כניסה יחידה ומרכז בקרה

כניסה יחידה (SSO) היא תהליך הפעלה או אימות משתמש המאפשר למשתמש לספק אישורים לגישה ליישום אחד או יותר. התהליך מאמת את המשתמשים עבור כל היישומים שהם מקבלים זכויות עליהם. זה מבטל הנחיות נוספות כאשר משתמשים מחליפים יישומים במהלך הפעלה מסוימת.

פרוטוקול האיחוד של שפת סימון טענת האבטחה (SAML 2.0) משמש כדי לספק אימות SSO בין ענן Webex לבין ספק הזהויות שלך (IdP).

פרופילים

אפליקציית Webex תומכת רק בפרופיל SSO של דפדפן האינטרנט. בפרופיל SSO של דפדפן האינטרנט, Webex App תומך באיגודים הבאים:

  • SP יזם POST -> איגוד POST

  • SP יזם ניתוב מחדש -> איגוד POST

תבנית NameID

פרוטוקול SAML 2.0 תומך במספר תבניות NameID לתקשורת על משתמש ספציפי. אפליקציית Webex תומכת בתבניות NameID הבאות.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

במטה-נתונים שאתה טוען מה- IdP שלך, הערך הראשון מוגדר לשימוש ב- Webex.

סינגללוג'אוט

אפליקציית Webex תומכת בפרופיל ההתנתקות הבודד. ב- Webex App, משתמש יכול לצאת מהאפליקציה, המשתמשת בפרוטוקול התנתקות יחיד SAML כדי לסיים את ההפעלה ולאשר את ההתנתקות באמצעות ה- IdP שלך. ודא שה-IDP שלך מוגדר עבור SingleLogout.

שלב את מרכז הבקרה עם אפליקציות גוגל

מדריכי התצורה כוללים דוגמה ספציפית לשילוב SSO אך אינם מספקים הגדרות לקביעת תצורה לכל האפשרויות. לדוגמה, שלבי האינטגרציה עבור nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient מתועדים. פורמטים אחרים כגון urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress יעבדו לשילוב SSO אך הם מחוץ לתחום התיעוד שלנו.

הגדר שילוב זה עבור משתמשים בארגון Webex שלך (כולל Webex App, פגישותWebex ושירותים אחרים המנוהלים במרכז הבקרה). אם אתר Webex שלך משולב ב- Control Hub, אתר Webex יורש את ניהול המשתמשים. אם אינך מצליח לגשת לפגישות Webex בדרך זו והוא אינו מנוהל ב - Control Hub, עליך לבצע שילוב נפרד כדי להפוך את SSO לזמין עבור פגישותWebex.

לפני שתתחיל

עבור SSO ו-Control Hub, ספקי הזהויות חייבים להתאים למפרט SAML 2.0. בנוסף, יש להגדיר ספקי IdP באופן הבא:

הורד את המטה-נתונים של Webex למערכת המקומית שלך

1

היכנס למרכז הבקרה.

2

עבור אל ניהול > אבטחה > אימות.

3

עבור אל הכרטיסייה ספק זהויות ולחץ על הפעל SSO.

4

בחר ספק זיהוי אישי (IdP).

5

בחר את סוג האישור עבור הארגון שלך:

  • חתימה עצמית על ידי סיסקו— אנו ממליצים על אפשרות זו. תן לנו לחתום על התעודה כך שתצטרך לחדש אותה רק פעם בחמש שנים.
  • חתום על ידי רשות אישורים ציבורית— מאובטח יותר אך תצטרך לעדכן את המטא-דאטה לעתים קרובות (אלא אם כן ספק ה-IdP שלך תומך בעוגני אמון).

עוגני אמון הם מפתחות ציבוריים הפועלים כסמכות לאימות אישור חתימה דיגיטלית. לקבלת מידע נוסף, עיין בתיעוד של IdP.

6

הורד את קובץ המטא-נתונים.

שם קובץ המטא-דאטה של Webex הוא idb-meta-<org-ID>-SP.xml.

הגדרת אפליקציה מותאמת אישית במערכת הניהול של גוגל

1

היכנס למסוף הניהול של Google Apps ( https://admin.google.com) באמצעות חשבון עם הרשאות ניהול, ולאחר מכן לחץ על אפליקציות > אפליקציות אינטרנט ונייד.

2

מהתפריט הנפתח הוסף אפליקציה, לחץ על הוסף אפליקציית SAML מותאמת אישית.

3

בדף המידע של גוגל Idp תחת הקטע אפשרות 1, לחץ על הורדת מטא-נתונים ושמור את הקובץ במיקום קל למציאה במערכת המקומית שלך.

קובץ המטא-דאטה של גוגל הוריד. פורמט שם הקובץ הוא GoogleIDPMetadata-.xml.

4

לחץ על הבא.

5

בדף מידע בסיסי עבור האפליקציה המותאמת אישית שלך, הזן את שם האפליקציה אפליקציית Webex ולחץ על הבא.

6

כדי למלא את הדף פרטי ספק השירות, פתח את קובץ המטא-דאטה של Webex שהורדת קודם לכן בעורך טקסט.

  1. חפש בקובץ המטא-דאטה של Webex את AssertionConsumerService והעתק את כתובת ה-URL שאחרי מילת המפתח Location והדבק אותה בשדה כתובת ה-URL של ACS בדף פרטי ספק השירות.

    https://idbroker.webex.com/idb/Consumer/metaAlias/a35bfbc6-ccbd-4a17-a499-72fa46cec25c/sp

  2. חפש בקובץ המטא-דאטה של Webex את entityID והעתק את כתובת ה-URL שאחריה לשדה Entity ID בדף פרטי ספק השירות.

    https://idbroker.webex.com/a35bfbc6-ccbd-4a17-a499-72fa46cec25c

  3. שם מזהה צריך להיות מוגדר למידע בסיסי ודוא"ל ראשי

  4. פורמט מזהה שם צריך להיות מוגדר ל-לא מוגדר

  5. אין צורך במיפויי מאפיינים, לכן בדף מיפוי מאפיינים, לחץ על סיום

לאחר יצירת אפליקציית Webex SAML, עליך להפעיל אותה עבור משתמשים.

7

לחץ על הנקודות האנכיות בצד ימין של אפליקציית Webex SAML ובחר אחת מהן:

  • מופעל לכולם
  • מופעל עבור חלק מהארגונים (ולאחר מכן בחר את הארגונים)

ייבוא המטה-נתונים של IdP והפעל כניסה יחידה לאחר בדיקה

לאחר ייצוא המטה-נתונים של Webex , קביעת התצורה של IdP והורדת המטה-נתונים של IdP למערכת המקומית שלך, אתה מוכן לייבא אותם לארגון Webex שלך ממרכז הבקרה.

לפני שתתחיל

אל תבדוק שילוב SSO מממשק ספק הזהויות (IdP). אנו תומכים רק בזרימות שיוזמו על-ידי ספק השירות (יזום SP), ולכן עליך להשתמש בבדיקת Control Hub SSO עבור שילוב זה.

1

בחר אחד:

  • חזור לדף בחירת אישורים של Control Hub בדפדפן שלך ולאחר מכן לחץ על הבא.
  • פתח מחדש את מרכז הבקרה אם הוא כבר לא פתוח בכרטיסיית הדפדפן שלך. מתצוגת הלקוח במרכז הבקרה, עבור אל ניהול > אבטחה > אימות, בחר את ה-IdP ולאחר מכן בחר פעולות > ייבוא מטא-נתונים.
2

בדף ייבוא מטא-נתונים של IdP, גררו ושחררו את קובץ המטא-נתונים של IdP אל הדף או השתמשו באפשרות דפדפן הקבצים כדי לאתר ולהעלות את קובץ המטא-נתונים. לחץ על הבא.

עליך להשתמש באפשרות מאובטחת יותר, אם אתה יכול. הדבר אפשרי רק אם ה-IDP שלך השתמש ב-CA ציבורי כדי לחתום על המטא-נתונים שלו.

בכל המקרים האחרים, עליך להשתמש באפשרות 'פחות מאובטח '. פעולה זו כוללת אם המטה-נתונים אינם חתומים, חתומים בחתימה עצמית או נחתמים על-ידי מנהל שירותי פרטי.

Okta לא חותמת על המטא-דאטה, לכן עליך לבחור פחות מאובטח עבור שילוב Okta SSO.

3

בחר בדיקת הגדרת SSO, וכאשר כרטיסייה חדשה בדפדפן נפתחת, אימות עם ה-IdP על ידי כניסה.

אם אתה מקבל שגיאת אימות, ייתכן שקיימת בעיה באישורים. בדוק את שם המשתמש והסיסמה ונסה שוב.

שגיאת Webex App פירושה בדרך כלל בעיה בהגדרת SSO. במקרה זה, עבור שוב על השלבים, במיוחד השלבים שבהם אתה מעתיק ומדביק את המטה-נתונים של Control Hub בהגדרת IdP.

כדי לנסות בעצמך את חוויית הכניסה עם SSO, אתה יכול גם ללחוץ על העתקת URL ללוח מהמסך הזה ולהדביק אותו בחלון דפדפן פרטי. משם תוכל לפעול על פי השלבים לכניסה באמצעות SSO. שלב זה מפסיק תוצאות חיוביות שגויות עקב אסימון גישה שעשוי להיות בהפעלה קיימת מכניסתך.

4

חזור לכרטיסיה דפדפן מרכז הבקרה.

  • אם הבדיקה הצליחה, בחר בדיקה מוצלחת. הפעל את SSO ולחץ על הבא.
  • אם הבדיקה לא הצליחה, בחר בדיקה לא מוצלחת. כבה את SSO ולחץ על הבא.

תצורת SSO אינה נכנסת לתוקף בארגון שלך, אלא אם תבחר בלחצן האפשרויות הראשון ותפעיל את SSO.

מה הלאה?

השתמש בהליכים המופיעים ב- סנכרון משתמשי Okta לתוך Cisco Webex Control Hub אם ברצונך לבצע הקצאת משתמשים מתוך Okta לתוך ענן Webex.

השתמש בהליכים המופיעים ב- סנכרון משתמשי Azure Active Directory לתוך Cisco Webex Control Hub אם ברצונך לבצע הקצאת משתמשים מתוך Azure AD לתוך ענן Webex.

באפשרותך לבצע את ההליך ב- דיכוי הודעות דוא"ל אוטומטיות כדי להשבית הודעות דוא"ל שנשלחות למשתמשי אפליקציית Webex חדשים בארגון שלך. המסמך מכיל גם שיטות עבודה מומלצות לשליחת תקשורת למשתמשים בארגון שלך.