Egyszeri bejelentkezés és vezérlőközpont

A vevői nézetből lépjen a https://admin.webex.comFelügyeleti > Szervezeti beállítások elemre, majd görgessen a Hitelesítéselemre, majd váltson az Egyszeri bejelentkezés beállításra a telepítővarázsló elindításához.

Válassza ki a szervezet tanúsítványtípusát:

• A Cisco által aláírt önadírta– Ezt a választást ajánljuk. Hadd írjuk alá a tanúsítványt, így csak ötévente egyszer kell megújítani.
• Nyilvános hitelesítésszolgáltató által aláírt– Biztonságosabb, de gyakran frissítenie kell a metaadatokat (kivéve, ha az IdP-szállító támogatja a megbízhatósági horgonyokat).

A bizalmi horgonyok olyan nyilvános kulcsok, amelyek a digitális aláírás tanúsítványának ellenőrzésére szolgálnak. További információért tekintse meg az IdP dokumentációját.

Töltse le a metaadatfájlt.

Jelentkezzen be az ADFS-kiszolgálóra rendszergazdai engedélyekkel.

Nyissa meg az ADFS Felügyeleti konzolt, és keresse meg a Bizalmi kapcsolatok > Függő entitás megbízhatósági > Függő entitás megbízhatóságának hozzáadásalehetőséget.

A Függő entitás megbízhatóságának hozzáadása varázsló ablakban válassza a Start lehetőséget.

Az Adatforrás kiválasztása listában válassza a Függő entitás adatainak importálása fájlbóllehetőséget , keresse meg a letöltött Control Hub Metaadat-fájlt, majd válassza a Következőlehetőséget.

A Megjelenítendő név megadása mezőben hozzon létre egy megjelenítendő nevet ehhez a függő fél megbízhatósági kapcsolathoz, például a Webexhez, és válassza a Következőlehetőséget.

A Kiadási engedélyezési szabályok kiválasztásamezőben válassza az Összes felhasználó hozzáférésének engedélyezéselehetőséget, majd válassza a Következő lehetőséget.

A Trust hozzáadására készterületen válassza a Tovább lehetőséget, és fejezze be a függő megbízhatóság hozzáadását az ADFS-hez.

A fő ADFS ablaktáblán jelölje ki a létrehozott bizalmi kapcsolatot, majd válassza a Jogcímszabályok szerkesztéselehetőséget. A Kiadásátalakítási szabályok lapon válassza a Szabály hozzáadásalehetőséget.

A Szabálytípus kiválasztása lépésben válassza az LDAP-attribútumok küldése jogcímkéntlehetőséget, majd válassza a Következőlehetőséget.

1. Írjon be egy jogcímszabály nevét.

2. Válassza az Active Directory lehetőséget attribútumtárolóként.

3. Az E-mail-címek LDAP attribútumának leképezése az uid kimenő jogcímtípusra.

   Ez a szabály megmondja az ADFS-nek, hogy mely mezőket kell leképezni a Webex-re a felhasználó azonosításához. A kimenő jogcímtípusokat pontosan az ábrán látható módon írja be.

4. Mentse a módosításokat.

Válassza ismét a Szabály hozzáadása lehetőséget, válassza a Követelések küldése egyéni szabály használatávallehetőséget, majd válassza a Következő lehetőséget.

1. Nyissa meg a szövegszerkesztőt, és másolja a következő tartalmat.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Url1 és URL2 cseréje a szövegben az alábbiak szerint:

   • AZ URL1 a letöltött ADFS metaadatfájl entitás-szolgáltatása.

     Az alábbiak például egy minta a látottakból: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Másolja csak az entityID-t az ADFS metaadatfájlból, és illessze be a szövegfájlba az URL-cím helyettesítéséhez1

   • Az URL2 a letöltött Webex metaadatfájl első sorában található.

     Az alábbiak például egy minta a látottakból: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Másolja csak az entityID-t a Webex metaadatfájlból, és illessze be a szövegfájlba az URL2 helyettesítéséhez.

2. A frissített URL-címekkel másolja át a szabályt a szövegszerkesztőből ("c:" -tól kezdve), és illessze be az ADFS-kiszolgáló egyéni szabálymezőjéhez.

   A befejezett szabálynak így kell kinéznie:

   

3. Válassza a Befejezés lehetőséget a szabály létrehozásához, majd lépjen ki a Jogcímszabályok szerkesztése ablakból.

A főablakban válassza a Függő entitás megbízhatósága lehetőséget, majd a jobb oldali ablaktáblán válassza a Tulajdonságok lehetőséget.

Amikor megjelenik a Tulajdonságok ablak, keresse meg a Speciális lapot, az SHA-256 lapot, majd válassza az OK gombot a módosítások mentéséhez.

Keresse meg a következő URL-címet a belső ADFS-kiszolgálón a fájl letöltéséhez: https://AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

Előfordulhat, hogy a megfelelően formázott XML-fájl beszerzéséhez kattintson a jobb gombbal az oldalra, és tekintse meg az oldalforrást.

Mentse a fájlt a helyi gépre.

Válasszon egyet:

• Vissza a Vezérlőközpontba – tanúsítványkijelölő lap a böngészőben, majd kattintson a Következő gombra.
• Ha a Control Hub már nincs megnyitva a böngésző lapon, a vevői nézetből lépjen a https://admin.webex.comFelügyeleti > Szervezeti beállításokelemre, görgessen a Hitelesítéselemre, majd válassza a Metaadatok importálása > Műveletek parancsot.

Az IdP metaadatok importálása lapon húzza és dobja az IdP metaadatfájlt a lapra, vagy használja a fájlböngésző opciót a metaadatfájl megkereséséhez és feltöltéséhez. Kattintson a Továbbgombra.

Válassza a SSO-beállítás teszteléselehetőséget, és amikor megnyílik egy új böngészőlap, jelentkezzen be bejelentkezéssel az IdP-vel.

Ha hitelesítési hibát kap, előfordulhat, hogy probléma van a hitelesítő adatokkal. Ellenőrizze a felhasználónevet és a jelszót, és próbálkozzon újra. A Webex alkalmazáshiba általában az egyszeri bejelentkezés beállításával kapcsolatos problémát jelent. Ebben az esetben ismét végigsétálhat a lépéseken, különösen azon lépéseken, amelyek során a Vezérlőközpont metaadatait másolja és beillesztheti az IdP-beállításba.

Az egyszeri bejelentkezés élményének közvetlen megtekintéséhez kattintson az URL másolása vágólapra ebből a képernyőről, és illessze be egy privát böngészőablakba. Innen átsétálhat az SSO-val való bejelentkezésen. Ez a lépés leállítja a hamis pozitívokat egy olyan hozzáférési jogkivonat miatt, amely egy meglévő munkamenetben lehet a bejelentkezéstől.

Vissza a Control Hub böngésző fülre.

• Ha a teszt sikeres volt, válassza a Sikeres teszt lehetőséget. Kapcsolja be az egyszeri bejelentkezést, majd kattintson a Továbbgombra.
• Ha a teszt sikertelen volt, válassza a Sikertelen teszt lehetőséget. Kapcsolja ki az egyszeri bejelentkezést, majd kattintson a Továbbgombra.

Az egyszeri bejelentkezés konfigurációja csak akkor lép érvénybe a szervezetben, ha az első rádiógombot választja, és aktiválja az egyszeri bejelentkezést.

Jelentkezzen be az AD FS-kiszolgálóra rendszergazdai engedélyekkel.

Töltse fel a SAML metaadatfájlt a Webex-ből egy ideiglenes helyi mappába az AD FS szerveren, pl. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Nyissa meg a Powershellt.

Futtatás Get-AdfsRelyingPartyTrust az összes függő fél bizalmi kapcsolatának elolvasása.

Futtatás Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

Ügyeljen arra, hogy a fájl nevét és a célnevét a környezetből származó megfelelő értékekre cserélje.

Látod https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.

Ha letöltötte a Webex SP 5 éves tanúsítványát, és az aláírási vagy titkosítási tanúsítvány visszavonása be van kapcsolva, a következő két parancsot kell futtatnia: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Jelentkezzen be a ControlHubba, majd tesztelje az egyszeri bejelentkezés integrációját:

1. Lépjen a Felügyeleti > Szervezeti beállítások elemre, görgessen a Hitelesítéselemre, és váltson az Egyszeri bejelentkezés beállításon a konfigurációs varázsló elindításához.

2. Kattintson a Tovább gombra az IdP metaadatok importálása lap kihagyásához.

   Ezt a lépést nem kell megismételnie, mert korábban importálta az IdP metaadatokat.

3. Az engedélyezés előtt tesztelje az egyszeri bejelentkezést. Ez a lépés úgy működik, mint egy száraz futtatás, és nem befolyásolja a szervezeti beállításokat, amíg a következő lépésben engedélyezni nem engedélyezi az egyszeri bejelentkezést.

   Az egyszeri bejelentkezés élményének közvetlen megtekintéséhez kattintson az URL másolása vágólapra ebből a képernyőről, és illessze be egy privát böngészőablakba. Innen átsétálhat az SSO-val való bejelentkezésen. Ez segít eltávolítani a webböngészőben gyorsítótárazott információkat, amelyek hamis pozitív eredményt adhatnak az egyszeri bejelentkezés konfigurációjának tesztelése során.

4. Jelentkezzen be a teszt befejezéséhez.