Engangspålogging og Control Hub

Single sign-on (SSO) er en økt- eller brukerautentiseringsprosess som gjør det mulig for en bruker å oppgi legitimasjon for å få tilgang til ett eller flere programmer. Prosessen autentiserer brukere for alle programmene de har rettigheter til. Det eliminerer ytterligere meldinger når brukere bytter programmer i løpet av en bestemt økt.

SAML 2.0 (Security Assertion Markup Language) Federation Protocol brukes til å gi SSO-autentisering mellom Webex-skyen og identitetsleverandøren din (IdP).

Profiler

Webex-appen støtter bare SSO-profilen til nettleseren. Webex-appen støtter følgende bindinger i nettleserens SSO-profil:

  • SP initiert POST -> POST binding

  • SP initiert OMDIRIGERING -> POST binding

Navn-ID-format

SAML 2.0-protokollen støtter flere navn-ID-formater for kommunikasjon om en bestemt bruker. Webex-appen støtter følgende Navn-ID-formater.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:uspesifisert

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

I metadataene du laster inn fra din IdP, konfigureres den første oppføringen for bruk i Webex.

Engangsutlogging

Webex-appen støtter engangsutlogging-profilen. I Webex-appen kan en bruker logge av programmet, som bruker SAML-protokollen for engangsutlogging til å avslutte økten og bekrefte at du logger av med IdP-en din. Sørg for at din IdP er konfigurert for engangsutlogging.

Integrer Control Hub med F5 Big-IP

Konfigurasjonsveiledningene viser et spesifikt eksempel for SSO-integrering, men gir ikke fullstendig konfigurasjon for alle muligheter. For eksempel er integreringstrinnene for nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient dokumentert. Andre formater som urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified eller urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress fungerer for SSO-integrering, men er utenfor omfanget av vår dokumentasjon.

Konfigurer denne integreringen for brukere i Webex-organisasjonen (inkludert Webex-appen, Webex Meetings og andre tjenester administrert i Control Hub). Hvis Webex-nettstedet ditt er integrert i Control Hub, arver Webex-nettstedet brukeradministrasjonen. Hvis du ikke får tilgang til Webex Meetings på denne måten, og det ikke administreres i Control Hub, må du utføre en separat integrering for å aktivere SSO for Webex Meetings. (Se Konfigurere engangspålogging for Webex for mer informasjon om SSO-integrering i nettstedsadministrasjon.)

Før du begynner

IdP-er må overholde SAML 2.0-spesifikasjonen for SSO og Control Hub. I tillegg må IdP-er konfigureres på følgende måte:

Last ned Webex-metadataene til ditt lokale system

1

Fra kundevisningen i https://admin.webex.com går du til Administrasjon > Organisasjonsinnstillinger, blar deretter til Autentisering, og slår deretter på innstillingen Engangspålogging for å starte installasjonsveiviseren.

2

Velg sertifikattype for organisasjonen din:

  • Selvsignert av Cisco – Vi anbefaler dette valget. La oss signere sertifikatet slik at du bare trenger å fornye det én gang hvert femte år.
  • Signert av en offentlig sertifiseringsinstans– Sikrere, men du må oppdatere metadataene ofte (med mindre IdP-leverandøren din støtter klareringsankre).

Klareringsankre er offentlige nøkler som fungerer som en myndighet til å bekrefte sertifikatet til en digital signatur. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for IdP.

3

Last ned metadatafilen.

Filnavnet for Webex-metadata er idb-meta--SP.xml.

Konfigurer den eksterne tjenesteleverandøren og identitetsleverandøren

1

Fra administrasjonsgrensesnittet for BIG-IP F5 går du til Tilgangspolicy > SAML > BIG-IP som IdP.

2

Fra Eksterne SP-kontakter velger du Opprett > Fra metadata.

3

Skriv inn et meningsfullt navn for tjenesteleverandørens navn, for eksempel .ciscowebex.com.

4

Merk av i følgende avmerkingsbokser under Sikkerhetsinnstillinger:

  • Svaret må signeres
  • Påstanden må signeres
5

Gå tilbake til Tilgangspolicy > SAML > BIG-IP som IdP, og opprett deretter en ny identitetsleverandørtjeneste (IdP).

6

Skriv inn et meningsfullt navn for navnet på IdP-tjenesten, for eksempel CI.

7

For enhets-ID-en for IdP bruker du FQDN til Big-IP-serveren med noe foran, for eksempel https://bigip0a.uc8sevtlab13.com/CI.

8

Under Deklarasjonsinnstillinger velger du Midlertidig identifikator for Deklarasjonspersontype.

9

Returner verdien for e-posten til brukeren %{session.ad.last.attr.mail} for Emneverdi for påstand.

10

Returner attributtene mail og uid med verdien %{session.ad.last.attr.mail}.

11

Velg et sertifikat for å signere påstanden under Sikkerhetsinnstillinger.

12

Lagre endringene, og bind deretter tjenesteleverandøren og identitetsleverandøren du opprettet.

Last ned F5 Big-IP-metadata

1

Velg Eksporter IDP-tjeneste.

2

Kontroller at verdien for Signer metadata er Ja.

3

Last ned metadatafilen til skrivebordet eller en plassering som er enkel å finne.

Legg til en tilgangspolicy

1

Gå til Tilgangspolicy > Tilgangsprofiler > SAML og opprett en SAML-ressurs for IdP-en du opprettet.

2

Gå til tilgangsprofilen din og rediger tilgangspolicyen du bruker for WebEx Messenger CAS.

3

Legg til et nytt element i Pålogging -fanen med navnet Påloggingsside , og la standardverdiene stå.

4

Legg til et nytt element i Autentisering -fanen med navnet AD Auth , og angi Active Directory som server.

5

Legg til AD-spørring fra Autentisering -fanen på den vellykkede grenen

6

Gå til Grenseregler og endre den til AD-spørring er bestått.

7

På den vellykkede grenen av AD-spørringen legger du til Avansert ressurstilordning fra Tilordning -fanen.

8

Klikk på Legg til / slett og legg til to SAML -ressurser med alle SAML-ressursene og Webtop du opprettet.

9

Velg Tillat for Velg slutt.

Tilgangspolicyen skal se slik ut:

Knytt tilgangsprofilen til den virtuelle serveren

Du må knytte tilgangsprofilen til den virtuelle serveren du opprettet.

1

Gå til Lokal trafikk > Virtuelle servere.

2

Åpne tilgangsprofiler for å bekrefte at ingen virtuell server er knyttet til profilen.

3

Velg Avansert ressurstilordning.

4

Velg Legg til / slett for å legge til den nye SAML-ressursen.

5

Lukk utformingsvinduene for tilgangspolicyen og bruk den nye tilgangspolicyen.

Importer IdP-metadataene og aktiver engangspålogging etter en test

Når du har eksportert Webex-metadataene, konfigurert IdP-en og lastet ned IdP-metadataene til det lokale systemet, er du klar til å importere dem til Webex-organisasjonen din fra Control Hub.

Før du begynner

Ikke test SSO-integrering fra grensesnittet til identitetsleverandøren (IdP). Vi støtter kun tjenesteleverandørinitierte (SP-initierte) flyter, så du må bruke Control Hub SSO-testen for denne integreringen.

1

Velg én:

  • Gå tilbake til siden for Control Hub – sertifikatvalg i nettleseren, og klikk deretter på Neste.
  • Hvis Control Hub ikke lenger er åpen i nettleserfanen, går du til https://admin.webex.comAdministrasjon > Organisasjonsinnstillinger i kundevisningen, blar til Autentisering og velger Handlinger > Importer metadata.
2

Dra og slipp IdP-metadatafilen til siden Importer IdP-metadata, eller bruk filnettleseralternativet til å finne og laste opp metadatafilen. Klikk på Neste.

Du bør bruke alternativet Sikrere hvis du kan. Dette er bare mulig hvis IdP-en din brukte en offentlig sertifiseringsinstans til å signere metadataene.

I alle andre tilfeller må du bruke alternativet Mindre sikkert . Dette inkluderer om metadataene ikke er signert, selvsignert eller signert av en privat sertifiseringsinstans.

Okta signerer ikke metadataene, så du må velge Mindre sikker for en Okta SSO-integrering.

3

Velg Test SSO-oppsett, og når en ny nettleserfane åpnes, godkjenn med IdP-en ved å logge på.

Hvis du får en autentiseringsfeil, kan det oppstå et problem med legitimasjonen. Kontroller brukernavnet og passordet, og prøv på nytt.

En Webex-appfeil betyr vanligvis et problem med SSO-oppsettet. I dette tilfellet går du gjennom trinnene igjen, spesielt trinnene der du kopierer og limer inn Control Hub-metadataene i IdP-oppsettet.

Hvis du vil se SSO-påloggingsopplevelsen direkte, kan du også klikke på Kopier URL til utklippstavle fra dette skjermbildet og lime den inn i et privat nettleservindu. Derfra kan du gå gjennom å logge på med SSO. Dette trinnet stopper falske positiver på grunn av et tilgangstoken som kan være i en eksisterende økt fra at du er logget på.

4

Gå tilbake til nettleserfanen Control Hub.

  • Hvis testen var vellykket, velger du Vellykket test. Slå på SSO og klikk på Neste.
  • Hvis testen mislyktes, velger du Mislykket test. Slå av SSO og klikk på Neste.

SSO-konfigurasjonen trer ikke i kraft i organisasjonen med mindre du velger den første alternativknappen og aktiverer SSO.

Hva du skal gjøre nå

Bruk fremgangsmåtene i Synkroniser Okta-brukere til Cisco Webex Control Hub hvis du vil klargjøre brukere fra Okta til Webex-skyen.

Bruk fremgangsmåtene i Synkronisere Azure Active Directory-brukere til Cisco Webex Control Hub hvis du vil klargjøre brukere fra Azure AD til Webex-skyen.

Du kan følge fremgangsmåten i Undertrykk automatiserte e-poster for å deaktivere e-poster som sendes til nye brukere av Webex-appen i organisasjonen. Dokumentet inneholder også beste praksis for å sende ut kommunikasjon til brukere i organisasjonen.