シングル サインオンと Control Hub

https://admin.webex.com の顧客ビューから、[管理] > [組織の設定] に移動し、[認証] までスクロールして、[シングル サインオン] 設定に切り替えて、セットアップ ウィザードを開始します。

組織の証明書タイプを選択します。

• Cisco による自己署名 - この選択を推奨します。 当社が証明書に署名すれば、5 年に 1 回更新するだけで済みます。
• パブリック認証局による署名 - より安全ですが、メタデータを頻繁に更新する必要があります (IdP ベンダーが信頼アンカーをサポートしていない限り)。

信頼アンカーとは、デジタル署名証明書を確認する役目を持つ公開鍵です。 詳細については、IdP ドキュメントを参照してください。

メタデータ ファイルをダウンロードします。

管理者権限で ADFS サーバーにサイン インします。

ADFS 管理コンソールを開き、[信頼関係] > [証明書利用者信頼] > [証明書利用者信頼の追加] を開きます。

[証明書利用者信頼の追加] ウィザードウィンドウ から [開始] を選択します。

[データ ソースの選択]で、[証明書利用者に関するデータをファイルからインポート] を選択し、ダウンロードした Control Hub メタデータ ファイルを参照して、[次へ] をクリックします。

[表示名の指定] で、「Webex」など、この証明書利用者信頼の表示名を作成し、[次へ] を選択します。

[発行承認規則の選択] で、[すべてのユーザーに対してこの証明書利用者へのアクセスを許可する] を選択し、[次へ] を選択します。

信頼を追加する準備をする場合、 [次へ] を選択し、ADFS に依存する信頼の追加を終了します。

メイン ADFS ペインで、自分が作成した信頼関係を選択し、[クレーム ルールの編集] を選択します。 発行変換ルールタブで、[追加ルール] を選択します。

ルールの種類を選ぶ手順で、[LDAP 属性をクレームとして送る] を選択し、 [次へ] を選択します。

1. [クレーム ルール名]を入力します。

2. 属性ストアとして [Active Directory] を選択します。

3. [メール アドレス] LDAP 属性を uid 出力方向のクレームの種類にマッピングします。

   このルールにより、フィールドがユーザーを識別するために Webex にマッピングする ADFS が分かります。 出力方向のクレームの種類を示されている通り正確にスペルアウトします。

4. 変更を保存します。

[ルールの追加] を再度選択し、[カスタム ルールを使用してクレームを送信する] を選択し、[次へ]を選択します。

1. テキスト エディターで開いて、以下のコンテンツをコピーします。

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   テキスト内の URL1 と URL2 を次のように置き換えます。

   • URL1 は、あなたがダウンロードした ADFS メタデータ ファイル内の entityID です。

     たとえば、次のような entityID を見ることができます。 <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     ADFS メタデータ ファイルから entityID のみをコピーして、URL1 を置き換えるために、テキスト ファイルに貼り付けます。

   • URL2 は、ダウンロードした Webex メタデータ ファイルの最初の行にあります。

     たとえば、次のような entityID を見ることができます。 <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Webex メタデータ ファイルから entityID のみをコピーして、テキスト ファイルに貼り付け、URL2 を置き換えます。

2. アップデートした URL でテキストエディター (c:」で開始) からルールをコピーし、 ADFS サーバー上のカスタムルールボックス にペーストします。

   完了したルールは以下のようになります。

   

3. [完了] を選択してルールを作成し、クレームルールの編集ウィンドウを編集します。

メイン ウィンドウの [Relying Party Trust] を選択し、右のペインの[プロパティ] を選択します。

プロパティ ウィンドウが表示されたら、[アドバンスト] タブを参照して [SHA-256] から [OK] を選択し変更を保存します。

社内 ADFS サーバー上の以下の URL を参照して、ファイルをダウンロードします。 https://<AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

このページで右クリックして、ページ ソースを確認し、適切にフォーマットされた XML ファイルを取得することが必要な場合があります。

ローカル マシンにこのファイルを保存します。

1 つを選択します。

• Control Hub に戻る - ブラウザーの証明書選択ページに戻り、[次へ] をクリックします。
• ブラウザー タブに Control Hub が開いていない場合は、https://admin.webex.com の顧客ビューから、[管理] > [組織の設定] に進み、[認証] までスクロールして、[アクション] > [メタデータをインポート] を選択します。

[IdP メタデータのインポート] ページ上で IdP メタデータファイルをこのページにドラッグアンドドロップするか、ファイルブラウザオプションを使用してメタデータファイルを見つけてアップロードします。 [次へ] をクリックします。

[SSO セットアップのテスト] を選択し、新しいブラウザー タブが開いたら、サインインすることで IdP の認証を受けます。

認証エラーを受け取った場合、証明書に問題がある可能性があります。 ユーザー名とパスワードを確認して再度試してください。 通常、Webex アプリのエラーは SSO セットアップの問題です。 この場合は、この手順、特に Control Hub メタデータを IdP セットアップにコピーおよび貼り付けを行った手順のウォークスルーを再度実施します。

SSO サインイン エクスペリエンスを直接見るには、この画面から [URL をクリップボードに貼り付け] をクリックして、それをプライベート ブラウザー ウィンドウに貼り付けることもできます。 そこから、SSO のサインインをウォークスルーできます。 このステップにより、既存セッションに存在する可能性があるアクセストークンによる誤判定でサインインできなくなるのを回避できます。

Control Hub ブラウザー タブに戻ります。

• テストが成功した場合は、[テストに成功しました] を選択します。 SSO をオンにし、[次へ] をクリックします。
• テストが失敗した場合、[テストに失敗しました] を選択します。 SSO をオフにし、[次へ] をクリックします。

最初のラジオ ボタンを選択して SSO を有効にしない限り、SSO 設定は組織で有効に機能しません。

管理者権限で AD FS サーバーにサインインします。

Webex から AD FS サーバー上の一時ローカルフォルダに SAML メタデータファイルをアップロードします。例: //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Powershell を開きます。

コマンド Get-AdfsRelyingPartyTrust を実行して、すべての証明書利用者信頼を読み取ります。

コマンド Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

実際の環境では、ファイル名とターゲット名が正しい値で置き換えられていることを確認してください。

https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust を参照してください。

Webex SP の 5 年の証明書をダウンロードし、[署名] または [暗号化証明書の失効] をオンにした場合、以下の 2 つのコマンドを実行する必要があります。 Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Control Hub にサインインし、SSO のインテグレーションをテストします。

1. [管理] > [組織の設定] の順に移動し、[認証] までスクロールして、[シングル サインオン] 設定に切り替えて、設定ウィザードを開始します。

2. [次へ] をクリックして、[IdP メタデータのインポート] ページをスキップします。

   以前に IdP メタデータをインポートしたため、そのステップを繰り返す必要はありません。

3. 有効にする前に、SSO 接続をテストします。 このステップはドライ ランのように機能し、次のステップで SSO を有効化するまで組織の設定には影響を与えません。

   SSO サインイン エクスペリエンスを直接見るには、この画面から [URL をクリップボードに貼り付け] をクリックして、それをプライベート ブラウザー ウィンドウに貼り付けることもできます。 そこから、SSO のサインインをウォークスルーできます。 これは、SSO 設定のテスト時に誤判定の結果をもたらす可能性のある、Web ブラウザーにキャッシュされた情報を削除するのに役立ちます。

4. テストを完了するために、サイン インしてください。