כניסה יחידה ומרכז בקרה

כניסה יחידה (SSO) היא תהליך הפעלה או אימות משתמש המאפשר למשתמש לספק אישורים לגישה ליישום אחד או יותר. התהליך מאמת את המשתמשים עבור כל היישומים שהם מקבלים זכויות עליהם. זה מבטל הנחיות נוספות כאשר משתמשים מחליפים יישומים במהלך הפעלה מסוימת.

פרוטוקול האיחוד של שפת סימון טענת האבטחה (SAML 2.0) משמש כדי לספק אימות SSO בין ענן Webex לבין ספק הזהויות שלך (IdP).

פרופילים

אפליקציית Webex תומכת רק בפרופיל SSO של דפדפן האינטרנט. בפרופיל SSO של דפדפן האינטרנט, Webex App תומך באיגודים הבאים:

  • SP יזם POST -> איגוד POST

  • SP יזם ניתוב מחדש -> איגוד POST

תבנית NameID

פרוטוקול SAML 2.0 תומך במספר תבניות NameID לתקשורת על משתמש ספציפי. אפליקציית Webex תומכת בתבניות NameID הבאות.

  • urn:oasis:names:tc:saml:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid תבנית:unspecified

  • כתובת דואר אלקטרוני

במטה-נתונים שאתה טוען מה- IdP שלך, הערך הראשון מוגדר לשימוש ב- Webex.

סינגללוג'אוט

אפליקציית Webex תומכת בפרופיל ההתנתקות הבודד. ב- Webex App, משתמש יכול לצאת מהאפליקציה, המשתמשת בפרוטוקול התנתקות יחיד SAML כדי לסיים את ההפעלה ולאשר את ההתנתקות באמצעות ה- IdP שלך. ודא שה-IDP שלך מוגדר עבור SingleLogout.

שלב את Control Hub עם Shibboleth

קווי התצורה מציגים דוגמה ספציפית לשילוב SSO, אך אינם מספקים תצורה ממצה עבור כל האפשרויות. לדוגמה, שלבי האינטגרציה עבור כד בתבנית nameid:oasis:names:tc:SAML:2.0:nameid-format:transient מתועדים. פורמטים אחרים כגון urn:oasis:names:tc:SAML:1.1:nameid-format:uns specifiified או urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress יפעלו עבור שילוב SSO אך הם מחוץ לתחום התיעוד שלנו.

הגדר שילוב זה עבור משתמשים בארגון Webex שלך (כולל Webex App, פגישותWebex ושירותים אחרים המנוהלים במרכז הבקרה). אם אתר Webex שלך משולב ב- Control Hub, אתר Webex יורש את ניהול המשתמשים. אם אינך מצליח לגשת לפגישות Webex בדרך זו והוא אינו מנוהל ב - Control Hub, עליך לבצע שילוב נפרד כדי להפוך את SSO לזמין עבור פגישותWebex. (ראה הגדר כניסה יחידה עבור Webex לקבלת מידע נוסף בשילוב SSO בניהול האתר.)

שלבי השילוב מתייחסים ל-Shibboleth 2.4.5 ב-CentOS 7 עם Tomcat 7 כשרת האינטרנט.

לפני שתתחיל

עבור SSO ו-Control Hub, ספקי הזהויות חייבים להתאים למפרט SAML 2.0. בנוסף, יש להגדיר ספקי IdP באופן הבא:

הורד את המטה-נתונים של Webex למערכת המקומית שלך

1

מתצוגת הלקוח ב- https://admin.webex.com, עבור אל ניהול > הגדרותארגון ולאחר מכן גלול אל אימותולאחר מכן החלף את הגדרת הכניסה היחידה כדי להפעיל את אשף ההתקנה.

2

בחר את סוג האישור עבור הארגון שלך:

  • נחתם בחתימה עצמית על-ידי Cisco – אנו ממליצים על בחירה זו. תן לנו לחתום על התעודה כך שתצטרך לחדש אותה רק פעם בחמש שנים.
  • נחתם על-ידי רשות אישורים ציבורית – מאובטח יותר, אבל תצטרך לעדכן לעתים קרובות את המטה-נתונים (אלא אם ספק IdP שלך תומך בעוגנים של אמון).

עוגני אמון הם מפתחות ציבוריים הפועלים כסמכות לאימות אישור חתימה דיגיטלית. לקבלת מידע נוסף, עיין בתיעוד של IdP.

3

הורד את קובץ המטא-נתונים.

שם קובץ המטה-נתונים של Webex הוא idb-meta--SP.xml.

קבע תצורה של הרשאה בקבצי Shibboleth

לאחר שתתקין את Shibboleth, יסופקו לך קובצי תצורה עם דוגמאות.

1

עבור אל הספרייה /opt/shibboleth-idp/conf כדי לגשת לקבצים לדוגמה.

2

בחר באיזו שיטת הרשאה להשתמש - לדוגמה, איגוד LDAP ל-Active Directory.

3

ערוך את הקובץ handler.xml באופן הבא:

בטל תגובה

   urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport

הערה

 urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified
4

מלא את הפרטים של Active Directory כדי לאפשר את האימות. ספק את התצורה לקובץ login.config.

ShibUserPassAuth { edu.vt.middleware.ldap.jaas.LdapLoginModule נדרש ldapUrl="ldap://ad0a.cisco.net:389" ssl="false" tls="false" baseDn="cn=משתמשים,dc=cisco,dc=net" subtreeSearch="true" userFilter="sAMAccountName={0}" bindDn="cn=מנהל מערכת,cn=משתמשים,dc=cisco,dc=net" bindCredential="ThePassword"; };

קבע תצורה של רכיבי ספק השירות של Shibboleth עבור קביעת SAML

1

הוסף את הקובץ שהורדת מ-Webex SP לספר הטלפונים /opt/shibboleth-idp/מטה-נתונים.

2

ערוך את הקובץ relying-party.xml ; לאחר התג DefaultRelyingParty, הוסף את הפרטים של קביעת SAML עבור Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8- 22de53230d1e" provider="https://shib9a.cisco.net/idp/shibboleth" defaultSigningCredentialRef="IdPCredential"> <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile" includeAttributeStatement="true" assertionLifetime="PT5M" assertionProxyCount="0" signResponses="never" signAssertions="always" encryptAssertions="conditional" encryptNameIds="never" includeConditionsNotBefore="true"/>

עבור מזהה, עליך להשתמש בערך EntityID מקובץ המטה-נתונים של Webex. החלף את המזהה של הדוגמה עם מזהה הישות של הארגון שלך.

3

בתוך המטה-נתונים:תג MetadataProvider, הוסף את מיקום הקובץ:

 <מטה-נתונים:מטה-נתוניםProvider id="ShibbolethMetadata" xsi:type="מטה-נתוניםProvider id="IdPMD" xsi:type="מטה-נתונים:FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />  <מטה-נתונים:מטה-נתוניםProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m ace:shibboleth:2.0:metadata" id="urn/shibboleth-idp/metadata/cucm9a.xml" />  <מטה-נתונים:מטה-נתוניםProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m ace:shibboleth:2.0  <!-- תצורת Cisco CI <מטה-נתונים:מטה-נתוניםProvider xsi:type="מערכת קבציםמטה-נתוניםProvider" xmlns="urn:m ace:shibboleth:2.0:מטה-נתונים" id="CI" metadataFile="/opt/shibboleth-idp/metadata/ idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />

המטה-נתונים של ספק מגיע מקובץ במערכת הקבצים של Shibboleth, במיקום שבו העלית את המטה-נתונים עבור ארגון Webex שלך.

קבע את תצורת תכונות הקביעה

1

במקטע 'מחבר נתונים', ציין היכן לאחזר תכונות אודות המשתמשים שלך.

Active Directory, עם מזהה של MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory" ldapURL="ldap://ad0a.cisco.net:389" baseDN="cn=משתמשים,dc=cisco,dc=net" principal="Administrator@cisco.net" principalCredential="ThePassword"> <dc:FilterTemplate> <![CDATA[ (sAMAccountName=$requestContext.principalName) ]]> </dc:FilterTemplate> </resolve:DataConnector>

2

במקטע הגדרת תכונה, שמור את מה שכבר נמצא בתצורה עבור transientID.

3

הוסף את התכונה הנוספת שה-SP מצפה לה, והגדר למה הוא ממפה במקור התכונה.

מפה את הדואר של התכונה (תכונה של כתובת דוא"ל ב-Active Directory) ל-uid (מזהה משתמש ב-Webex).

4

הגדר איזו תכונה יש לספק לכל הסכם SP בקובץ attribute-filter.xml .

ספק את תכונת ה-uid ל-Webex שממפה לכתובת הדוא"ל של המשתמש.

שחרר את uid של התכונה בהסכם SP עם Webex.

  <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" /> <afp:AttributeRule attributeID="transientId"> <afp:PermitValueRule xsi:type="basic:ANY"/> </afp:AttributeFilterPolicy>

הכלל שיצרת ב-attribute-resolver.xml צריך להיות בעל מדיניות לשחרור תכונת mail-attr ל-EntityID התואמת ל-Webex.

5

הורד את קובץ המטה-נתונים משרת Shibboleth ב-/opt/shibboleth-idp/מטה-נתונים. שם הקובץ הוא idp-metadata.xml.

ייבוא המטה-נתונים של IdP והפעל כניסה יחידה לאחר בדיקה

לאחר ייצוא המטה-נתונים של Webex , קביעת התצורה של IdP והורדת המטה-נתונים של IdP למערכת המקומית שלך, אתה מוכן לייבא אותם לארגון Webex שלך ממרכז הבקרה.

לפני שתתחיל

אל תבדוק שילוב SSO מממשק ספק הזהויות (IdP). אנו תומכים רק בזרימות שיוזמו על-ידי ספק השירות (יזום SP), ולכן עליך להשתמש בבדיקת Control Hub SSO עבור שילוב זה.

1

בחר אחד:

  • חזור ל-Control Hub - דף בחירת האישורים בדפדפן שלך, ולאחר מכן לחץ על הבא.
  • אם Control Hub אינו פתוח עוד בלשונית הדפדפן, מתצוגת הלקוח ב-https://admin.webex.com, עבור אל ניהול > הגדרות ארגון, גלול אל אימות ולאחר מכן בחר פעולות > יבא מטה-נתונים.
2

בדף ייבוא מטא-נתונים של IdP, גרור ושחרר את קובץ המטא-נתונים IdP לדף או השתמש באפשרות דפדפן הקבצים כדי לאתר ולהעלות את קובץ המטה-נתונים. לחץ על הבא.

עליך להשתמש באפשרות מאובטחת יותר, אם אתה יכול. הדבר אפשרי רק אם ה-IDP שלך השתמש ב-CA ציבורי כדי לחתום על המטא-נתונים שלו.

בכל המקרים האחרים, עליך להשתמש באפשרות 'פחות מאובטח '. פעולה זו כוללת אם המטה-נתונים אינם חתומים, חתומים בחתימה עצמית או נחתמים על-ידי מנהל שירותי פרטי.

Okta לא חותם על המטה-נתונים, לכן עליך לבחור פחות מאובטח עבור שילוב Okta SSO.

3

בחר בדוק הגדרת SSO, וכאשר לשונית דפדפן חדשה נפתחת, בצע אימות עם ה-IdP על-ידי כניסה.

אם אתה מקבל שגיאת אימות, ייתכן שקיימת בעיה באישורים. בדוק את שם המשתמש והסיסמה ונסה שוב.

שגיאת Webex App פירושה בדרך כלל בעיה בהגדרת SSO. במקרה זה, עבור שוב על השלבים, במיוחד השלבים שבהם אתה מעתיק ומדביק את המטה-נתונים של Control Hub בהגדרת IdP.

כדי לנסות בעצמך את חוויית הכניסה עם SSO, אתה יכול גם ללחוץ על העתקת URL ללוח מהמסך הזה ולהדביק אותו בחלון דפדפן פרטי. משם תוכל לפעול על פי השלבים לכניסה באמצעות SSO. שלב זה מפסיק תוצאות חיוביות שגויות עקב אסימון גישה שעשוי להיות בהפעלה קיימת מכניסתך.

4

חזור לכרטיסיה דפדפן מרכז הבקרה.

  • אם הבדיקה הצליחה, בחר בדיקה מוצלחת. הפעל את SSO ולחץ על הבא.
  • אם הבדיקה לא הצליחה, בחר בדיקה לא מוצלחת. כבה את SSO ולחץ על הבא.

תצורת SSO אינה נכנסת לתוקף בארגון שלך, אלא אם תבחר בלחצן האפשרויות הראשון ותפעיל את SSO.

מה הלאה?

השתמש בהליכים תחת סנכרן משתמשי Okta ל-Cisco Webex Control Hub אם ברצונך לבצע הקצאת משתמש מתוך Okta בענן Webex.

השתמש בהליכים בסנכרן משתמשי Azure Active Directory לתוך Cisco Webex Control Hub אם ברצונך לבצע הקצאת משתמש מתוך Azure AD בענן Webex.

באפשרותך לבצע את ההליך תחת הסתר הודעות דוא"ל אוטומטיות כדי להשבית הודעות דוא"ל שנשלחות למשתמשים חדשים של יישום Webex בארגון שלך. המסמך מכיל גם שיטות עבודה מומלצות לשליחת תקשורת למשתמשים בארגון שלך.