Engangspålogging og Webex Control Hub

Engangspålogging (SSO) er en økt- eller brukerautentiseringsprosess som gir en bruker tilgang til ett eller flere programmer. Prosessen autentiserer brukere for alle programmene de har rettigheter til. Det eliminerer ytterligere anvisninger når brukere bytter program i løpet av en bestemt økt.

Sammenslutningsprotokoll for SAML 2.0 (Security Assertion Markup Language) brukes til å gi SSO-autentisering mellom Cisco Webex-skyen og identitetsleverandøren (IdP).

Profiler

Cisco Webex Teams støtter bare SSO-profilen for nettleseren. Cisco Webex Teams støtter følgende bindinger i SSO-profilen for nettleseren:

  • SP-initiert POST -> POST-binding

  • SP-initiert OMDIRIGERING -> POST-binding

Navn-ID-format

SAML 2.0-protokollen støtter flere Navn-ID-formater for kommunikasjon om en bestemt bruker. Cisco Webex Teams støtter følgende Navn-ID-formater.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

I metadataene du laster inn fra IdP, konfigureres den første oppføringen for bruk i Cisco Webex.

Engangsutlogging

Cisco Webex Teams støtter engangsutlogging-profilen. I Cisco Webex Teams-appen kan en bruker logge av programmet, som bruker SAML-protokollen for engangsutlogging til å avslutte økten og bekrefte at du logger av med IdP-en din. Kontroller at IdP-en din er konfigurert for engangsutlogging.

Integrere F5 Big IP med Cisco Webex Control Hub for engangspålogging


Konfigureringsveiledningene viser et spesifikt eksempel for SSO-integrering, men gir ikke uttømmende konfigurering for alle muligheter. For eksempel er integreringstrinnene for nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient dokumentert. Andre formater, som urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress fungerer i SSO-integrering, men gjennomgås ikke i vår dokumentasjon.

Konfigurer denne integreringen for brukere i Cisco Webex-organisasjonen (inkludert Cisco Webex Teams, Cisco Webex Meetings og andre tjenester som administreres i Cisco Webex Control Hub). Hvis Webex-nettstedet er integrert i Cisco Webex Control Hub, arver Webex-nettstedet brukeradministrasjonen. Hvis du ikke får tilgang til Cisco Webex Meetings på denne måten, og det ikke administreres i Cisco Webex Control Hub, må du utføre en separat integrering for å aktivere SSO for Cisco Webex Meetings. (Hvis du vil ha mer informasjon om SSO-integrering, kan du se Konfigurer engangspålogging for Webex i Nettstedsadministrasjon.)

Før du starter

IdP-er må være i samsvar med SAML 2.0-spesifikasjonen for SSO og Cisco Webex Control Hub. IdP-er må også konfigureres på følgende måte:

Laste ned Cisco Webex-metadata til ditt lokale system

1

Fra kundevisningen i https://admin.webex.com går du til Innstillinger og blar deretter til Autentisering.

2

Klikk på Endre, klikk på Integrer en tredjeparts identitetsleverandør. (Avansert), og klikk deretter på Neste.

3

Last ned metadatafilen.

Cisco Webex-metadatafilnavnet er idb-meta-<org-ID>-SP.xml.

Konfigurere ekstern tjenesteleverandør og identitetsleverandør

1

Fra BIG-IP F5-administrasjonsgrensesnittet går du til Tilgangspolicy > SAML > BIG-IP som IdP.

2

Velg Opprett > Fra metadata under Eksterne SP-tilkoblinger.

3

Skriv inn et beskrivende navn på tjenesteleverandøren, for eksempel <yourorganizationname>.ciscowebex.com.

4

Merk av i følgende avmerkingsbokser under Sikkerhetsinnstillinger:

  • Svaret må signeres
  • Deklarasjonen må signeres
5

Gå tilbake til Tilgangspolicy > SAML > BIG-IP som IdP, og opprett en ny IdP-tjeneste.

6

Skriv inn et beskrivende navn på IdP-tjenesten, for eksempel CI.

7

For enhets-ID-en for IdP bruker du FQDN for Big-IP-serveren med noe foran, for eksempel https://bigip0a.uc8sevtlab13.com/CI.

8

Velg Midlertidig identifikator for Emnetype for deklarasjon under Deklarasjonsinnstillinger.

9

Returner verdien for e-postadressen til brukeren %{session.ad.last.attr.mail} for Emneverdi for deklarasjon.

10

Returner attributtene e-post og uid med verdien %{session.ad.last.attr.mail}.

11

Velg et sertifikat som skal signere deklarasjonen, under Sikkerhetsinnstillinger.

12

Lagre endringene, og bind deretter tjenesteleverandøren og identitetsleverandøren du opprettet.

Laste ned F5 Big-IP-metadata

1

Velg Eksporter IDP-tjeneste.

2

Sørg for at verdien for Signer metadata er satt til Ja.

3

Last ned metadatafilen til skrivebordet eller en plassering som er enkel å finne.

Legge til en tilgangspolicy

1

Gå til Tilgangspolicy > Tilgangsprofiler > SAML, og opprett en SAML-ressurs for IdP-en du opprettet.

2

Gå til tilgangsprofilen din og rediger tilgangspolicyen du bruker for WebEx Messenger CAS.

3

Legg til et nytt element i Logg på-fanen med navnet Påloggingsside, og la standardverdiene stå.

4

Legg til et nytt element i Autentisering-fanen med navnet AD Auth, og angi Active Directory som server.

5

Legg til en AD-spørring fra Autentisering-fanen på en vellykket forgrening

6

Gå til Forgreningsregler, og endre den til AD-spørring er bestått.

7

Legg til Avansert ressurstildeling fra Tildeling-fanen på den vellykkede AD-spørringsforgreningen.

8

Klikk på Legg til / slett, og legg til to SAML-ressurser med alle SAML-ressursene og Webtop du opprettet.

9

Velg Tillat under Velg avslutning.

Tilgangspolicyen skal se slik ut:

Knytte tilgangsprofilen til den virtuelle serveren

Du må knytte tilgangsprofilen til den virtuelle serveren du opprettet.

1

Gå til Lokal trafikk > Virtuelle servere.

2

Åpne Tilgangsprofiler for å bekrefte at ingen virtuelle servere er knyttet til profilen.

3

Velg Avansert ressurstildeling.

4

Velg Legg til / slett for å legge til den nye SAML-ressursen.

5

Lukk utformingsvinduene for tilgangspolicyen, og bruk den nye tilgangspolicyen.

Importere IdP-metadataene og aktivere engangspålogging etter en test

Når du har eksportert Cisco Webex-metadataene, konfigurert idP-en og lastet ned IdP-metadataene til det lokale systemet, er du klar til å importere dem til Cisco Webex-organisasjonen fra Control Hub.

Før du starter

Ikke test SSO-integrering fra IdP-grensesnittet (identitetsleverandør). Vi støtter kun tjenesteleverandørinitierte (SP-initierte) flyter, så du må bruke Control Hub SSO-testen for denne integreringen.

1

Velg én:

  • Gå tilbake til Cisco Webex Control Hub – Eksporter katalogmetadata-siden i nettleseren, og klikk på Neste.
  • Hvis Control Hub ikke lenger er åpen i nettleserfanen, går du til Innstillinger i kundevisningen i https://admin.webex.com, blar til Autentisering, velger Integrer en tredjeparts identitetsleverandør (avansert) og klikker deretter på Neste på siden for klarerte metadatafiler (fordi du har gjort det allerede).
2

Dra og slipp IdP-metadatafilen til siden Importer IdP-metadata, eller bruk filbehandleren til å finne og laste opp metadatafilen. Klikk på Neste.

Hvis metadataene ikke er signert, er signert med et egensignert sertifikat eller er signert med en privat bedrifts sertifiseringsinstans (CA), anbefaler vi at du bruker krever sertifikat signert av en sertifiseringsautoritet i metadata (sikrere). Hvis sertifikatet er egensignert, må du velge det mindre sikre alternativet.

3

Velg Test SSO-tilkobling, og når en ny nettleserfane åpnes, autentiserer du den med IdP ved å logge på.


 

Hvis du får en autentiseringsfeil, kan det være et problem med legitimasjonen. Kontroller brukernavnet og passordet ditt, og prøv på nytt.

En Webex Teams-feil betyr vanligvis at det er et problem med SSO-oppsettet. I dette tilfellet går du gjennom trinnene på nytt, spesielt trinnene hvor du kopierer og limer Control Hub-metadataene inn i IdP-oppsettet.

4

Gå tilbake til Control Hub-nettleserfanen.

  • Hvis testen var vellykket, velger du Denne testen var vellykket. Aktiver alternativet for engangspålogging, og klikk på Neste.
  • Hvis testen mislyktes, velger du Denne testen var mislykket. Deaktiver alternativet for engangspålogging, og klikk på Neste.

Hva nå?

Du kan følge fremgangsmåten i Stopp automatiserte e-poster for å deaktivere e-poster som sendes til nye Webex Teams-brukere i organisasjonen. Dokumentet inneholder også gode fremgangsmåter for å sende ut kommunikasjon til brukere i organisasjonen.