Eenmalige aanmelding en Control Hub

Eenmalige aanmelding (SSO) is een sessie- of gebruikersverificatieproces waarbij een gebruiker aanmeldgegevens kan verstrekken om toegang te krijgen tot een of meer toepassingen. Het proces verifieert gebruikers voor alle toepassingen waarvoor ze rechten hebben gekregen. Gebruikers krijgen geen prompts meer te zien wanneer ze tijdens een bepaalde sessie tussen toepassingen schakelen.

Het Federation-protocol Security Assertion Markup Language (SAML 2.0) wordt gebruikt om SSO -verificatie te bieden tussen de Webex -cloud en uw Identiteitsprovider (IdP).

Profielen

Webex -app ondersteunt alleen het SSO -profiel van de webbrowser. In het SSO -profiel van de webbrowser ondersteunt de Webex -app de volgende bindingen:

  • SP-gestarte POST -> POST-binding

  • SP-gestarte OMLEIDING -> POST-binding

Indeling naam-ID

Het SAML 2.0-protocol ondersteunt verschillende NameID-indelingen voor communicatie over een specifieke gebruiker. Webex -app ondersteunt de volgende NameID-indelingen.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

In de metagegevens die u laadt vanaf uw IdP, wordt het eerste item geconfigureerd voor gebruik in Webex.

Eenmalige afmelding

De Webex-app ondersteunt het profiel voor eenmalige afmelding. In de Webex-app kan een gebruiker zich afmelden bij de toepassing, die gebruikmaakt van het SAML-protocol voor eenmalige afmelding om de sessie te beëindigen en die afmelding te bevestigen met uw IdP. Zorg ervoor dat uw identiteitsprovider is geconfigureerd voor eenmalige afmelding.

Control Hub integreren met PingFederate


 

De configuratiehandleidingen geven een specifiek voorbeeld van SSO-integratie weer, maar bieden geen volledige configuratie voor alle mogelijkheden. De integratiestappen voor bijvoorbeeld nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient zijn gedocumenteerd. Andere indelingen zoals urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ondersteunen SSO-integratie, maar vallen buiten het bereik van onze documentatie.

Stel deze integratie in voor gebruikers in uw Webex organisatie (inclusief de Webex app, Webex Meetings en andere services die worden beheerd in Control Hub). Als uw Webex-site is geïntegreerd in Control Hub, neemt de Webex-site het gebruikersbeheer over. Als u op deze manier geen toegang hebt tot Webex Meetings en het niet wordt beheerd in Control Hub, moet u een afzonderlijke integratie uitvoeren om SSO voor Webex Meetings in te schakelen. (Raadpleeg Eenmalige aanmelding configureren voor Webex voor meer informatie over SSO-integratie in Sitebeheer.)

Voordat u begint

Voor SSO en Control Hub moeten IdP's voldoen aan de SAML 2.0-specificatie. Daarnaast moeten IdP's op de volgende manier worden geconfigureerd:

De Webex -metagegevens downloaden naar uw lokale systeem

1

Vanuit de klantweergave inhttps://admin.webex.com , ga naar Beheer > Organisatie-instellingen en blader vervolgens naar Verificatie en schakel vervolgens de Eenmalige aanmelding instelling om de installatiewizard te starten.

2

Kies het certificaattype voor uw organisatie:

  • Zelfondertekend door Cisco —We raden deze keuze aan. Laat ons het certificaat ondertekenen, zodat u het slechts eens in de vijf jaar hoeft te vernieuwen.
  • Ondertekend door een openbare certificeringsinstantie —Veiliger, maar u moet de metagegevens regelmatig bijwerken (tenzij uw IdP-leverancier trust anchors ondersteunt).

 

Vertrouwde ankers zijn openbare sleutels die fungeren als autoriteit om het certificaat van een digitale handtekening te verifiëren. Raadpleeg de IdP-documentatie voor meer informatie.

3

Download het bestand met metagegevens.

De bestandsnaam van de Webex metagegevens is idb-meta-<org-ID> -SP.xml .

Een nieuwe serviceproviderverbinding configureren

1

Ga naar uw PingFederate-beheerportal ( https://<FQDN of PingFederate>:9999/pingfederate/app).

2

Selecteer onder SP CONNECTIONS de optie Create New.

3

Selecteer het keuzerondje Geen sjabloon gebruiken voor deze verbinding en selecteer vervolgens Volgende.

4

Selecteer Browser SSO Profiles en klik vervolgens op Next.

5

Selecteer het tabblad Metagegevens importeren.

6

Klik op Bestand kiezen om naar het metagegevensbestand te bladeren en het te importeren dat u hebt gedownload vanuit Control Hub en klik vervolgens op Volgende.

7

Controleer de informatie op het tabblad Algemene informatie en klik op Gereed.

Eenmalige aanmelding voor browser configureren

1

Selecteer in de PingFederate-beheerportal Browser SSO configureren.

2

Schakel het selectievakje SP-geïnitieerde SSO in en klik vervolgens op Volgende.

3

Selecteer Assertion Creation configureren.

  1. Wijzig de NameID-indeling in Transient en schakel het selectievakje Include attributes (Attributen toevoegen) in naast de transient identifier (Tijdelijke id).

  2. Verleng de contractkenmerken door mail- en uid-kenmerken toe te voegen in de indeling urn:oasis:names:tc:SAML:2.0:attrname-format-basic, klik dan op Volgende.

  3. Selecteer Exemplaar nieuwe adapter toewijzen om een verificatiemechanisme te kiezen. Selecteer in de vervolgkeuzelijst ADAPTERINSTANTIE een van de eerder geconfigureerde verificatiemechanismen en klik vervolgens op Volgende.

  4. Selecteer het keuzerondje Extra attributen ophalen uit meerdere gegevensopslag met één mapping en klik vervolgens op Volgende.

  5. Selecteer Attribuutbron toevoegen om de Active Directory-domeincontroller voor het domein toe te voegen en klik vervolgens op Volgende.

  6. Geef de basis-DN op en selecteer de rootobjectklasse <Show All="" Attributes="">. Voer in het tekstvak Filter het LDAP-filter in en klik op Volgende.

    De invoer moet het kenmerk bevatten dat de gebruiker moet opgeven. Het moet ook de waarde bevatten die het toewijst in de LDAP-bronnen. Als uw Active Directory bijvoorbeeld is ingesteld om te filteren op het Windows-aanmeldkenmerk, voert u sAMAccountName=${Username} in.

  7. Selecteer de bron en waarde om de assertiekenmerken toe te wijzen aan de kenmerken die worden verstrekt door de AD-gegevensopslag. (Voer niets in voor uitgiftecriteria.)

  8. Controleer of in de assertieconfiguratie de identiteitstoewijzing is ingesteld op Tijdelijk, Attribuutcontract is ingesteld op uid en Adapterexemplaren zijn ingesteld op 1.


     

    Het uid-kenmerk moet worden toegewezen aan het e-mailadres van de gebruiker.

4

Selecteer Protocol-instellingen configureren.

  1. Voor toegestane SAML-bindingen schakelt u alleen de selectievakjes POST en Redirect in.

  2. Voor Ondertekeningsbeleid selecteert u Altijd de SAML-verklaring ondertekenen.

    De protocolinstellingen moeten er als volgt uitzien.

  3. Selecteer Aanmeldgegevens configureren om het certificaat voor de assertie te configureren.

  4. Selecteer het certificaat dat al is gemaakt voor SAML-verklaringen.

5

Stel op het scherm Activering en overzicht de Verbindingsstatus in op Actief.

Metagegevens exporteren vanuit PingFederate

1

Klik op het hoofdscherm op Alle SP beheren.

2

Zoek de verbinding die u zojuist hebt gemaakt en klik op Metagegevens exporteren.

3

Kies het certificaat dat u wilt gebruiken voor het ondertekenen van het geëxporteerde bestand in de vervolgkeuzelijst.

4

Klik op Exporteren.

De IdP-metagegevens importeren en eenmalige aanmelding na een test

Nadat u de Webex -metagegevens hebt geëxporteerd, uw IdP hebt geconfigureerd en de IdP-metagegevens hebt gedownload naar uw lokale systeem, bent u klaar om deze vanuit Control Hub in uw Webex -organisatie te importeren.

Voordat u begint

Test de SSO-integratie niet vanuit de interface van de identiteitsprovider (IdP). We ondersteunen alleen door de serviceprovider gestarte (SP-gestarte) stromen, dus u moet de SSO-test van Control Hub gebruiken voor deze integratie.

1

Kies een van de opties:

  • Keer terug naar de pagina Control Hub – certificaatselectie in uw browser en klik vervolgens op Volgende .
  • Als Control Hub niet meer is geopend in het browsertabblad, vanuit de klantweergave inhttps://admin.webex.com , ga naar Beheer > Organisatie-instellingen , blader naar Verificatie en kies vervolgens Acties > Metagegevens importeren .
2

Sleep op de pagina Metagegevens van de identiteitsprovider importeren het metagegevensbestand van de identiteitsprovider naar de pagina of gebruik de bestandsbrowser om het metagegevensbestand te zoeken en te uploaden. Klik op Volgende.

U moet de . gebruiken Veiliger optie, als u kunt. Dit is alleen mogelijk als uw IdP een openbare CA heeft gebruikt om de metagegevens te ondertekenen.

In alle andere gevallen moet u de Minder veilig optie. Dit geldt ook als de metagegevens niet zijn ondertekend, zelfondertekend zijn of zijn ondertekend door een privé-CA.


 

Okta ondertekent de metagegevens niet, dus u moet kiezen Minder veilig voor een Okta SSO -integratie.

3

Selecteren SSO -configuratie testen en wanneer een nieuw browsertabblad wordt geopend, kunt u zich verifiëren met de IdP door u aan te melden.


 

Als u een verificatiefout ontvangt, is er mogelijk een probleem met de aanmeldgegevens. Controleer de gebruikersnaam en het wachtwoord en probeer het opnieuw.

Een Webex app-fout betekent meestal een probleem met de SSO configuratie. In dit geval moet u de stappen opnieuw doorlopen, met name de stappen waarbij u de Control Hub-metagegevens kopieert en plakt in de configuratie van de identiteitsprovider.


 

Als u de SSO-aanmeldingservaring rechtstreeks wilt bekijken, kunt u ook klikken op URL naar klembord kopiëren vanuit dit scherm en deze in het venster van een privébrowser plakken. Vanaf daar kunt u het aanmelden met SSO doorlopen. Met deze stap worden valse positieven gestopt vanwege een toegangstoken dat zich mogelijk in een bestaande sessie bevindt nadat u zich hebt aangemeld.

4

Keer terug naar het Control Hub-browsertabblad.

  • Als de test is geslaagd, selecteert u Succesvolle test. SSO inschakelen en klik op Volgende .
  • Als de test is mislukt, selecteert u Test is mislukt. SSO uitschakelen en klik op Volgende .

 

De SSO -configuratie wordt pas van kracht in uw organisatie als u het eerste radioknop kiest en SSO activeert.

De volgende stappen

Gebruik de procedures in Okta-gebruikers synchroniseren met Cisco Webex Control Hub als u gebruikersregistratie vanuit Okta wilt uitvoeren in de Webex cloud.

Gebruik de procedures in Azure Active Directory -gebruikers synchroniseren met Cisco Webex Control Hub als u vanuit Azure AD gebruikers wilt inrichten in de Webex cloud.

U kunt de procedure volgen in: Geautomatiseerde e-mails onderdrukken om e-mails uit te schakelen die worden verzonden naar nieuwe gebruikers van de Webex app in uw organisatie. Het document bevat ook aanbevolen procedures voor het verzenden van communicatie naar gebruikers in uw organisatie.