シングル サインオンと Control Hub

シングル サインオン (SSO) は、１ つまたは複数のアプリケーションにアクセスするための証明書の提出をユーザーに許可するセッションないしはユーザー認証プロセスです。このプロセスは、権限を与えられたすべてのアプリケーションに対してユーザーを認証します。このプロセスは、ユーザーが特定のセッション中にアプリケーションをスイッチする際、以降のプロンプトを除去します。

Security Assertion Markup Language (SAML 2.0) フェデレーションプロトコルは、Webex クラウドとお使いの ID プロバイダー (IdP)　の間で　SSO 認証を提供するために使用されます。

プロファイル

Webex アプリは Web ブラウザーの SSO プロファイルのみをサポートします。Web ブラウザーの SSO プロファイルでは、Webex アプリ は以下のバインドをサポートします。

  • SP 初期化済み POST -> POST バインディング

  • SP 初期化済み REDIRECT -> POST バインディング

NameID 形式

SAML 2.0 プロトコルは、特定のユーザーについての通信を目的として多くの NameID 形式をサポートします。Webex アプリは次の NameID 形式をサポートします。

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

IdP から読み込んだメタデータで、最初のエントリは Webex で使用するために設定されます。

Control Hub を Okta と統合する

この設定ガイドでは、SSO インテグレーションの具体的な例を示しますが、すべての可能性に対し網羅的な設定を提供するものではありません。たとえば、 nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient の統合手順が文書化されています。 urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress などの他の形式は SSO 統合には機能しますが、ドキュメントの範囲外です。

Webex 組織のユーザーについて、このインテグレーションをセットアップします (Webex アプリ、Webex Meetings、その他の Control Hub で管理されるサービスなど)。Webex サイトが Control Hub で統合されている場合、その Webex サイトはユーザー管理を引き継ぎます。この方法で Webex Meetings にアクセスできず、Control Hub で管理されていない場合、Webex Meetings で SSO を有効にするには、個別にインテグレーションを実行する必要があります。

始める前に

  • SSO および Control Hub では、IdP は SAML 2.0 の仕様を満たす必要があります。加えて、IdP は以下のように設定されている必要があります。

  • Webex は、サービス プロバイダー (SP) が開始したフローのみをサポートします。つまり、ユーザーは Webex サイトからセッションを開始する必要があります。これにより、認証が Webex プラットフォームを通じて適切にルーティングされるようになります。

Webex メタデータをローカル システムにダウンロードする

1

Control Hub にサインインします。

2

管理 へ移動 > 安全 > 認証.

3

アイデンティティプロバイダー タブに移動し、 SSO のアクティブ化をクリックします。

4

IdP を選択します。

5

組織の証明書タイプを選択します。

  • Cisco による自己署名—この選択をお勧めします。当社が証明書に署名すれば、5 年に 1 回更新するだけで済みます。
  • 公的証明機関によって署名されている— より安全ですが、メタデータを頻繁に更新する必要があります (IdP ベンダーが信頼アンカーをサポートしていない限り)。

信頼アンカーとは、デジタル署名証明書を確認する役目を持つ公開鍵です。詳細については、IdP ドキュメントを参照してください。

6

メタデータ ファイルをダウンロードします。

Webex メタデータ ファイル名は idb-meta-<org-ID>-SP.xmlです。

Webex サービス向けに Okta を設定する

Okta 管理ポータルで Cisco Webex アプリケーションを設定するときに、デフォルトのアプリケーション アイコンを非表示のままに設定します。これを行うには、 アプリ設定 に移動します > アプリケーションの可視性 をオンにし、 ユーザーにアプリケーションアイコンを表示しない と Okta モバイルアプリにアプリケーションアイコンを表示しないをオンにします。

1

Okta テナント (example.okta.com、ここで example は会社名または組織名) に管理者としてサインインし、 アプリケーションに移動して、 アプリケーションの追加をクリックします。

2

Cisco Webex を検索して、アプリケーションをあなたのテナントに追加します。

3

次へ をクリックし、 SAML をクリックします。2.0.

4

ブラウザーで、Control Hub からダウンロードしたメタデータ ファイルを開きます。entityID (ファイルの先頭) と assertionConsumerService の場所 (ファイルの一番下) の URL をコピーし ます。

Control Hub メタデータ ファイルでハイライトされた entityID の例

Control Hub メタデータ ファイルでハイライトされた assertionConsumerService ロケーションの例

5

Okta の [Cisco Webex] タブで、[高度な設定] にスクロールし、Control Hub メタデータファイルからコピーしたエンティティ ID とアサーション コンシューマー サービス値を貼り付けて、変更を保存します。

6

サインオン をクリックし、Okta メタデータ ファイルをダウンロードします。このファイルを Control Hub インスタンスに再度インポートします。

ユーザーに特定の Webex サイトへのアクセス権を付与するには、Okta でカスタム アプリケーションを作成します。ユーザーを固有の Webex サイト URL に誘導する Web リンクを設定します。このカスタム アプリケーション アイコンがユーザーに表示されるように、Okta のアプリケーション可視性設定を調整してください。
7

[割り当て] をクリックし、Control Hub で管理されているアプリとサービスに関連付けるユーザーと関連するグループをすべて選択し、[割り当て] をクリックして、[完了] をクリックします。

ユーザーまたはグループを割り当てることができます。この手順はとばさないでください。とばした場合、お使いの Control Hub および Okta 統合は失敗となります。

IdP メタデータをインポートし、テスト後にシングル サインオンを有効にする

Webex メタデータをエクスポートし、IdP を設定して IdP メタデータをローカルのシステムにダウンロードすると、お使いの Webex 組織に Control Hub からインポートする準備が整います。

始める前に

ID プロバイダ (IdP) インターフェイスからの SSO 統合をテストしないでください。サービス プロバイダーにより開始された (SP 主導) フローのみをサポートしているため、この統合には Control Hub SSO テストを使用する必要があります。

1

1 つを選択します。

  • ブラウザで「Control Hub – 証明書選択」ページに戻り、 をクリックします。
  • ブラウザ タブで Control Hub が開いていない場合は、再度開きます。コントロールハブの顧客ビューから、 管理 に移動します。 > 安全 > 認証、IdPを選択し、 アクション を選択します。 > メタデータをインポート。
2

「IdP メタデータのインポート」ページで、IdP メタデータ ファイルをページにドラッグ アンド ドロップするか、ファイル ブラウザ オプションを使用してメタデータ ファイルを見つけてアップロードします。[次へ] をクリックします。

可能な場合は [安全性が高い] オプションを使用してください。これは、IdP がパブリック CA を使用してメタデータに署名した場合にのみ可能です。

それ以外のすべての場合、[安全性が低い] オプションを使用する必要があります。たとえば、メタデータに署名がない場合、自己署名の場合、プライベート CA が署名した場合などです。

Okta はメタデータに署名しないため、Okta SSO インテグレーションには [安全性が低い] を選択する必要があります。

3

SSO セットアップのテストを選択し、新しいブラウザ タブが開いたら、サインインして IdP で認証します。

認証エラーを受け取った場合、証明書に問題がある可能性があります。ユーザー名とパスワードを確認して再度試してください。

通常、Webex アプリのエラーは SSO セットアップの問題です。この場合は、この手順、特に Control Hub メタデータを IdP セットアップにコピーおよび貼り付けを行った手順のウォークスルーを再度実施します。

SSO サインイン エクスペリエンスを直接見るには、この画面から [URL をクリップボードに貼り付け] をクリックして、それをプライベート ブラウザー ウィンドウに貼り付けることもできます。そこから、SSO のサインインをウォークスルーできます。このステップにより、既存セッションに存在する可能性があるアクセストークンによる誤判定でサインインできなくなるのを回避できます。

4

Control Hub ブラウザー タブに戻ります。

  • テストが成功した場合は、[テストに成功しました] を選択します。SSO をオンにし、[次へ] をクリックします。
  • テストが失敗した場合、[テストに失敗しました] を選択します。SSO をオフにし、[次へ] をクリックします。

最初のラジオ ボタンを選択して SSO を有効にしない限り、SSO 設定は組織で有効に機能しません。

次に行うこと

[Okta ユーザーを Cisco Webex Control Hub に同期する] の手順を使用して、Webex クラウドに Okta からのユーザー プロビジョニングを実行します。

Azure AD から Webex クラウドにユーザープロビジョニングを実行する場合、Azure Active Directory ユーザーを Cisco Webex Control Hub に同期するための手順を使用します。

自動メールの抑制 の手順に従って、組織内の新しい Webex アプリ ユーザーに送信されるメールを無効にすることができます。この文書もまた、組織のユーザーにコミュニケーションを送信するためのベストプラクティスも含みます。