シングル サインオンと Control Hub

https://admin.webex.com の顧客ビューから、[管理] > [組織の設定] に移動し、[認証] までスクロールして、[シングル サインオン] 設定に切り替えて、セットアップ ウィザードを開始します。

組織の証明書タイプを選択します。

• Cisco による自己署名 - この選択を推奨します。 当社が証明書に署名すれば、5 年に 1 回更新するだけで済みます。
• パブリック認証局による署名 - より安全ですが、メタデータを頻繁に更新する必要があります (IdP ベンダーが信頼アンカーをサポートしていない限り)。

信頼アンカーとは、デジタル署名証明書を確認する役目を持つ公開鍵です。 詳細については、IdP ドキュメントを参照してください。

メタデータ ファイルをダウンロードします。

BIG-IP F5 管理インターフェイスから、[アクセス ポリシー] > [SAML] > [IdP としての BIG-IP] に移動します。

[外部 SP コネクタ] から [作成] > [メタデータから] を選択します。

サービス プロバイダー名には、<yourorganizationname>.ciscowebex.com など、わかりやすい名前を入力してください。

セキュリティ設定で、以下のチェックボックスにチェックを入れてください。

• 応答は署名されている必要があります。
• アサーションは署名されている必要があります。

[アクセス ポリシー] > [SAML] > [IdP としての BIG-IP] に戻り、新しい ID プロバイダー (IdP) サービスを作成します。

IdP　サービス名に、CI　などの意味のある名称を入力してください。

IdP エンティティ ID の場合、Big-IP サーバーの FQDN の前に何かを追加して使用します。たとえば、「https://bigip0a.uc8sevtlab13.com/CI」などです。

[アサーション設定]で、[アサーションサブジェクトの種類]に[一時的な識別子]を選択します。

[アサーション サブジェクト値]に、ユーザーのメールの値 %{session.ad.last.attr.mail} が戻ります。

属性メールおよび uid と値 %{session.ad.last.attr.mail} が戻ります。

セキュリティ設定で、アサーションに署名する証明書を選択します。

変更を保存し、サービス プロバイダと作成した ID プロバイダを結合させます。

[IDP サービスをエクスポート] を選択します。

[メタデータに署名] の値が [はい] になっていることを確認します。

メタデータ ファイルをデスクトップまたは見つけやすい場所にダウンロードします。

[アクセスポリシー] > [(アクセス プロファイル] > [SAML] の順に移動し、作成した IdP の SAML リソースを作成します。

アクセス プロファイルを開き、WebEx Messenger CAS で使用するアクセスポリシーを編集します。

[ログオン] タブの新規アイテムを [ログオン ページ] 名に追加し、デフォルトの値はそのままにします。

[認証]タブの新規アイテムを　AD Auth の名称で追加し、サーバーとしての Active Directory を指定します。

成功したブランチで、[認証]タブから　AD クエリーを追加します。

[ブランチ ルール]を開き、[AD クエリーは渡されました]に変更します。

AD クエリーの成功したブランチで、[指定] タブから [高度なリソースアサイン] を追加します。

[追加/削除]をクリックし、すべての SAML リソースを持つ　[SAML]　および作成した[Webtop]の 2　つのリソースを追加します。

[終了を選択する]ため、[許可]を選択します。

アクセス ポリシーは以下のスクリーンショットのように表示されます。

[ローカル トラフィック] > [仮想サーバー] に移動します。

アクセスプロファイルを開き、バーチャル サーバーがプロファイルに関連付けられていないことを確認します。

高度なリソース指定を選択します。

追加/削除を選択し、新しい SAML リソースを追加します。

アクセス ポリシー デザイン ウィンドウを閉じ、新しいアクセス ポリシーを適用します。

1 つを選択します。

• Control Hub に戻る - ブラウザーの証明書選択ページに戻り、[次へ] をクリックします。
• ブラウザー タブに Control Hub が開いていない場合は、https://admin.webex.com の顧客ビューから、[管理] > [組織の設定] に進み、[認証] までスクロールして、[アクション] > [メタデータをインポート] を選択します。

[IdP メタデータのインポート] ページ上で IdP メタデータファイルをこのページにドラッグアンドドロップするか、ファイルブラウザオプションを使用してメタデータファイルを見つけてアップロードします。 [次へ] をクリックします。

[SSO セットアップのテスト] を選択し、新しいブラウザー タブが開いたら、サインインすることで IdP の認証を受けます。

認証エラーを受け取った場合、証明書に問題がある可能性があります。 ユーザー名とパスワードを確認して再度試してください。 通常、Webex アプリのエラーは SSO セットアップの問題です。 この場合は、この手順、特に Control Hub メタデータを IdP セットアップにコピーおよび貼り付けを行った手順のウォークスルーを再度実施します。

SSO サインイン エクスペリエンスを直接見るには、この画面から [URL をクリップボードに貼り付け] をクリックして、それをプライベート ブラウザー ウィンドウに貼り付けることもできます。 そこから、SSO のサインインをウォークスルーできます。 このステップにより、既存セッションに存在する可能性があるアクセストークンによる誤判定でサインインできなくなるのを回避できます。

Control Hub ブラウザー タブに戻ります。

• テストが成功した場合は、[テストに成功しました] を選択します。 SSO をオンにし、[次へ] をクリックします。
• テストが失敗した場合、[テストに失敗しました] を選択します。 SSO をオフにし、[次へ] をクリックします。

最初のラジオ ボタンを選択して SSO を有効にしない限り、SSO 設定は組織で有効に機能しません。