Single Sign-On e Control Hub

Dalla vista del cliente in , andare a Gestione > Impostazioni organizzazione , quindi scorrere fino ad Autenticazione , quindi attivare l'impostazione https://admin.webex.com Single Sign-On per avviare la procedura di installazione guidata.

Scegliere il tipo di certificato per la propria organizzazione:

• Autofirmato daCisco: questa scelta è consigliata. Firma il certificato in modo da rinnovarlo una volta ogni cinque anni.
• Firmata da un'autorità di certificazione pubblica: più sicura, ma occorre aggiornare frequentemente i metadati (a meno che il fornitore idP non supporti glitrust anchor).

Gli trust anchor sono chiavi pubbliche che agiscono da autorità per verificare il certificato di una firma digitale. Per ulteriori informazioni, fare riferimento alla documentazione IdP.

Scarica il file dei metadati.

Accedi al server AD FS con autorizzazioni di amministratore.

Apri la console di gestione AD FS e passa a Relazioni di attendibilità > Attendibilità componente > Aggiungi attendibilità componente.

Dalla finestra Aggiunta guidata attendibilità componente, seleziona Avvia.

Per Selezionare l'origine dati, selezionare Importa dati sulla relying party da un file, individuare il file di metadati Control Hub scaricato e selezionare Avanti.

Per Specifica nome visualizzato , creare un nome visualizzato per questaattendibilità della relying party come Webex e selezionare Avanti.

Per Scegli regole di autorizzazione rilascio, seleziona Consenti a tutti gli utenti l'accesso a questo componente e seleziona Avanti.

Per Aggiunta attendibilità, seleziona Avanti e termina l'aggiunta dell'attendibilità componente a AD FS.

Nel riquadro principale di AD FS, seleziona la relazione di attendibilità creata, quindi seleziona Modifica regole attestazione. Nella scheda Regole di trasformazione rilascio, seleziona Aggiungi regola.

Nel passo Scegli tipo di regola, seleziona Inviare attributi LDAP come attestazioni, quindi seleziona Avanti.

1. Inserisci un Nome regola attestazione.

2. Seleziona Active Directory come Archivio attributi.

3. Associa l'attributo LDAP Indirizzi e-mail al tipo di attestazione in uscita uid.

   Questa regola indica ad ADFS i campi da mappare a Webex per identificare un utente. Specifica i tipi di attestazione in uscita esattamente come vengono mostrati.

4. Salva le modifiche.

Seleziona nuovamente Aggiungi regola, seleziona Inviare attestazioni mediante una regola personalizzata, quindi seleziona Avanti.

1. Apri l'editor di testo e copia il seguente contenuto.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Sostituisci URL1 e URL2 nel testo come segue:

   • URL1 è l'entityID del file di metadati AD FS scaricato.

     Ad esempio, di seguito è riportato un esempio di ciò che viene visualizzato: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Copia solo l'entityID dal file di metadati AD FS e incollalo nel file di testo sostituendo URL1

   • URL2 si trova sulla prima riga del file di metadati Webex scaricato.

     Ad esempio, di seguito è riportato un esempio di ciò che viene visualizzato: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Copiare solo entityID dal file di metadati Webex e incollarlo nel file di testo per sostituire URL2.

2. Con gli URL aggiornati, copia la regola dall'editor di testo (a partire da "c:") e incollala nella casella della regola personalizzata sul server AD FS.

   La regola completata viene visualizzata come segue:

   

3. Seleziona Fine per creare la regola, quindi esci dalla finestra Modifica regole attestazione.

Seleziona Attendibilità componente nella finestra principale, quindi seleziona Proprietà nel riquadro a destra.

Quando viene visualizzata la finestra Proprietà, passa alla scheda Avanzate, SHA-256, quindi seleziona OK per salvare le modifiche.

Passa al seguente URL sul server AD FS interno per scaricare il file: https://server AD FS__>/FederationInterno/2007-06/Federation Seguente.xml

È possibile che tu debba fare clic con il pulsante destro del mouse sulla pagina e visualizzare l'origine della pagina per ottenere il file XML correttamente formattato.

Salva il file sul computer locale.

Scegli un'opzione:

• Tornare alla pagina Control Hub – selezione del certificato nel browser, quindi fare clic su Avanti .
• Se Control Hub non è più aperto nella scheda del browser, dalla vista del cliente in , andare a Gestione > Impostazioni organizzazione , scorrere fino ad Autenticazione e scegliere Azioni https://admin.webex.com > Importa metadati.

Nella pagina Importa metadati IdP, trascina la selezione del file di metadati IdP sulla pagina o utilizza l'opzione del file browser per individuare e caricare il file di metadati. Fare clic su Avanti.

Selezionare Test SSO impostazione e quando si apre una nuova scheda del browser, eseguire l'autenticazione con l'IdP accedendo.

Se ricevi un errore di autenticazione in tal punto, è possibile che vi sia un problema con le credenziali. Verifica nome utente e password e riprova. Un errore dell'app Webex solitamente indica un problema con l SSO impostazione. In tal caso, esegui nuovamente la procedura, in particolare fai attenzione ai passaggi in cui devi copiare e incollare i metadati Control Hub nell'impostazione IdP.

Per visualizzare direttamente SSO'accesso, è possibile fare clic su Copia URL negli Appunti da questa schermata e incollarlo in una finestra del browser privata. Da qui, è possibile accedere direttamente SSO. Questa operazione interrompe i false positives (falso) a causa del token di accesso che potrebbe essere in una sessione esistente dall'accesso.

Torna alla scheda del browser Control Hub.

• Se il test ha esito positivo, selezionare Test completato correttamente. Attivare la SSO e fare clic su Avanti.
• Se il test non è riuscito, selezionare Test non riuscito. Disattivare il SSO fare clic su Avanti.

La SSO della configurazione del sistema non ha effetto nell'organizzazione a meno che non si sce pulsante di opzione e si attiva SSO.

Accedi al server AD FS con autorizzazioni di amministratore.

Caricare il file di metadati SAML da Webex in una cartella locale temporanea sul server AD FS, ad esempio. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Apri Powershell.

Esegui Get-AdfsRelyingPartyTrust per leggere tutte le entità attendibili della relying party.

Esegui Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

Assicurati di sostituire il nome file e il nome di destinazione con i valori corretti del tuo ambiente.

Consultare .https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust

Se è stato scaricato il certificato Webex SP 5 anni e la revoca del certificato di firma o crittografia è attivata, è necessario eseguire questi due comandi: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Accedi a Control Hub, quindi esegui il test dell'integrazione SSO:

1. Andare a Gestione > organizzazione, scorrere fino ad Autenticazione e attivare l'impostazione Single Sign-On per avviare la procedura di configurazione guidata.

2. Fai clic su Avanti per ignorare la pagina Importa metadati IdP.

   Non devi ripetere questo passaggio poiché hai importato i metadati IdP in precedenza.

3. Verificare la SSO connessione prima di abilitarla. Questa operazione funziona come un'esecuzione di test e non incide sulle impostazioni dell'organizzazione fino a quando non si abilita la SSO nell'operazione successiva.

   Per visualizzare direttamente SSO'accesso, è possibile fare clic su Copia URL negli Appunti da questa schermata e incollarlo in una finestra del browser privata. Da qui, è possibile accedere direttamente SSO. Ciò consente di rimuovere eventuali informazioni memorizzate nella cache del browser Web in grado di fornire un falso risultato positivo durante il test della SSO configurazione.

4. Esegui l'accesso per completare il test.