sortantes exactement comme indiqué.

4. Enregistrez vos modifications.

Sélectionnez à nouveau Ajouter une règle, Envoyer des réclamations à l’aide d’une règle personnalisée, puis sélectionnez Suivant.

1. Ouvrez votre éditeur de texte et copiez le contenu suivant.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Remplacer URL1 et URL2 dans le texte comme suit :

   • L’url1 est l’ID de l’entité à partir du fichier de métadonnées ADFS que vous avez téléchargé.

     Par exemple, voici un échantillon de ce que vous voyez : <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Copiez simplement l’ID de l’entité à partir du fichier de métadonnées ADFS et collez-le dans le fichier texte pour remplacer l’URL1

   • URL2 est sur la première ligne dans le fichier demétadonnées Webex que vous avez téléchargé.

     Par exemple, voici un échantillon de ce que vous voyez : <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Copiez simplement l’entityID à partir du fichier de métadonnées Webex et collez-le dans le fichier texte pour remplacer l’URL2.

2. Avec les nouvelles URL, copiez la règle à partir de votre éditeur de texte (en commençant par « c: ») et collez-la dans la boite de la règle personnalisée sur votre serveur ADFS.

   La règle terminée devrait ressembler à ceci :

   

3. Sélectionnez Terminer pour créer la règle, puis quittez la fenêtre Modifier les règles de réclamation.

Sélectionnez Approbation de partie de confiance dans la fenêtre principale, puis sélectionnez Propriétés dans le panneau droit.

Lorsque la fenêtre Propriétés s’affiche, allez à l’onglet Avancé, SHA-256, puis sélectionnez OK pour enregistrer vos modifications.

Accédez à l’URL suivante sur le serveur interne ADFS pour télécharger le fichier : https:// serveurAD_FS_>/FederationMetadata/2007-06/FederationMetadata.xml

Vous devrez peut-être cliquer avec le clic droit de la souris sur la page et afficher la source de la page pour obtenir le fichier XML correctement formaté.

Enregistrez le fichier sur votre machine locale.

Choisissez une option :

• Retournez à la page Control Hub – choix de certificat dans votre navigateur, puis cliquez sur Suivant .
• Si Control Hub n’est plus ouvert dans l’onglet du navigateur, à partir de l’affichage du client dans , allez à Gestion > https://admin.webex.comParamètresde l’organisation , faites défiler jusqu’à Authentification , puis choisissez Actions > Importer les métadonnées .

Sur la page Importer les métadonnées IdP, faites glisser et déposez le fichier de métadonnées IdP sur la page, ou utilisez l’option de navigateur de fichiers pour localiser et charger le fichier de métadonnées. Cliquez sur Suivant.

Sélectionnez Tester SSO l’installation du , puis lorsqu’un nouvel onglet de navigation s’ouvre, authentifier avec l’IdP en vous authentification.

Si vous recevez une erreur d’authentification il peut y avoir un problème avec les identifiants de connexion. Veuillez vérifier le nom d’utilisateur et le mot de passe et réessayer. Une erreur de l’application Webex signifie généralement qu’il y a un problème avec SSO d’application. Dans ce cas, suivez à nouveau les étapes, notamment celles où vous copiez et collez les métadonnées Control Hub dans la configuration IdP.

Pour afficher l’SSO de se inscrire directement, vous pouvez également cliquer sur Copier l’URL dans le presse-papiers à partir de cet écran et la coller dans une fenêtre de navigateur privée. À partir de là, vous pouvez aller jusqu’à la signature avec SSO. Cette étape arrête les faux positif en raison d’un jeton d’accès qui peut être dans une session existante à partir de votre signature.

Retournez à l’onglet Control Hub du navigateur.

• Si le test a réussi, sélectionnez Test réussi. Allumez le SSO et cliquez sur Suivant .
• Si le test a échoué, sélectionnez Échec du test. Éteint et SSO cliquez sur Suivant.

La configuration SSO’entrée en réseau ne prend pas effet dans votre organisation à moins que vous ne choisissiez bouton à cliquer et activez le SSO.

Connectez-vous au serveur AD FS avec vos permissions d’administrateur.

Chargez le fichier de métadonnées SAML de Webex dans un dossier local temporaire sur le serveur AD FS, par ex. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Ouvrez Powershell.

Exécuter Get-AdfsRelyingPartyTrust pour lire toutes les parties de confiance.

Exécuter Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

Veillez à remplacer le nom du fichier et le nom de la cible par les valeurs correctes de votre environnement.

Voir .https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust

Si vous avez téléchargé le certificat Webex SP 5 ans et que la révocation du certificat de signature ou de chiffrement est désactivée, vous devez exécuter les deux commandes suivantes : Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Connectez-vous au Control Hub, puis testez l’intégration SSO :

1. Allez dans Gestion > paramètres de l’organisation , faites défiler jusqu’à Authentification et basculez sur le paramètre Authentification unique SSO pour lancer l’assistant de configuration.

2. Cliquez sur Suivant pour sauter la page Importer les métadonnées IdP.

   Vous n’avez pas besoin de répéter cette étape, car vous avez déjà importé les métadonnées IdP.

3. Tester la connexion SSO avant de l’activer. Cette étape fonctionne comme un dry run et n’affecte pas les paramètres de votre organisation jusqu’à ce que vous SSO l’étape suivante.

   Pour afficher l’SSO de se inscrire directement, vous pouvez également cliquer sur Copier l’URL dans le presse-papiers à partir de cet écran et la coller dans une fenêtre de navigateur privée. À partir de là, vous pouvez aller jusqu’à la signature avec SSO. Ceci permet de supprimer toutes les informations mises en cache dans votre navigateur Web qui peuvent fournir un résultat faux positif lors du test de SSO configuration de l’ordinateur.

4. Connectez-vous pour terminer le test.