証明書の管理と一般的なSSOメンテナンス作業 (有効期限が切れる証明書の更新、既存のSSO設定の確認など) に Control Hub のSSO管理機能を使用します。 SSO の管理機能は、それぞれこの記事の個別のタブで説明されています。
 | 組織の証明書の使用状況が [なし] に設定されているにもかかわらず、まだアラートを受信している場合は、アップグレードを続行することをおすすめします。 SSO 展開では現在証明書を使用していませんが、将来変更するには証明書が必要な場合があります。 |
| Control Hub で、Webex シングル サインオン (SSO) 証明書が期限切れとなるという旨のメール通知を受信したか、またはアラートを見たことがあると思います。 この記事のプロセスに従って、Cisco (SP) から SSO クラウド証明書のメタデータを取得し、IdP に追加してください。そうしないと、ユーザーは Webex サービスを使用できなくなります。 |
お客様が、SAML Cisco (SP) SSO 証明書を Webex 組織内でご利用の場合、予定されている通常のメンテナンス時間帯に、できるだけ早くクラウド証明書を更新するよう計画する必要があります。
お客様の Webex 組織のサブスクリプションの一部である全サービスが影響を受けます。これには次を含みますが、それらに限定されません。
Webex アプリ (すべてのプラットフォームに対する新しいサインイン: デスクトップ、モバイル、Web)
Webex サービス (Control Hub内、Calling を含む)
Webex Meetings サイト (Control Hub を通じて管理)
Cisco Jabber (SSO と統合されている場合)
始める前に
 | 開始する前に、すべての指示をお読みください。 証明書を変更するか、またはウィザードを通じて証明書を更新した後、新しいユーザーは正常にサインインできない場合があります。 |
IdP が複数証明書に対応していない場合 (マーケットのほとんどの IdP はこの機能に対応していません)、Webex アプリのユーザーが影響を受けないようメンテナンス時間帯の間に、この更新を予定することを推奨しています。 これらのアップグレード タスクでは、稼働時間とイベント後の検証に約 30 分かかります。
| 1 | SAML Cisco (SP) SSO 証明書の有効期限切れを確認するには:
SSO ウィザードに直接移動して、証明書を更新することもできます。 完了する前にウィザードを終了する場合は、 の順に https://admin.webex.com で選択して再度アクセスできます。 | ||
| 2 | 更新のために証明書のタイプを選択します:
| ||
| 3 | [メタデータ ファイルをダウンロード] をクリックして、Webex クラウドから新しい証明書付きの更新されたメタデータのコピーをダウンロードします。 この画面を開いたままにします。 | ||
| 4 | IdP 管理インターフェイスに移動して、新しい Webex メタデータ ファイルをアップロードします。
| ||
| 5 | Control Hub にサインインしたタブに戻り、[次へ] をクリックします。 | ||
| 6 | [SSO 更新をテスト] をクリックして、IdP により新しいメタデータ ファイルがアップロードされ、正確に解釈されていることを確認します。 ポップアップ ウィンドウで予想される結果を確認し、テストが成功している場合は [新しいメタデータに切り替える] をクリックします。
結果: 完了すると、組織の SAML Cisco (SP) SSO 証明書が更新されます。 の下にある SAML 証明書ステータス テーブルを開くことで、いつでも証明書ステータスを確認できます。
|
| Control Hub で、IdP 証明書が期限切れとなるという旨のメール通知を受信したか、アラートを見たことがあると思います。 IdP ベンダーには証明書の更新に関する固有のドキュメントがあるため、Control Hub で必要な内容を説明します。これには、更新された IdP メタデータを取得し、それを Control Hub にアップロードして証明書を更新するための汎用手順もあります。 |
| 1 | IdP SAML 証明書の有効期限切れを確認するには:
| ||
| 2 | IdP 管理インターフェイスに移動して、新しいメタデータ ファイルを取得します。
| ||
| 3 | の順に https://admin.webex.com で戻り、 の順に選択します。 | ||
| 4 | ウィンドウに IdP メタデータ ファイルをドラッグ アンド ドロップするか、[メタデータ ファイルを選択する] をクリックしてアップロードします。 | ||
| 5 | IdP メタデータの署名方法に応じて、[セキュリティが低い] (自己署名) または [セキュリティが高い] (公共 CA により署名済み) を選択します。 | ||
| 6 | [SSO 更新をテスト] をクリックして、Control Hub 組織に新しいメタデータ ファイルがアップロードされ、正確に解釈されていることを確認します。 ポップアップ ウィンドウで予想される結果を確認し、テストが成功している場合は [新しいメタデータに切り替える] をクリックします。
結果: 完了すると、組織の IdP 証明書が更新されます。 の下にある SAML 証明書ステータス テーブルを開くことで、いつでも証明書ステータスを確認できます。
|
IdP に戻す必要が出てきた場合でも、最新の Webex SP メタデータをエクスポートできます。 インポートされた IdP SAML メタデータが期限切れになりそうなときか、期限切れになったときに通知が表示されます。
この手順は、IdP 管理が使用可能でなかったり、IdP が証明書をアップデートする機能しかサポートしていなかったりすることによりメタデータが IdP にインポートされていなかった場合、エクスポートが先に行われていない複数の証明書をサポートする IdP など、共通の IdP SAML 証明書を管理するシナリオで役立ちます。 このオプションを使うと、SSO 設定とイベント後の検証で証明書を更新するだけで、変更を最小限に抑えるのに役立ちます。
| 1 | https://admin.webex.com の顧客ビューから、 の順に移動して、[認証] までスクロールし、 の順に選択します。 Webex アプリのメタデータのファイル名は idb-meta--SP.xml です。<org-ID> |
| 2 | メタデータを IdP にインポートします。 IdP のドキュメントに従って、Webex SP メタデータをインポートします。 IdP インテグレーション ガイドを使用するか、または特定の IdP が記載されていない場合はドキュメントを参照できます。 |
| 3 | 完了したら、この記事の「Webex 証明書 (SP) を更新する」の手順を使用して、SSO テストを実行します。 |
IdP 環境が変更された場合、または IdP 証明書の有効期限が切れそうな場合、更新されたメタデータを Webex にいつでもインポートできます。
始める前に
IdP メタデータを収集します。通常はエクスポートされた xml ファイルです。
| 1 | https://admin.webex.com の顧客ビューから、 の順に移動して、[認証] までスクロールし、 の順に選択します。 |
| 2 | ウィンドウに IdP メタデータ ファイルをドラッグ アンド ドロップするか、[メタデータ ファイルを選択する] をクリックしてアップロードします。 |
| 3 | IdP メタデータの署名方法に応じて、[セキュリティが低い] (自己署名) または [セキュリティが高い] (公共 CA により署名済み) を選択します。 |
証明書が期限切れに設定される前に Control Hub でアラートを受信しますが、アラートのルールを事前にセットアップすることもできます。 このルールにより、SP または IdP 証明書の有効期限が切れる前に通知されます。 この通知はメール、Webex アプリのスペース、または両方を通じて送ることができます。
| 配信チャネルの設定にかかわらず、すべてのアラートは常に Control Hub に表示されます。 詳細については、「Control Hub のアラート センター」を参照してください。 |
| 1 | https://admin.webex.com の顧客ビューから、[アラート センター] に移動します。 | ||
| 2 | [管理]、[すべてのルール] の順に選択します。 | ||
| 3 | [ルール] リストから、作成するいずれかの SSO ルールを選択します:
| ||
| 4 | [配信チャネル] セクションで、[メール]、[Webex スペース]、または両方のチェックボックスをオンにします。 [メール] を選択した場合、通知を受け取る必要があるメール アドレスを入力します。
| ||
| 5 | 変更を保存します。 |
次に行うこと
証明書の期限切れのアラートは 15 日おきに 1 回送信され、期限切れの 60 日前に開始されます。 (アラートは、60 日前、45 日前、30 日前、15 日前に受け取ることができます。) 証明書を更新すると、アラートは停止します。
シングル ログアウト URL が設定されていないという通知が表示される場合があります:
| シングル ログアウト (SLO とも呼ばれます) をサポートするために、IdP を設定することをおすすめします。 Webex はリダイレクトとPOSTメソッドの両方をサポートしており、Control Hub からダウンロードされたメタデータで使用可能です。 すべての IdP が SLO をサポートしているわけではありません。IdP チームに連絡してサポートを受けてください。 SLO をサポートする AzureAD、Ping Federate、ForgeRock、Oracle のような主要な IdP ベンダーについては、インテグレーションの構成方法をドキュメント化しています。 IDP の詳細および正しい設定方法については、アイデンティティ & セキュリティチームに問い合わせください。 |
シングル ログアウト URL が設定されていない場合:
既存の IdP セッションは有効のままです。 次回ユーザーがサインインするときに、IdP から再認証を求められない場合があります。
サインアウト時に警告メッセージが表示されるため、Webex アプリのログアウトはシームレスには行われません。
Webex 組織の中でも Control Hub で管理されているものについて、シングル サインオン (SSO) を無効にできます。 ID プロバイダー (IdP) を変更する場合、SSO を無効にすることもできます。
| 組織のシングル サインオンが有効になっているにもかかわらず失敗している場合は、Webex 組織にアクセスできる Cisco パートナーに連絡してそれを無効にできます。 |
| 1 | https://admin.webex.com の顧客ビューから、 の順に移動し、[認証] までスクロールします。 |
| 2 | SSO を無効にするには、[シングル サインオン] 設定をオフにします。 ポップアップ ウィンドウが表示され、SSO の無効化について警告します。
SSO を無効にする場合、統合 IdP 構成の代わりに、クラウドによってパスワードが管理されます。 |
| 3 | SSO を無効にする影響を理解して処理する場合、[無効にする] をクリックします。 Control Hub で、SSO 設定がオフになっており、すべての SAML 証明書のリストが削除されていることを確認できます。 SSO が無効になると、認証する必要があるユーザーには、ログイン プロセス中にパスワード入力フィールドが表示されます。
|
次に行うこと
あなたまたは顧客が顧客組織の SSO を再構成する場合、ユーザー アカウントは Webex 組織と統合されている IdP によって設定されたパスワード ポリシーを使用している状態に戻ります。
SSOのログインで問題が発生した場合、 SSOセルフリカバリ オプションControl Hub で管理されてWebex組織へのアクセスを取得します。 セルフ リカバリ オプションを使用すると、Control Hub でSSOを更新または無効にできます。
