Grazie per il feedback.
SSO con più IDP in Webex
Feedback?Il Single Sign-on (SSO) consente agli utenti di accedere a Webex in modo sicuro autenticandosi presso il provider di identità comune della sua organizzazione. Un provider di identità (IdP) archivia e gestisce in modo sicuro le identità digitali dei suoi utenti e fornisce il servizio di autenticazione utente per i suoi utenti Webex.
Perché potrebbe aver bisogno di più IDP
Molte grandi aziende subiscono fusioni e acquisizioni e queste società raramente hanno la stessa infrastruttura IT e gli stessi fornitori di identità. Le istituzioni governative hanno varie organizzazioni e agenzie sotto di loro. Spesso, queste organizzazioni hanno un unico indirizzo email rispettivamente per i propri reparti IT e la propria infrastruttura. I principali istituti di istruzione hanno un ufficio acquisti centrale, ma università e college diversi con organizzazioni e dipartimenti IT diversi.
È comune vedere IDP e service provider (SP) federarsi tra loro. L'IdP è responsabile dell'autenticazione delle credenziali dei suoi utenti e l'SP si fida dell'autenticazione effettuata dall'IdP. Ciò consente ai suoi utenti di accedere a varie applicazioni e servizi SaaS utilizzando la stessa identità digitale. Ma, se per qualche motivo la sua organizzazione non è in grado di federare tra gli IdP, Webex fornisce una soluzione alternativa per supportare più IdP. Per questi motivi, le diamo la possibilità di configurare l'SSO per più IdP in Webex e semplificare il processo di autenticazione dei suoi utenti.
Limitazioni
- Tutti gli utenti devono disporre di Directory Connector se utilizza Directory Connector nella sua organizzazione. Per ulteriori informazioni, faccia riferimento alla guida all'implementazione di Directory Connector.
- Attualmente supportiamo solo SAML, OpenID Connect e Webex Identity come provider di identità.
Fuori dall'ambito
- Configurare le assegnazioni di gruppo.
- Verifica del dominio. Per ulteriori informazioni, faccia riferimento a Gestire i suoi domini.
- Fornitura da parte dell'utente. Per ulteriori informazioni, faccia riferimento a Modi per aggiungere utenti alla sua organizzazione Control Hub.
Questa sezione spiega come integrare i suoi provider di identità (IdP) con la sua organizzazione Webex . Può scegliere gli IDP più adatti ai requisiti della sua organizzazione.
Se sta cercando l'integrazione SSO di un Webex Meetings sito (gestita in Amministrazione del sito), faccia riferimento a Configurazione del Single Sign-On per l'amministrazione Webex.
Prima che Lei cominci
Assicurarsi che siano soddisfatte le seguenti condizioni:
- Lei deve avere un ruolo di amministratore completo in Control Hub.
- Un file di metadati dall'IdP da fornire a Webex e un file di metadati da Webex, da fornire all'IdP. Per ulteriori informazioni, faccia riferimento a Integrazione Single Sign-On in Control Hub. Questo è applicabile solo alla configurazione SAML.
- Dovrebbe pianificare il comportamento delle sue regole di routing prima di configurare più IdP.
La regola di routing predefinita viene applicata una volta configurato il suo IdP iniziale. Ma può impostare un altro IdP come predefinito. Fare riferimento a Aggiungere o modificare una regola di routing nella scheda Regole di routing di questo articolo.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider e faccia clic su Attiva SSO. |
| 4 |
Seleziona SAML come IdP e faccia clic su Avanti. |
| 5 |
Scelga il tipo di certificato:
|
| 6 |
Faccia clic su Scarica metadati e su Avanti. Il nome del file di metadati dell'app Webex è idb-meta- -SP.xml. <org-ID> |
| 7 |
Carichi il file di metadati del suo IdP o compili il modulo di configurazione. Quando si carica il file di metadati, ci sono due modi per convalidare i metadati dall'IdP del cliente:
Faccia clic su Avanti. |
| 8 |
|
| 9 |
(Facoltativo) Configura le impostazioni Just In Time (JIT) e la risposta di mappatura SAML. Fare riferimento a Configurare la mappatura Just In Time (JIT) e SAML nella scheda Gestisci i suoi IdP di questo articolo.
|
| 10 |
Fai clic su Verifica configurazione SSO e, quando si apre una nuova scheda del browser, si autentichi con l' IdP effettuando l'accesso. Verifichi la connessione SSO prima di abilitarla. Questo passaggio funziona a secco e non influisce sulle impostazioni della sua organizzazione finché non abilita l'SSO nella fase successiva. Se riceve un errore di autenticazione, potrebbe esserci un problema con le credenziali. Controlli il nome utente e la password e riprovi. Un errore dell'app Webex di solito indica un problema con la configurazione dell'SSO. In questo caso, ripeta i passaggi, in particolare i passaggi in cui copia e incolla i metadati di Control Hub nella configurazione dell'IdP. Per vedere l'esperienza di accesso SSO, Le consigliamo di fare clic su Copia l'URL negli appunti da questa schermata e incollarlo in una finestra privata del browser. Da lì, può procedere con l' accesso con SSO. Questo aiuta a rimuovere tutte le informazioni memorizzate nella cache del browser web che potrebbero fornire un risultato falso positivo durante il test della sua configurazione SSO. |
| 11 |
Tornare alla scheda del browser Control Hub.
La configurazione SSO non ha effetto nella sua organizzazione a meno che Lei non scelga il primo pulsante di opzione e attivi l'SSO. |
Cosa fare dopo
Può impostare una regola di routing. Fare riferimento a Aggiungere o modificare una regola di routing nella scheda Regole di routing di questo articolo.
Può seguire la procedura descritta in Elimina le e-mail automatiche per disabilitare le e-mail inviate ai nuovi utenti dell'app Webex nella sua organizzazione. Il documento contiene anche le migliori pratiche per l' invio di comunicazioni agli utenti della sua organizzazione.
Quando configura OpenID Connect con Entra ID o un IdP in cui l'email non è un identificatore permanente, Le consigliamo di utilizzare l'attributo di collegamento
ExternalID per mappare un identificatore univoco. Per Entra ID, suggeriamo di mappare OIDC su ExternalID. Se scopriamo che l'email
non corrisponde all'attributo di collegamento, all'utente viene richiesto di verificare la propria identità o di
creare un nuovo utente con l'indirizzo email corretto.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider e faccia clic su Attiva SSO. |
| 4 |
Seleziona OpenID Connect come IdP e faccia clic su Avanti. |
| 5 |
Inserisca i dati del suo IdP.
|
| 6 |
(Facoltativo) Attiva la configurazione Allow Proof Key for Code Exchange (PKCE) per configurare il suo IdP OIDC con questa estensione di sicurezza. Ciò rafforza la sicurezza delle applicazioni client e garantisce la compatibilità con gli utenti che lo richiedono. |
| 7 |
Scelga come aggiungere endpoint. Questa operazione può essere eseguita automaticamente o manualmente.
|
| 8 |
(Facoltativo) Configura le impostazioni Just In Time (JIT). Fare riferimento a Configurare la mappatura Just In Time (JIT) e SAML nella scheda Gestisci i suoi IdP di questo articolo.
|
| 9 |
Fai clic su Verifica configurazione SSO e, quando si apre una nuova scheda del browser, si autentichi con l' IdP effettuando l'accesso. Verifichi la connessione SSO prima di abilitarla. Questo passaggio funziona a secco e non influisce sulle impostazioni della sua organizzazione finché non abilita l'SSO nella fase successiva. Se riceve un errore di autenticazione, potrebbe esserci un problema con le credenziali. Controlli il nome utente e la password e riprovi. Un errore dell'app Webex di solito indica un problema con la configurazione dell'SSO. In questo caso, ripeta i passaggi, in particolare i passaggi in cui copia e incolla i metadati di Control Hub nella configurazione dell'IdP. Per vedere l'esperienza di accesso SSO, Le consigliamo di fare clic su Copia l'URL negli appunti da questa schermata e incollarlo in una finestra privata del browser. Da lì, può procedere con l' accesso con SSO. Questo aiuta a rimuovere tutte le informazioni memorizzate nella cache del browser web che potrebbero fornire un risultato falso positivo durante il test della sua configurazione SSO. |
| 10 |
Tornare alla scheda del browser Control Hub.
La configurazione SSO non ha effetto nella sua organizzazione a meno che Lei non scelga il primo pulsante di opzione e attivi l'SSO. |
Cosa fare dopo
Può impostare una regola di routing. Fare riferimento a Aggiungere o modificare una regola di routing nella scheda Regole di routing di questo articolo.
Può seguire la procedura descritta in Elimina le e-mail automatiche per disabilitare le e-mail inviate ai nuovi utenti dell'app Webex nella sua organizzazione. Il documento contiene anche le migliori pratiche per l' invio di comunicazioni agli utenti della sua organizzazione.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider e faccia clic su Attiva SSO. |
| 4 |
Seleziona Webex come IdP e fai clic su Avanti. |
| 5 |
Verifica di aver letto e compreso come funziona Webex IdP e fai clic su Avanti. |
| 6 |
Impostare una regola di routing. Fare riferimento a Aggiungere o modificare una regola di routing nella scheda Regole di routing di questo articolo. |
Dopo aver aggiunto una regola di routing, il suo IdP viene aggiunto e viene visualizzato nella scheda Provider di identità.
Cosa fare dopo
Può seguire la procedura descritta in Elimina le e-mail automatizzate per disabilitare le e-mail inviate ai nuovi utenti dell'app Webex nella sua organizzazione. Il documento contiene anche le migliori pratiche per l' invio di comunicazioni agli utenti della sua organizzazione.
Le regole di routing sono applicabili quando si configura più di un IdP. Le regole di routing consentono a Webex di identificare a quale IdP inviare i suoi utenti quando ha configurato più IdP.
Quando configura più di un IdP, può definire le sue regole di routing nella procedura guidata di configurazione SSO. Se salta la fase della regola di routing, Control Hub aggiunge l'IdP ma non attiva l'IdP. Deve aggiungere una regola di routing per attivare l'IdP.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vai alla scheda Regole di routing. Quando configura il suo primo IdP, la regola di routing viene aggiunta automaticamente e viene impostata come regola predefinita. Può scegliere un altro IdP da impostare come regola predefinita in un secondo momento. |
| 4 |
Faccia clic su Aggiungi nuova regola di routing. |
| 5 |
Inserisca i dettagli di una regola di routing:
|
| 6 |
Seleziona il metodo di autenticazione a più fattori (MFA):
Per ulteriori informazioni sulla configurazione dell'autenticazione a più fattori per la sua organizzazione, veda Abilitare l'integrazione dell' autenticazione a più fattori in Control Hub. |
| 7 |
Faccia clic su Aggiungi. |
| 8 |
Seleziona la nuova regola di routing e faccia clic su Attiva. |
Può modificare l'ordine di priorità delle regole di routing se ha regole di routing per più IDP.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vai alla scheda Regole di routing. |
| 4 |
Seleziona la regola di routing. |
| 5 |
Scelga se desidera disattivare o eliminare la regola di routing. È consigliabile che Lei abbia un'altra regola di routing attiva per l'IdP. Altrimenti, potrebbe avere problemi con il suo login SSO. |
La regola predefinita non può essere disattivata o eliminata, ma può modificare l'IdP indirizzato.
Prima che Lei cominci
Di tanto in tanto, potrebbe ricevere una notifica via email o ricevere un avviso in Control Hub che indica che il certificato IdP sta per scadere. Poiché i fornitori di IdP dispongono di una propria documentazione specifica per il rinnovo del certificato, copriamo ciò che è richiesto in Control Hub, insieme a passaggi generici per recuperare i metadati IdP aggiornati e caricarli su Control Hub per rinnovare il certificato.
Questo è applicabile solo alla configurazione SAML.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider. |
| 4 |
Vada all'IdP, faccia clic Per scaricare il file di metadati, faccia clic
 e seleziona Scarica i metadati Idp. |
| 5 |
Acceda alla sua interfaccia di gestione IdP per recuperare il nuovo file di metadati. |
| 6 |
Tornare a Control Hub e trascina il file di metadati del suo IdP nell'area di caricamento o faccia clic su Scegli un file per caricare i metadati. |
| 7 |
Scelga Meno sicuro (autofirmato) o Più sicuro (firmato da una CA pubblica), a seconda di come sono firmati i metadati del suo IdP e faccia clic su Salva. |
| 8 |
Configura le impostazioni Just In Time (JIT) e la risposta di mappatura SAML. Fare riferimento a Configurare la mappatura Just In Time (JIT) e SAML nella scheda Gestisci i suoi IdP di questo articolo.
|
| 9 |
Fai clic su Verifica configurazione SSO e, quando si apre una nuova scheda del browser, si autentichi con l' IdP effettuando l'accesso. Verifichi la connessione SSO prima di abilitarla. Questo passaggio funziona a secco e non influisce sulle impostazioni della sua organizzazione finché non abilita l'SSO nella fase successiva. Se riceve un errore di autenticazione, potrebbe esserci un problema con le credenziali. Controlli il nome utente e la password e riprovi. Un errore dell'app Webex di solito indica un problema con la configurazione dell'SSO. In questo caso, ripeta i passaggi, in particolare i passaggi in cui copia e incolla i metadati di Control Hub nella configurazione dell'IdP. Per vedere l'esperienza di accesso SSO, Le consigliamo di fare clic su Copia l'URL negli appunti da questa schermata e incollarlo in una finestra privata del browser. Da lì, può procedere con l' accesso con SSO. Questo aiuta a rimuovere tutte le informazioni memorizzate nella cache del browser web che potrebbero fornire un risultato falso positivo durante il test della sua configurazione SSO. |
| 10 |
Faccia clic su Salva. |
e seleziona Prima che Lei cominci
Si consiglia di aggiornare tutti i suoi IDP della sua organizzazione quando rinnova il certificato SP.
Questo è applicabile solo alla configurazione SAML.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider. |
| 4 |
Vada all'IdP e faccia clic |
| 5 |
Faccia clic su Rivedi certificati e data di scadenza. Questo La porta alla pagina dei certificati del Service Provider (SP). Può
fare clic Se la sua organizzazione utilizza certificati doppi, ha anche la possibilità di passare da un certificato secondario a un certificato primario o eliminare un certificato secondario esistente. |
| 6 |
Fai clic su Rinnova certificato. |
| 7 |
Scelga il tipo di IdP nella sua organizzazione:
|
| 8 |
Scelga il tipo di certificato per il rinnovo:
|
| 9 |
Per confermare che desidera sostituire il certificato corrente con quello selezionato, selezioni Facendo clic su Sostituisci un certificato, sostituirò il certificato corrente con quello che ho selezionato, quindi faccia clic su Sostituisci un certificato. |
| 10 |
Nella pagina Renew Service Provider (SP) certificati, fare clic su Scarica metadati o Scarica certificato per scaricare una copia del file o del certificato di metadati aggiornato dal cloud Webex. |
| 11 |
Accedere alla sua interfaccia di gestione IdP per caricare il nuovo file o certificato di metadati Webex. Questo passaggio può essere eseguito tramite una scheda del browser, un protocollo RDP (Remote Desktop Protocol) o tramite il supporto specifico di un fornitore di servizi cloud, a seconda della configurazione del suo IdP e del fatto che Lei o un amministratore IdP separato sia responsabile di questo passaggio. Per ulteriori informazioni, consulti le nostre guide all'integrazione SSO o contatti il suo amministratore IdP per assistenza. Se utilizza Active Directory Federation Services (AD FS), può vedere come aggiornare i metadati Webex in AD FS |
| 12 |
Tornare all'interfaccia di Control Hub. Nella pagina dei certificati Renew Service Provider (SP), controlli di aver già aggiornato i metadati per tutti gli IdP e poi faccia clic su Avanti. |
| 13 |
Faccia clic su Fine. |
.
per scaricare i metadati o il certificato SP. Prima che Lei cominci
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider. |
| 4 |
Vada all'IdP e faccia clic |
| 5 |
Seleziona Test IdP. |
| 6 |
Fai clic su Verifica configurazione SSO e, quando si apre una nuova scheda del browser, si autentichi con l' IdP effettuando l'accesso. Se riceve un errore di autenticazione, potrebbe esserci un problema con le credenziali. Controlli il nome utente e la password e riprovi. Un errore dell'app Webex di solito indica un problema con la configurazione dell'SSO. In questo caso, ripeta i passaggi, in particolare i passaggi in cui copia e incolla i metadati di Control Hub nella configurazione dell'IdP. Per vedere l'esperienza di accesso SSO, Le consigliamo di fare clic su Copia l'URL negli appunti da questa schermata e incollarlo in una finestra privata del browser. Da lì, può procedere con l' accesso con SSO. Questo aiuta a rimuovere tutte le informazioni memorizzate nella cache del browser web che potrebbero fornire un risultato falso positivo durante il test della sua configurazione SSO. |
| 7 |
Tornare alla scheda del browser Control Hub.
La configurazione SSO non ha effetto nella sua organizzazione a meno che Lei non scelga il primo pulsante di opzione e attivi l'SSO. |
Prima che Lei cominci
Assicurarsi che siano soddisfatte le seguenti condizioni preliminari:
-
L'SSO è già configurato.
-
I domini sono già stati verificati.
-
I domini vengono rivendicati e attivati. Questa funzione garantisce che gli utenti del suo dominio vengano creati e aggiornati una volta ogni volta che si autenticano con il suo IdP.
-
Se DirSync o Entra ID sono abilitati, la creazione o l'aggiornamento SAML JIT non funzionerà.
-
«Blocca aggiornamento del profilo utente» è abilitato. SAML Update Mapping è consentito perché questa configurazione controlla la capacità dell'utente di modificare gli attributi. I metodi di creazione e aggiornamento controllati dall'amministratore sono ancora supportati.
Quando configura SAML JIT con Entra ID o un IdP in cui l'email non è un identificatore permanente, Le consigliamo di utilizzare l'attributo di collegamento
ExternalID per mappare un identificatore univoco. Se scopriamo
che l'email non corrisponde all'attributo di collegamento, all'utente viene richiesto di verificare la propria
identità o di creare un nuovo utente con l'indirizzo email corretto.
Gli utenti appena creati non riceveranno automaticamente le licenze assegnate a meno che l'organizzazione non abbia impostato un modello di licenza automatico.
| 1 |
Accedi a Control Hub. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
Vai a . | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
Vada alla scheda Identity provider. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
Vada all'IdP e faccia clic | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
Seleziona Modifica mappatura SAML. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
Configura le impostazioni Just-in-Time (JIT).
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
Configurare gli attributi richiesti per la mappatura SAML.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
Configura gli attributi di Linking. Dovrebbe essere unico per l'utente. Viene utilizzato per cercare un utente in modo che Webex possa
aggiornare tutti gli attributi del profilo, inclusa l'email di un utente.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
Configura gli attributi del profilo.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
Configura gli attributi del gruppo.
Se l'utente A è associato al Il provisioning SAML JIT non supporta la rimozione di utenti dai gruppi o l'eliminazione di utenti.
Per un elenco degli attributi di asserzione SAML perWebex Meetings, vedere Attributi di asserzione SAML per e Jabber. Webex Meetings |
Prima che Lei cominci
Si consiglia di disattivare o eliminare le regole di routing dell'IdP prima di eliminare l'IdP.
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider. |
| 4 |
Vada all'IdP e faccia clic |
| 5 |
Seleziona Elimina. |
| 1 |
Accedi a Control Hub. |
| 2 |
Vai a . |
| 3 |
Vada alla scheda Identity provider. |
| 4 |
Faccia clic su Disattiva SSO. Confermi la disattivazione dell'SSO. |
Una volta confermato, l'SSO è disattivato per tutti gli IDP della sua organizzazione.
Riceverà avvisi in Control Hub prima della scadenza dei certificati, ma potrà anche impostare in modo proattivo regole di avviso. Queste regole Le consentono di sapere in anticipo che i suoi certificati SP o IdP stanno per scadere. Possiamo inviarle tramite e-mail, uno spazio nell'app Webex o entrambi.
Indipendentemente dal canale di consegna configurato, tutti gli avvisi vengono sempre visualizzati in Control Hub. Per ulteriori informazioni, consulti il Centro avvisi in Control Hub.
| 1 |
Accedi a Control Hub. |
| 2 |
Vada al Centro avvisi. |
| 3 |
Scelga Gestisci e poi Tutte le regole. |
| 4 |
Dall'elenco delle Regole, scelga una delle regole SSO che desidera creare:
|
| 5 |
Nella sezione Canale di consegna, seleziona la casella E-mail, spazio Webex o entrambi. Se sceglie E-mail, inserisca l'indirizzo email che dovrebbe ricevere la notifica. Se sceglie l'opzione Webex space, viene automaticamente aggiunto a uno spazio all'interno dell'app Webex e lì recapitiamo le notifiche. |
| 6 |
Salva le sue modifiche. |
Cosa fare dopo
Inviamo avvisi di scadenza dei certificati una volta ogni 15 giorni, a partire da 60 giorni prima della scadenza. (Può aspettarsi avvisi nei giorni 60, 45, 30 e 15.) Gli avvisi si interrompono quando rinnova il certificato.
In caso di problemi con il suo accesso SSO, può utilizzare l'opzione di ripristino automatico SSO per accedere alla sua organizzazione Webex gestita in Control Hub. L'opzione di ripristino automatico Le consente di aggiornare o disabilitare l'SSO in Control Hub.
