Hartelijk dank voor uw feedback
SSO met meerdere IdP's in Webex
Feedback?Met Single Sign-On (SSO) kunnen gebruikers zich veilig aanmelden bij Webex door zich te authenticeren via de gemeenschappelijke identiteitsprovider van uw organisatie. Een identiteitsprovider (IdP) slaat de digitale identiteiten van uw gebruikers veilig op en beheert deze, en verzorgt de authenticatie voor uw Webex-gebruikers.
Waarom je mogelijk meerdere identiteitsproviders nodig hebt
Veel grote bedrijven fuseren en nemen bedrijven over, en deze bedrijven beschikken zelden over dezelfde IT-infrastructuur en identiteitsleveranciers. Overheidsinstellingen hebben diverse organisaties en agentschappen onder zich. Vaak hebben deze organisaties één e-mailadres voor respectievelijk hun eigen IT-afdeling en infrastructuur. Grote onderwijsinstellingen hebben een centrale inkoopafdeling, maar verschillende universiteiten en hogescholen hebben verschillende IT-organisaties en -afdelingen.
Het is gebruikelijk dat identiteitsproviders (IdP's) en serviceproviders (SP's) met elkaar samenwerken. De IdP is verantwoordelijk voor het authenticeren van de inloggegevens van uw gebruikers en de SP vertrouwt op de authenticatie die door de IdP is uitgevoerd. Dit stelt uw gebruikers in staat om met dezelfde digitale identiteit toegang te krijgen tot diverse SaaS-applicaties en -diensten. Maar als uw organisatie om welke reden dan ook geen federatie tussen de identiteitsproviders kan uitvoeren, biedt Webex een alternatieve oplossing om meerdere identiteitsproviders te ondersteunen. Om deze redenen bieden we u de mogelijkheid om SSO voor meerdere identiteitsproviders in Webex te configureren en het authenticatieproces voor uw gebruikers te vereenvoudigen.
Beperkingen
- Alle gebruikers moeten via Directory Connector worden geprovisioneerd als u Directory Connector in uw organisatie gebruikt. Raadpleeg de Implementatiehandleiding voor Directory Connector voor meer informatie.
- Momenteel ondersteunen we alleen SAML, OpenID Connect en Webex Identity als identiteitsproviders.
Buiten het bereik
- Configureer groepstoewijzingen.
- Domeinverificatie. Raadpleeg Uw domeinen beheren voor meer informatie.
- Gebruikersprovisionering. Raadpleeg Manieren om gebruikers toe te voegen aan uw Control Hub-organisatie voor meer informatie.
In dit gedeelte wordt uitgelegd hoe u uw identiteitsproviders (IdP's) kunt integreren met uw Webex-organisatie. U kunt de identiteitsproviders kiezen die het beste aansluiten bij de behoeften van uw organisatie.
Als u op zoek bent naar SSO-integratie voor een Webex Meetings-site (beheerd in Sitebeheer), raadpleeg dan Single Sign-On configureren voor Webex-beheer.
Voordat u begint
Zorg ervoor dat aan de volgende voorwaarden wordt voldaan:
- Je moet de rol 'Volledige beheerder' hebben in Control Hub.
- Een metadata-bestand van de IdP voor Webex en een metadata-bestand van Webex voor de IdP. Raadpleeg voor meer informatie Single Sign-On-integratie in Control Hub. Dit is alleen van toepassing op de SAML-configuratie.
- U dient het gedrag van uw routeringsregels te plannen voordat u meerdere identiteitsproviders (IdP's) instelt.
De standaard routeringsregel wordt toegepast zodra u uw initiële IdP configureert. Maar je kunt een andere identiteitsprovider als standaard instellen. Raadpleeg Routeringsregel toevoegen of bewerken op het tabblad Routeringsregels in dit artikel.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Identiteitsprovider en klik op SSO activeren. |
| 4 |
Selecteer SAML als uw IdP en klik op Volgende. |
| 5 |
Kies het certificaattype:
Vertrouwensankers zijn openbare sleutels die optreden als bevoegdheid om het certificaat van een digitale handtekening te verifiëren. Raadpleeg de IdP-documentatie voor meer informatie. |
| 6 |
Klik op Metagegevens downloaden en klik op Volgende. De bestandsnaam van de Webex-appmetadata is idb-meta-<org-ID>-SP.xml. |
| 7 |
Upload het metadata-bestand van uw identiteitsprovider of vul het configuratieformulier in. Bij het uploaden van het metadata-bestand zijn er twee manieren om de metadata van de klant-IDP te valideren:
Klik op Volgende. |
| 8 |
(Optioneel) U kunt de naam van het SAML-attribuut voor Webex-gebruikersnaam of Primair e-mailadres wijzigen van |
| 9 |
(Optioneel) Configureer de Just-in-Time (JIT)-instellingen en de SAML-mappingrespons. Raadpleeg Just-in-Time (JIT) configureren en SAML-mapping in het tabblad Uw IdP's beheren in dit artikel.
|
| 10 |
Klik op Test SSO-instellingenen wanneer een nieuw browsertabblad wordt geopend, authenticeer dan bij de IdP door in te loggen. Test de SSO voordat u deze inschakelen. Deze stap werkt als een dry run en is niet van invloed op de instellingen van uw organisatie totdat u de SSO in de volgende stap inschakelen. Als u een authenticatiefoutmelding krijgt, is er mogelijk een probleem met de inloggegevens. Controleer de gebruikersnaam en het wachtwoord en probeer het opnieuw. Een Fout in Webex-app betekent meestal een probleem met de SSO installatie. In dit geval moet u de stappen opnieuw doorlopen, met name de stappen waarbij u de Control Hub-metagegevens kopieert en plakt in de configuratie van de identiteitsprovider. Om de SSO-aanmeldingservaring te bekijken, raden we u aan om op URL naar klembord kopiëren op dit scherm te klikken en deze in een privévenster van uw browser te plakken. Vanaf daar kunt u het aanmelden met SSO doorlopen. Dit helpt om alle informatie in de cache van uw webbrowser te verwijderen die een vals-positief resultaat zou kunnen opleveren bij het testen van uw SSO-configuratie. |
| 11 |
Keer terug naar het Control Hub-browsertabblad.
De SSO-configuratie wordt pas van kracht in uw organisatie als u het eerste keuzeradiobutton selecteert en SSO activeert. |
De volgende stappen
Je kunt een routeringsregel instellen. Raadpleeg Routeringsregel toevoegen of bewerken op het tabblad Routeringsregels in dit artikel.
U kunt de procedure in Automatische e-mails onderdrukken volgen om te voorkomen dat er e-mails worden verzonden naar nieuwe Webex App-gebruikers in uw organisatie. Het document bevat ook aanbevolen procedures voor het verzenden van communicatie naar gebruikers in uw organisatie.
Bij het instellen van OpenID Connect met Entra ID of een IdP waarbij het e-mailadres geen permanente identificatiecode is, raden we aan om het koppelingskenmerk externalId te gebruiken om te koppelen aan een unieke identificatiecode. Voor Entra ID raden we aan om OIDC te mappen naar externalId. Als blijkt dat het e-mailadres niet overeenkomt met het koppelingskenmerk, wordt de gebruiker gevraagd zijn of haar identiteit te verifiëren of een nieuwe gebruiker aan te maken met het juiste e-mailadres.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Identiteitsprovider en klik op SSO activeren. |
| 4 |
Selecteer OpenID Connect als uw IdP en klik op Volgende. |
| 5 |
Voer uw IdP-gegevens in.
|
| 6 |
(Optioneel) Schakel de optie 'Proof Key for Code Exchange (PKCE) configuratie toestaan' in om uw OIDC IdP met deze beveiligingsuitbreiding in te stellen. Dit versterkt de beveiliging van clientapplicaties en zorgt voor compatibiliteit met gebruikers die dit vereisen. |
| 7 |
Kies hoe u eindpunten wilt toevoegen. Dit kan automatisch of handmatig gebeuren.
|
| 8 |
(Optioneel) Configureer de Just-in-Time (JIT)-instellingen. Raadpleeg Just-in-Time (JIT) configureren en SAML-mapping in het tabblad Uw IdP's beheren in dit artikel.
|
| 9 |
Klik op Test SSO-instellingenen wanneer een nieuw browsertabblad wordt geopend, authenticeer dan bij de IdP door in te loggen. Test de SSO voordat u deze inschakelen. Deze stap werkt als een dry run en is niet van invloed op de instellingen van uw organisatie totdat u de SSO in de volgende stap inschakelen. Als u een authenticatiefoutmelding krijgt, is er mogelijk een probleem met de inloggegevens. Controleer de gebruikersnaam en het wachtwoord en probeer het opnieuw. Een Fout in Webex-app betekent meestal een probleem met de SSO installatie. In dit geval moet u de stappen opnieuw doorlopen, met name de stappen waarbij u de Control Hub-metagegevens kopieert en plakt in de configuratie van de identiteitsprovider. Om de SSO-aanmeldingservaring te bekijken, raden we u aan om op URL naar klembord kopiëren op dit scherm te klikken en deze in een privévenster van uw browser te plakken. Vanaf daar kunt u het aanmelden met SSO doorlopen. Dit helpt om alle informatie in de cache van uw webbrowser te verwijderen die een vals-positief resultaat zou kunnen opleveren bij het testen van uw SSO-configuratie. |
| 10 |
Keer terug naar het Control Hub-browsertabblad.
De SSO-configuratie wordt pas van kracht in uw organisatie als u het eerste keuzeradiobutton selecteert en SSO activeert. |
De volgende stappen
Je kunt een routeringsregel instellen. Raadpleeg Routeringsregel toevoegen of bewerken op het tabblad Routeringsregels in dit artikel.
U kunt de procedure in Automatische e-mails onderdrukken volgen om te voorkomen dat er e-mails worden verzonden naar nieuwe Webex App-gebruikers in uw organisatie. Het document bevat ook aanbevolen procedures voor het verzenden van communicatie naar gebruikers in uw organisatie.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Identiteitsprovider en klik op SSO activeren. |
| 4 |
Selecteer Webex als uw IdP en klik op Volgende. |
| 5 |
Vink aan dat ik heb gelezen en begrepen hoe Webex IdP werkt en klik op Volgende. |
| 6 |
Stel een routeringsregel in. Raadpleeg Routeringsregel toevoegen of bewerken op het tabblad Routeringsregels in dit artikel. |
Zodra je een routeringsregel hebt toegevoegd, wordt je IdP toegevoegd en weergegeven onder het tabblad Identiteitsprovider.
De volgende stap
U kunt de procedure in Automatische e-mails onderdrukken volgen om e-mails uit te schakelen die naar nieuwe Webex App-gebruikers in uw organisatie worden verzonden. Het document bevat ook aanbevolen procedures voor het verzenden van communicatie naar gebruikers in uw organisatie.
Routeringsregels zijn van toepassing bij het instellen van meer dan één IdP. Met routeringsregels kan Webex bepalen naar welke IdP uw gebruikers moeten worden doorgestuurd wanneer u meerdere IdP's hebt geconfigureerd.
Bij het instellen van meer dan één IdP kunt u uw routeringsregels definiëren in de SSO-configuratiewizard. Als je de stap met de routeringsregel overslaat, voegt Control Hub de IdP wel toe, maar activeert deze niet. U moet een routeringsregel toevoegen om de IdP te activeren.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Routeringsregels. Bij het configureren van uw eerste IdP wordt de routeringsregel automatisch toegevoegd en ingesteld als de Standaardregel. Je kunt later een andere IdP kiezen om als standaardregel in te stellen. |
| 4 |
Klik op Nieuwe routeringsregel toevoegen. |
| 5 |
Voer de gegevens voor een routeringsregel in:
|
| 6 |
Selecteer de methode voor multifactorauthenticatie (MFA):
Voor meer informatie over het configureren van MFA voor uw organisatie, zie Integratie van multifactorauthenticatie inschakelen in Control Hub. |
| 7 |
Klik op Toevoegen. |
| 8 |
Selecteer de nieuwe routeringsregel en klik op Activeren. |
U kunt de prioriteitsvolgorde van de routeringsregels wijzigen als u routeringsregels hebt voor meerdere IdP's.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Routeringsregels. |
| 4 |
Selecteer de routeringsregel. |
| 5 |
Kies of u de routeringsregel wilt Deactiveren of Verwijderen. Het wordt aanbevolen om een andere actieve routeringsregel voor de IdP te hebben. Anders kunt u problemen ondervinden met uw SSO-aanmelding. |
De Standaardregel kan niet worden gedeactiveerd of verwijderd, maar u kunt de gerouteerde IdP wel wijzigen.
Voordat u begint
Mogelijk ontvangt u af en toe een e-mailmelding of ziet u een waarschuwing in Control Hub dat het IdP-certificaat vervalt. Omdat IdP-leveranciers hun eigen specifieke documentatie voor het vernieuwen van certificaten hebben, behandelen we wat er is vereist in Control Hub, samen met algemene stappen om bijgewerkte IdP-metagegevens op te halen en te uploaden naar Control Hub om het certificaat te vernieuwen.
Dit is alleen van toepassing op de SAML-configuratie.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Identiteitsaanbieder. |
| 4 |
Ga naar de IdP, klik op Om het metadata-bestand te downloaden, klikt u op
 en selecteert u Download Idp metadata. |
| 5 |
Navigeer naar de beheerinterface van uw IdP om het nieuwe metadatabestand op te halen. |
| 6 |
Ga terug naar Control Hub en sleep uw IdP-metadatabestand naar het uploadgebied of klik op Bestand kiezen om de metadata te uploaden. |
| 7 |
Kies Minder veilig (zelfondertekend) of Veiliger (ondertekend door een openbare CA), afhankelijk van hoe uw IdP-metadata is ondertekend, en klik op Opslaan. |
| 8 |
Configureer de Just-in-Time (JIT)-instellingen en de SAML-mappingrespons. Raadpleeg Just-in-Time (JIT) configureren en SAML-mapping in het tabblad Uw IdP's beheren in dit artikel.
|
| 9 |
Klik op Test SSO-instellingenen wanneer een nieuw browsertabblad wordt geopend, authenticeer dan bij de IdP door in te loggen. Test de SSO voordat u deze inschakelen. Deze stap werkt als een dry run en is niet van invloed op de instellingen van uw organisatie totdat u de SSO in de volgende stap inschakelen. Als u een authenticatiefoutmelding krijgt, is er mogelijk een probleem met de inloggegevens. Controleer de gebruikersnaam en het wachtwoord en probeer het opnieuw. Een Fout in Webex-app betekent meestal een probleem met de SSO installatie. In dit geval moet u de stappen opnieuw doorlopen, met name de stappen waarbij u de Control Hub-metagegevens kopieert en plakt in de configuratie van de identiteitsprovider. Om de SSO-aanmeldingservaring te bekijken, raden we u aan om op URL naar klembord kopiëren op dit scherm te klikken en deze in een privévenster van uw browser te plakken. Vanaf daar kunt u het aanmelden met SSO doorlopen. Dit helpt om alle informatie in de cache van uw webbrowser te verwijderen die een vals-positief resultaat zou kunnen opleveren bij het testen van uw SSO-configuratie. |
| 10 |
Klik op Opslaan. |
en selecteer Voordat u begint
Het wordt aanbevolen om alle IdP's binnen uw organisatie bij te werken wanneer u uw SP-certificaat verlengt.
Dit is alleen van toepassing op de SAML-configuratie.
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Identiteitsaanbieder. |
| 4 |
Ga naar de IdP en klik op |
| 5 |
Klik op Certificaten en vervaldatum bekijken. Dit brengt u naar de pagina met certificaten van de serviceprovider (SP). U kunt op Als uw organisatie gebruikmaakt van dubbele certificaten, heeft u ook de mogelijkheid om een secundair certificaat als primair certificaat in te stellen of een bestaand secundair certificaat te verwijderen. |
| 6 |
Klik op Certificaat vernieuwen. |
| 7 |
Kies het type identiteitsprovider (IdP) in uw organisatie:
|
| 8 |
Kies het certificaattype voor de verlenging:
Vertrouwensankers zijn openbare sleutels die optreden als bevoegdheid om het certificaat van een digitale handtekening te verifiëren. Raadpleeg de IdP-documentatie voor meer informatie. |
| 9 |
Om te bevestigen dat u het huidige certificaat wilt vervangen door het door u geselecteerde certificaat, vinkt u aan. Door op 'Een certificaat vervangen' te klikken, vervang ik het huidige certificaat door het door mij geselecteerde certificaaten klikt u vervolgens op 'Een certificaat vervangen' . |
| 10 |
Klik op de pagina Serviceprovidercertificaten (SP) vernieuwen [] op Metagegevens downloaden of Certificaat downloaden om een kopie van het bijgewerkte metagegevensbestand of certificaat uit de Webex-cloud te downloaden. |
| 11 |
Ga naar de beheerinterface van uw identiteitsprovider om het nieuwe Webex-metadatabestand of -certificaat te uploaden. Deze stap kan worden uitgevoerd via een browsertabblad, extern-bureaubladprotocol (RDP), of via specifieke ondersteuning van cloudproviders, afhankelijk van uw IdP-instellingen en of u of een afzonderlijke IdP-beheerder verantwoordelijk bent voor deze stap. Voor meer informatie kunt u onze SSO -integratiehandleidingen raadplegen of contact opnemen met uw IdP-beheerder voor ondersteuning. Als u Active Directory Federation Services (AD FS) gebruikt, kunt u zien hoe u Webex-metagegevens in AD FS kunt bijwerken |
| 12 |
Keer terug naar de Control Hub-interface. Op de pagina Serviceprovidercertificaten (SP) vernieuwen ] vinkt u Ik heb de metadata voor alle IdP's al bijgewerktaan en klikt u vervolgens op Volgende. |
| 13 |
Klik op Gereed. |
.
klikken om de SP-metadata of het certificaat te downloaden. Voordat u begint
| 1 | |
| 2 |
Ga naar . |
| 3 |
Ga naar het tabblad Identiteitsaanbieder. |
| 4 |
Ga naar de IdP en klik op |
| 5 |
Selecteer Test IdP. |
| 6 |
Klik op Test SSO-instellingenen wanneer een nieuw browsertabblad wordt geopend, authenticeer dan bij de IdP door in te loggen. Als u een authenticatiefoutmelding krijgt, is er mogelijk een probleem met de inloggegevens. Controleer de gebruikersnaam en het wachtwoord en probeer het opnieuw. Een Fout in Webex-app betekent meestal een probleem met de SSO installatie. In dit geval moet u de stappen opnieuw doorlopen, met name de stappen waarbij u de Control Hub-metagegevens kopieert en plakt in de configuratie van de identiteitsprovider. Om de SSO-aanmeldingservaring te bekijken, raden we u aan om op URL naar klembord kopiëren op dit scherm te klikken en deze in een privévenster van uw browser te plakken. Vanaf daar kunt u het aanmelden met SSO doorlopen. Dit helpt om alle informatie in de cache van uw webbrowser te verwijderen die een vals-positief resultaat zou kunnen opleveren bij het testen van uw SSO-configuratie. |
| 7 |
Keer terug naar het Control Hub-browsertabblad.
De SSO configuratie wordt niet van kracht in uw organisatie, tenzij u eerst keuzerondje activeren en activeren SSO. |
Voordat u begint
Zorg ervoor dat aan de volgende voorwaarden wordt voldaan:
-
SSO is al geconfigureerd.
-
De domeinen zijn al geverifieerd.
-
De domeinen zijn geclaimd en geactiveerd. Deze functie zorgt ervoor dat gebruikers van uw domein slechts één keer worden aangemaakt en bijgewerkt wanneer ze zich aanmelden bij uw identiteitsprovider.
-
Als DirSync of Entra ID is ingeschakeld, werkt het aanmaken of bijwerken van SAML JIT-bestanden niet.
-
'Blokkeren gebruikersprofiel update' is ingeschakeld. Toewijzing van SAML-update is toegestaan, omdat deze configuratie bepaalt of de gebruiker de kenmerken kan bewerken. Door beheer beheerde methoden voor maken en bijwerken worden nog steeds ondersteund.
Bij het instellen van SAML JIT met Entra ID of een IdP waarbij het e-mailadres geen permanente identificator is, raden we aan om het koppelingskenmerk externalId te gebruiken om te koppelen aan een unieke identificator. Als blijkt dat het e-mailadres niet overeenkomt met het koppelingskenmerk, wordt de gebruiker gevraagd zijn of haar identiteit te verifiëren of een nieuwe gebruiker aan te maken met het juiste e-mailadres.
Nieuwe gebruikers krijgen niet automatisch licenties toegewezen, tenzij de organisatie een automatische licentiesjabloon heeft ingesteld.
| 1 | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
Ga naar . | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
Ga naar het tabblad Identiteitsaanbieder. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
Ga naar de IdP en klik op | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
Selecteer SAML-toewijzing bewerken. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
Configureer Just-in-Time (JIT) instellingen.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
Configureer SAML-mapping vereiste attributen.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
Configureer de Koppelingsattributen. Dit moet uniek zijn voor de gebruiker. Het wordt gebruikt om een gebruiker op te zoeken, zodat Webex alle profielkenmerken, inclusief het e-mailadres, van die gebruiker kan bijwerken.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
Configureer Profielkenmerken.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
Configureer Groepsattributen.
Als gebruiker A is gekoppeld aan SAML JIT-provisioning ondersteunt het verwijderen van gebruikers uit groepen of het wissen van gebruikers op welke manier dan ook niet.
Voor een lijst met SAML-assertiekenmerken voor Webex Meetings, zie SAML-assertiekenmerken voor Webex Meetings en Jabber. |
U ontvangt meldingen in Control Hub voordat uw certificaten verlopen, maar u kunt ook proactief waarschuwingsregels instellen. Deze regels laten u vooraf weten dat uw SP- of IdP-certificaten zullen vervallen. We kunnen deze naar u verzenden via e-mail, een ruimte in de Webex-appof beide.
Ongeacht het geconfigureerde leveringskanaal, worden alle waarschuwingen altijd weergegeven in Control Hub. Zie Waarschuwingen center in Control Hub voor meer informatie.
| 1 | |
| 2 |
Ga naar Waarschuwingencentrum. |
| 3 |
Kies Beheren en vervolgens Alle regels . |
| 4 |
Kies in de lijst Regels een van de SSO die u wilt maken:
|
| 5 |
In het gedeelte Leveringskanaal, selectievakje voor E-mail, Webex-ruimte, of beide. Als u kiest voor E-mail, voert u het e-mailadres in dat de melding moet ontvangen. Als u voor de optie Webex-ruimte kiest, wordt u automatisch toegevoegd aan een ruimte binnen de Webex-app en leveren wij daar meldingen. |
| 6 |
Sla uw wijzigingen op. |
De volgende stap
We verzenden meldingen voor het verlopen van het certificaat eenmaal per 15 dagen, vanaf 60 dagen vóór de vervaldatum. (U kunt meldingen verwachten op dag 60, 45, 30 en 15.) De meldingen stoppen wanneer u het certificaat verlengt.
Als je problemen ondervindt met je SSO-aanmelding, kun je de SSO-zelfhersteloptie gebruiken om toegang te krijgen tot je Webex-organisatie die wordt beheerd in Control Hub. Met de zelfhersteloptie kunt u SSO in Control Hub bijwerken of uitschakelen.
