Grazie per il feedback.

Accedi a Control Hub.

Vai a Gestione > Sicurezza > Autenticazione.

Vada alla scheda Identity provider e faccia clic su Attiva SSO.

Seleziona un IdP.

Scelga il tipo di certificato per la sua organizzazione:

• Autofirmato da Cisco: consigliamo questa scelta. Ci faccia firmare il certificato, quindi deve rinnovarlo solo una volta ogni cinque anni.
• Firmato da un' autorità di certificazione pubblica: più sicuro ma dovrà aggiornare frequentemente i metadati (a meno che il suo fornitore IdP non supporti i trust anchor).

Scarichi il file di metadati.

Vada alla directory /opt/shibboleth-idp/conf per accedere ai file di esempio.

Decidi quale metodo di autorizzazione utilizzare, ad esempio, associarsi a LDAP. Active Directory

Modificare il file handler.xml come segue:

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>

Commetta i suoi dati Active Directory per consentire l'autenticazione. Fornisca la configurazione al file login.config.

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Aggiungere il file scaricato dal Webex SP alla directory /opt/shibboleth-idp/metadata.

Modificare il file relying-party.xml; dopo il tag DefaultRelyingParty, aggiungere i dettagli dell'asserzione SAML per Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

All'interno del tag Metadata:MetadataProvider, aggiunga la posizione del file:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

Nella sezione Connettore dati, specifichi dove recuperare gli attributi sui suoi utenti.

Active Directory, con un id myLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>

Nella sezione Definizione degli attributi, mantenga ciò che è già nella configurazione per TransientID.

Aggiunga l'attributo aggiuntivo che l'SP si aspetta e definisca a cosa è associato nella fonte dell'attributo.

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>

Definire quale attributo fornire a ciascun accordo SP nel file attribute-filter.xml.

Rilasciare l'attributo uid dell'accordo SP con Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

La regola da Lei creata in attribute-resolver.xml dovrebbe avere una policy per rilasciare l'attributo mail-attr all'entityID che corrisponde a Webex.

Scarichi il file di metadati dal server Shibboleth in /opt/shibboleth-idp/metadata. Il nome del file è idp-metadata.xml.

Ne scelga uno:

• Tornare al Control Hub — pagina di selezione dei certificati nel suo browser, quindi fare clic su Avanti.
• Riapra Control Hub se non è più aperto nella scheda del browser. Dalla vista clienti in Control Hub, vada a Gestione > Sicurezza > Autenticazione, selezioni l'IdP e poi scelga Azioni > Importa metadati.

Nella pagina Importa metadati IdP, trascina e rilascia il file di metadati IdP sulla pagina o usi l'opzione del browser dei file per individuare e caricare il file di metadati. Faccia clic su Avanti.

Seleziona Verifica configurazione SSO e, quando si apre una nuova scheda del browser, si autentichi con l'IdP effettuando l'accesso.

Tornare alla scheda del browser Control Hub.

• Se il test ha avuto esito positivo, selezioni Test riuscito. Attivi l'SSO e faccia clic su Avanti.
• Se il test non ha avuto esito positivo, selezioni Test non riuscito. Disattivi l'SSO e faccia clic su Avanti.