コメントありがとうございます。
Webex で複数の IDP を使用する SSO
フィードバックがある場合シングルサインオン（SSO）を使用すると、ユーザーは組織の共通 ID プロバイダーに認証することで、Webex に安全にサインインできます 。 IDプロバイダー（IdP）は、 ユーザーのデジタルIDを安全に保存および管理し、Webexユーザーにユーザー認証サービスを提供します 。
複数のIDPが必要な理由
多くの大企業が合併や買収を経験していますが、 これらの企業が同じITインフラストラクチャとIDプロバイダーを持っていることはめったにありません。 政府機関には、 さまざまな組織や機関があります。 多くの場合、これらの組織は、 それぞれ自社のIT部門とインフラストラクチャ用に1つのメールアドレスを持っています。 主要な教育機関には中央購買部門がありますが、 大学やカレッジによってIT組織や部門が異なります。
IDPとサービスプロバイダー（SP）が互いにフェデレーションしているのはよくあることです。 IdPはユーザーの資格情報を認証する責任があり、 SPはIdPによる認証を信頼します。 これにより、 ユーザーは同じデジタルIDを使用してさまざまなSaaSアプリケーションやサービスにアクセスできます。 しかし、何らかの理由で組織が IdP 間をフェデレーションできない場合、Webex は複数の IdP をサポートするための回避策を提供します。 このような理由から、Webexで複数のIdPにSSOを設定し、ユーザーの認証プロセスを簡素化するオプションを提供しています。
制限事項
- 組織でディレクトリコネクタを使用している場合は、 すべてのユーザーにディレクトリコネクタをプロビジョニングする必要があります。 詳細については、 ディレクトリコネクタ導入ガイドを参照してください。
- 現在、アイデンティティプロバイダーとしてサポートしているのは、SAML、OpenID Connect、Webex アイデンティティのみです。
範囲外です
- グループ課題を設定します。
- ドメイン検証。 詳細については、「ドメインを管理する」を参照してください。
- ユーザープロビジョニング。 詳細については、「Control Hub 組織にユーザーを追加する方法」を参照してください。
このセクションでは、ID プロバイダー (IdP) を Webex 組織と統合する方法について説明します。 組織の要件に最適なIDPを選択できます。
Webex Meetingsサイト（ サイト管理で管理）のSSO統合をお探しの場合は、「Webex管理用のシングルサインオンの設定」を参照してください。
始める前に
次の条件が満たされていることを確認してください。
- コントロールハブの完全な管理者の役割が必要です。
- Webexに渡すIdPからのメタデータファイルと、IdPに渡すWebexからのメタデータファイル。 詳細については、Control Hub のシングルサインオン統合を参照してください。 これはSAML設定にのみ適用されます。
- 複数のIdPを設定する前に、ルーティングルールの動作を計画する必要があります。
初期IdPを設定すると、デフォルトのルーティングルールが適用されます。 しかし、 別のIdPをデフォルトとして設定できます。 この記事の「 ルーティングルール」タブの「ルーティングルールの追加または編集」を参照してください。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに行き、「 SSOを有効にする」をクリックします。 |
| 4 |
IdPとしてSAMLを選択し、次へをクリックします。 |
| 5 |
証明書の種類を選択してください:
|
| 6 |
「メタデータをダウンロード」をクリックし、「次へ」をクリックします。 <org-ID>Webex アプリのメタデータのファイル名は idb-meta--SP.xml です。 |
| 7 |
IdPsメタデータファイルをアップロードするか、設定フォームに記入してください。 メタデータファイルをアップロードする場合、 カスタマーIdPからのメタデータを検証する方法は2つあります。
「次へ」をクリックします。 |
| 8 |
|
| 9 |
（オプション）ジャストインタイム（JIT）設定とSAMLマッピングレスポンスを設定します。 この記事の「IDPの管理」タブにある「ジャストインタイム（JIT）とSAMLマッピングの設定」を参照してください。
|
| 10 |
「SSOセットアップをテスト」をクリックし、新しいブラウザタブが開いたら、 サインインしてIdPで認証します。 SSO接続を有効にする前にテストしてください。 このステップは予行演習のように機能し、次のステップでSSOを有効にするまで組織の設定には影響しません。 認証エラーが発生した場合は、 資格情報に問題がある可能性があります。 ユーザー名とパスワードを確認して、もう一度やり直してください。 Webex アプリのエラーは通常、SSO 設定に問題があることを意味します。 この場合は、手順、特にControl HubのメタデータをコピーしてIdP設定に貼り付ける手順をもう一度実行してください。 SSOサインインを確認するには、この画面で [ URLをクリップボードにコピー] をクリックして、プライベートブラウザウィンドウに貼り付けることをお勧めします。 そこから、 SSOでのサインインを順を追って進めることができます。 これにより、SSO構成のテスト時に誤検出の結果となる可能性のある、ウェブブラウザにキャッシュされている情報をすべて削除できます。 |
| 11 |
コントロールハブのブラウザタブに戻ってください。
SSOの設定は、最初のラジオボタンを選択してSSOを有効にしない限り 、組織では有効になりません。 |
次にすべきこと
ルーティングルールを設定できます。 この記事の「 ルーティングルール」タブの「ルーティングルールの追加または編集」を参照してください。
「自動メールを抑制する」の手順に従って、組織内の新しい Webex アプリユーザーに送信されるメールを無効にすることができます。 このドキュメントには、 組織内のユーザーにコミュニケーションを送る際のベストプラクティスも含まれています。
Entra IDまたは電子メールが永続的な識別子ではないIdPでOpenID Connectを設定する場合は、
ExternalIDリンク属性を使用して固有の識別子にマップすることをお勧めします。 エントラIDについては、OIDCを外部IDにマッピングすることをお勧めします。 メールがリンク属性と一致しないことが判明した場合、ユーザーは本人確認を行うか、
正しいメールアドレスを持つ新しいユーザーを作成するように求められます。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに行き、「 SSOを有効にする」をクリックします。 |
| 4 |
IdPとしてOpenID Connectを選択し、「次へ」をクリックします。 |
| 5 |
IdP情報を入力してください。
|
| 6 |
（オプション）このセキュリティ拡張機能を使用してOIDC IdPを設定するには、コード交換用の証明キーを許可する（PKCE） 構成をオンに切り替えてください。 これにより、クライアントアプリケーションのセキュリティが強化され、 それを必要とするユーザーとの互換性が保証されます。 |
| 7 |
エンドポイントの追加方法を選択してください。 これは自動でも手動でもできます。
|
| 8 |
（オプション）ジャストインタイム（JIT）設定を行います。 この記事の「IDPの管理」タブにある「ジャストインタイム（JIT）とSAMLマッピングの設定」を参照してください。
|
| 9 |
「SSOセットアップをテスト」をクリックし、新しいブラウザタブが開いたら、 サインインしてIdPで認証します。 SSO接続を有効にする前にテストしてください。 このステップは予行演習のように機能し、次のステップでSSOを有効にするまで組織の設定には影響しません。 認証エラーが発生した場合は、 資格情報に問題がある可能性があります。 ユーザー名とパスワードを確認して、もう一度やり直してください。 Webex アプリのエラーは通常、SSO 設定に問題があることを意味します。 この場合は、手順、特にControl HubのメタデータをコピーしてIdP設定に貼り付ける手順をもう一度実行してください。 SSOサインインを確認するには、この画面で [ URLをクリップボードにコピー] をクリックして、プライベートブラウザウィンドウに貼り付けることをお勧めします。 そこから、 SSOでのサインインを順を追って進めることができます。 これにより、SSO構成のテスト時に誤検出の結果となる可能性のある、ウェブブラウザにキャッシュされている情報をすべて削除できます。 |
| 10 |
コントロールハブのブラウザタブに戻ってください。
SSOの設定は、最初のラジオボタンを選択してSSOを有効にしない限り 、組織では有効になりません。 |
次にすべきこと
ルーティングルールを設定できます。 この記事の「 ルーティングルール」タブの「ルーティングルールの追加または編集」を参照してください。
「自動メールを抑制する」の手順に従って、組織内の新しい Webex アプリユーザーに送信されるメールを無効にすることができます。 このドキュメントには、 組織内のユーザーにコミュニケーションを送る際のベストプラクティスも含まれています。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに行き、「 SSOを有効にする」をクリックします。 |
| 4 |
WebexをIdPとして選択し、次へをクリックします。 |
| 5 |
Webex IdP の仕組みを読んで理解したことを確認して、[次へ] をクリックしてください。 |
| 6 |
ルーティングルールを設定します。 この記事の「 ルーティングルール」タブの「ルーティングルールの追加または編集」を参照してください。 |
ルーティングルールを追加すると、IdPが追加され、「 IDプロバイダー」タブに表示されます。
次にすべきこと
「 自動メールを抑制する」の手順に従って、組織内の新しい Webex アプリユーザーに送信されるメールを無効にすることができます。 このドキュメントには、 組織内のユーザーにコミュニケーションを送る際のベストプラクティスも含まれています。
ルーティングルールは、複数のIdPを設定する場合に適用されます。 ルーティングルールを使用すると、複数の IdP を設定した場合に、Webex はユーザーをどの IdP に送るかを識別できます。
複数のIdPを設定する場合、 SSO設定ウィザードでルーティングルールを定義できます。 ルーティングルールの手順をスキップすると、Control Hub は IdP を追加しますが、 IdP を有効にしません。 IdPを有効にするには、ルーティングルールを追加する必要があります。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ルーティングルール」タブに行ってください。 最初のIdPを設定すると、ルーティングルールが自動的に追加され、 デフォルトルールとして設定されます。 別のIdPを選択して、 後でデフォルトルールとして設定できます。 |
| 4 |
「新しいルーティングルールを追加」をクリックします。 |
| 5 |
ルーティングルールの詳細を入力してください：
|
| 6 |
多要素認証（MFA）方法を選択してください：
組織の MFA 設定の詳細については、「Control Hub で多要素認証統合を有効にする」を参照してください。 |
| 7 |
「追加」をクリックします。 |
| 8 |
新しいルーティングルールを選択し、「有効にする」をクリックします。 |
複数のIDPにルーティングルールがある場合は、ルーティングルールの優先順位を変更できます。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ルーティングルール」タブに行ってください。 |
| 4 |
ルーティングルールを選択してください。 |
| 5 |
ルーティングルールを無効にするか削除するかを選択してください。 IdPには別のアクティブなルーティングルールを用意することをお勧めします。 そうしないと、 SSOログインで問題が発生する可能性があります。 |
デフォルトルールは無効化したり削除したりすることはできませんが、ルーティングされたIdPを変更することはできます。
始める前に
時々、IdP証明書の有効期限が近づいているというメール通知を受け取ったり、Control Hubにアラートが表示されたりすることがあります。 IdPベンダーは証明書更新に関する独自の文書を持っているので、Control Hubで必要なことと、更新されたIdPメタデータを取得してControl Hubにアップロードして証明書を更新する一般的な手順について説明します。
これはSAML設定にのみ適用されます。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに移動します。 |
| 4 |
IdPに行き、クリックしてください メタデータファイルをダウンロードするには、クリックしてください
 そして「Idpメタデータをダウンロード」を選択します。 |
| 5 |
IdP管理インターフェースに移動して、新しいメタデータファイルを取得してください。 |
| 6 |
Control Hub に戻り、IdP メタデータファイルをアップロードエリアにドラッグアンドドロップするか、[ファイルを選択 ] をクリックしてメタデータをアップロードします。 |
| 7 |
IdPメタデータの署名方法に応じて、 安全性が低い（自己署名）または安全性が高い（ 公開CAによる署名）を選択し、保存をクリックしてください。 |
| 8 |
ジャストインタイム（JIT）設定とSAMLマッピングレスポンスを構成してください。 この記事の「IDPの管理」タブにある「ジャストインタイム（JIT）とSAMLマッピングの設定」を参照してください。
|
| 9 |
「SSOセットアップをテスト」をクリックし、新しいブラウザタブが開いたら、 サインインしてIdPで認証します。 SSO接続を有効にする前にテストしてください。 このステップは予行演習のように機能し、次のステップでSSOを有効にするまで組織の設定には影響しません。 認証エラーが発生した場合は、 資格情報に問題がある可能性があります。 ユーザー名とパスワードを確認して、もう一度やり直してください。 Webex アプリのエラーは通常、SSO 設定に問題があることを意味します。 この場合は、手順、特にControl HubのメタデータをコピーしてIdP設定に貼り付ける手順をもう一度実行してください。 SSOサインインを確認するには、この画面で [ URLをクリップボードにコピー] をクリックして、プライベートブラウザウィンドウに貼り付けることをお勧めします。 そこから、 SSOでのサインインを順を追って進めることができます。 これにより、SSO構成のテスト時に誤検出の結果となる可能性のある、ウェブブラウザにキャッシュされている情報をすべて削除できます。 |
| 10 |
[保存] をクリックします。 |
そして「始める前に
SP証明書を更新するときは、組織内のすべてのIDPを更新することをお勧めします。
これはSAML設定にのみ適用されます。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに移動します。 |
| 4 |
IdPに行き、クリックしてください |
| 5 |
「証明書と有効期限を確認する」をクリックします。 これにより、サービスプロバイダー（SP）の証明書ページに移動します。 組織で二重証明書を使用している場合は、 二次証明書を主証明書に切り替えるか、 既存の二次証明書を削除することもできます。 |
| 6 |
「証明書を更新する」をクリックします。 |
| 7 |
組織内のIdPの種類を選択してください：
|
| 8 |
更新する証明書の種類を選択してください:
|
| 9 |
現在の証明書を選択した証明書に置き換えることを確認するには、 「証明書を置換する」をクリックして、 現在の証明書を選択した証明書と交換し、「 証明書を置換」をクリックします。 |
| 10 |
「サービスプロバイダー（SP）証明書の更新」ページで、「 メタデータをダウンロード」または「証明書をダウンロード」をクリックして、Webex クラウドから更新されたメタデータファイルまたは証明書のコピーをダウンロードします。 |
| 11 |
IdP管理インターフェースに移動して、新しいWebexメタデータファイルまたは証明書をアップロードしてください。 このステップは、IdPの設定や、 あなたか別のIdP管理者のどちらがこのステップを担当しているかによって、ブラウザタブ、リモートデスクトッププロトコル（RDP）、 または特定のクラウドプロバイダーのサポートを通じて実行できます。 詳細については、SSO統合ガイドを参照するか、IdP管理者にサポートを依頼してください。 Active Directoryフェデレーションサービス（AD FS）を使用している場合は、AD FS で Webex メタデータを更新する方法を確認できます。 |
| 12 |
コントロールハブのインターフェースに戻ってください。 「サービスプロバイダー（SP） 証明書の更新」ページで、「 すべてのIDPのメタデータを更新しました」を確認し、「次へ」をクリックします。 |
| 13 |
「完了」をクリックします。 |
.
クリックすると、SPのメタデータまたは証明書をダウンロードできます。 始める前に
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに移動します。 |
| 4 |
IdPに行き、クリックしてください |
| 5 |
テストIdPを選択してください。 |
| 6 |
「SSOセットアップをテスト」をクリックし、新しいブラウザタブが開いたら、 サインインしてIdPで認証します。 認証エラーが発生した場合は、 資格情報に問題がある可能性があります。 ユーザー名とパスワードを確認して、もう一度やり直してください。 Webex アプリのエラーは通常、SSO 設定に問題があることを意味します。 この場合は、手順、特にControl HubのメタデータをコピーしてIdP設定に貼り付ける手順をもう一度実行してください。 SSOサインインを確認するには、この画面で [ URLをクリップボードにコピー] をクリックして、プライベートブラウザウィンドウに貼り付けることをお勧めします。 そこから、 SSOでのサインインを順を追って進めることができます。 これにより、SSO構成のテスト時に誤検出の結果となる可能性のある、ウェブブラウザにキャッシュされている情報をすべて削除できます。 |
| 7 |
コントロールハブのブラウザタブに戻ってください。
SSOの設定は、 最初のラジオボタンを選択してSSOを有効にしない限り、組織では有効になりません。 |
始める前に
次の前提条件が満たされていることを確認してください。
-
SSOは既に設定されています。
-
ドメインはすでに検証されています。
-
ドメインは申請され、有効になっています。 この機能により、お客様のドメインのユーザーは、 IdPで認証されるたびに1回作成および更新されます。
-
DirSyncまたはEntra IDが有効になっていると、SAML JITの作成または更新は機能しません。
-
「ユーザープロファイルの更新をブロックする」が有効になっています。 SAML更新マッピングは許可されています。なぜなら、 この設定はユーザーの属性を編集する能力を制御するからです。 管理者が制御する作成と更新の方法は引き続きサポートされています。
Entra IDでSAML JITを設定する場合、または電子メールが永続的な識別子ではないIdPを設定する場合は、
ExternalIDリンク属性を使用して固有識別子にマップすることをお勧めします。 メールがリンク属性と一致しないことが判明した場合、
ユーザーは本人確認を行うか、正しいメールアドレスを持つ新しいユーザーを作成するように求められます。
組織が自動ライセンステンプレートを設定していない限り、 新しく作成されたユーザーにライセンスが自動的に割り当てられることはありません。
| 1 | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
[ に移動します。 | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
「ID プロバイダー」タブに移動します。 | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
IdPに行き、クリックしてください | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
「SAMLマッピングの編集」を選択します。 | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
ジャストインタイム（JIT）設定を行います。
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
SAMLマッピングの必須属性を設定します。
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
リンク属性を設定してください。 これはユーザーに固有のものでなければなりません。 ユーザーを検索して、Webex
がユーザーのメールを含むすべてのプロファイル属性を更新できるようにするために使用されます。
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
プロファイル属性を設定します。
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
グループ属性を設定します。
SAML JITプロビジョニングでは、グループからのユーザーの削除やユーザーの削除はサポートされていません。
の SAML アサーション属性のリストについてはWebex Meetings、および Jabber の SAML アサーション属性を参照してください。Webex Meetings |
始める前に
IdPを削除する前に、 まずIdPのルーティングルールを無効にするか削除することをお勧めします。
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに移動します。 |
| 4 |
IdPに行き、クリックしてください |
| 5 |
「削除」を選択します。 |
| 1 | |
| 2 |
[ に移動します。 |
| 3 |
「ID プロバイダー」タブに移動します。 |
| 4 |
「SSOを無効にする」をクリックします。 SSOの無効化を確認します。 |
確認されると、SSOは組織内のすべてのIDPに対して無効になります。
証明書の有効期限が切れる前にControl Hubにアラートが届きますが、 アラートルールを事前に設定することもできます。 これらのルールは、 SPまたはIdP証明書の有効期限が切れることを事前に知らせます。 これらをメール、Webex アプリのスペース、またはその両方で送信できます。
設定されている配信チャネルに関係なく、すべてのアラートは常にコントロールハブに表示されます。 詳細については、 コントロールハブのアラートセンターを参照してください。
| 1 | |
| 2 |
アラートセンターに行ってください。 |
| 3 |
「管理」を選択し、次に「 すべてのルール」を選択します。 |
| 4 |
ルールリストから、 作成したいSSOルールをどれでも選んでください。
|
| 5 |
配信チャネルセクションで、 電子メール、Webex Space、またはその両方のボックスをチェックしてください。 メールを選択した場合は、 通知を受け取るメールアドレスを入力してください。 Webex スペースオプションを選択すると、Webex アプリ内のスペースに自動的に追加され、そこに通知が配信されます。 |
| 6 |
変更を保存してください。 |
次にすべきこと
証明書の有効期限アラートは、有効期限の60日前から15日に1回送信されます。 （アラートは60日、45日、30日、15日目に予想されます。） 証明書を更新するとアラートは停止します。
SSOログインで問題が発生した場合は、SSOセルフリカバリーオプションを使用して、 コントロールハブで管理されているWebex組織にアクセスできます。 自己回復オプションを使用すると、 コントロールハブのSSOを更新または無効にできます。
