https://admin.webex.com の顧客ビューから、[管理] > [組織の設定] に移動し、[認証] までスクロールして、[シングル サインオン] 設定に切り替えて、セットアップ ウィザードを開始します。

組織の証明書タイプを選択します。

• Cisco による自己署名—この選択をお勧めします。当社が証明書に署名すれば、5 年に 1 回更新するだけで済みます。
• 公共認証局による署名: より安全ですが、メタデータを頻繁に更新する必要があります (IdP ベンダーが信頼アンカーをサポートしていない場合)。

メタデータ ファイルをダウンロードします。

管理者権限で ADFS サーバーにサイン インします。

ADFS 管理コンソールを開き、[信頼関係] > [証明書利用者信頼] > [証明書利用者信頼の追加] を開きます。

[証明書利用者信頼の追加] ウィザードウィンドウ から [開始] を選択します。

[データ ソースの選択] の場合、[証明書利用者に関するデータをファイルからインポートする] を選択し、ダウンロードした Control Hub メタデータ ファイルを参照し、[次へ] を選択します。

[表示名の指定] で、Webex など、この証明書利用者信頼の表示名を作成し、[次へ] を選択します。

[発行承認規則の選択] で、[すべてのユーザーに対してこの証明書利用者へのアクセスを許可する] を選択し、[次へ] を選択します。

信頼を追加する準備をする場合、 [次へ] を選択し、ADFS に依存する信頼の追加を終了します。

メイン ADFS ペインで、自分が作成した信頼関係を選択し、[クレームルールの編集]を選択します。発行変換ルールタブで、[追加ルール] を選択します。

ルールの種類を選ぶ手順で、[LDAP 属性をクレームとして送る] を選択し、[次へ] を選択します。

1. [クレーム ルール名] を入力します。

2. 属性ストアとして [Active Directory] を選択します。

3. [メール アドレス] LDAP 属性を uid 出力方向のクレームの種類にマッピングします。

   このルールにより、フィールドがユーザーを識別するために Webex にマッピングする ADFS が分かります。出力方向のクレームの種類を示されている通り正確にスペルアウトします。

4. 変更を保存します。

[ルールの追加] を再度選択し、[カスタム ルールを使用してクレームを送信する] を選択し、[次へ]を選択します。

1. テキスト エディターで開いて、以下のコンテンツをコピーします。

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   テキスト内の URL1 と URL2 を次のように置き換えます。

   • URL1 は、ダウンロードした ADFS メタデータ ファイルからの entityID です。

     たとえば、次のようになります。<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     ADFS メタデータ ファイルから entityID のみをコピーして、URL1 を置き換えるために、テキスト ファイルに貼り付けます。

   • URL2 は、ダウンロードした Webex メタデータ ファイルの最初の行にあります。

     たとえば、以下は、表示されるもののサンプルです。<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Webex メタデータ ファイルから entityID のみをコピーして、テキスト ファイルに貼り付け、URL2 を置き換えます。

2. アップデートした URL でテキストエディター (c:」で開始) からルールをコピーし、 ADFS サーバー上のカスタムルールボックス にペーストします。

   完了したルールは以下のようになります。

   

3. [完了] を選択してルールを作成し、クレームルールの編集ウィンドウを編集します。

メイン ウィンドウの [Relying Party Trust] を選択し、右のペインの[プロパティ] を選択します。

プロパティ ウィンドウが表示されたら、[アドバンスト] タブを参照して [SHA-256] から [OK] を選択し変更を保存します。

社内 ADFS サーバー上の以下の URL を参照して、ファイルをダウンロードします。https://<AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

ローカル マシンにこのファイルを保存します。

1 つを選択します。

• ブラウザの Control Hub - 証明書の選択ページに戻り、[次へ] をクリックします。
• ブラウザー タブで Control Hub が開いていない場合、https://admin.webex.com の顧客ビューから [管理] > [組織設定] に移動し、[認証] までスクロールして、[アクション] > [メタデータのインポート] を選択します。

[IdP メタデータのインポート] ページ上で IdP メタデータファイルをこのページにドラッグアンドドロップするか、ファイルブラウザオプションを使用してメタデータファイルを見つけてアップロードします。[次へ] をクリックします。

[SSO セットアップのテスト] を選択し、新しいブラウザー タブが開いたら、サインインして IdP で認証します。

Control Hub ブラウザー タブに戻ります。

• テストが成功した場合は、[テストに成功しました] を選択します。SSO をオンにし、[次へ] をクリックします。
• テストが失敗した場合、[テストに失敗しました] を選択します。SSO をオフにし、[次へ] をクリックします。

管理者権限で ADFS サーバーにサイン インします。

SAML メタデータ ファイルを Webex から ADFS サーバーの一時ローカル フォルダー (例: //ADFS_servername/temp/idb-meta--SP.xml) にアップロードします。

Powershell を開きます。

Get-AdfsRelyingPartyTrust を実行して、すべての証明書利用者信頼を読み取ります。

Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta--SP.xml" -TargetName "Webex" を実行します。

Control Hub にサインインし、SSO のインテグレーションをテストします。

1. [管理] > [組織の設定] の順に移動し、[認証] までスクロールして、[シングル サインオン] 設定に切り替えて、設定ウィザードを開始します。

2. [次へ] をクリックして、[IdP メタデータのインポート] ページをスキップします。

   以前に IdP メタデータをインポートしたため、そのステップを繰り返す必要はありません。

3. 有効にするSSO前に、テスト接続を行います。このステップはドライ ランのように機能し、次のステップで SSO を有効化するまで組織の設定には影響を与えません。

   SSO サインイン エクスペリエンスを直接見るには、この画面から [URL をクリップボードに貼り付け] をクリックして、それをプライベート ブラウザー ウィンドウに貼り付けることもできます。そこから、SSO のサインインをウォークスルーできます。これは、SSO 設定のテスト時に誤判定の結果をもたらす可能性のある、Web ブラウザーにキャッシュされた情報を削除するのに役立ちます。

4. テストを完了するために、サイン インしてください。