Engangspålogging og Cisco Webex Teams

Engangspålogging (SSO) er en økt- eller brukerautentiseringsprosess som gir en bruker tilgang til ett eller flere programmer. Prosessen autentiserer brukere for alle programmene de har rettigheter til. Det eliminerer ytterligere anvisninger når brukere bytter program i løpet av en bestemt økt.

Sammenslutningsprotokoll for SAML 2.0 (Security Assertion Markup Language) brukes til å gi SSO-autentisering mellom Cisco Webex-skyen og identitetsleverandøren (IdP).

Profiler

Cisco Webex Teams støtter bare SSO-profilen for nettleseren. Cisco Webex Teams støtter følgende bindinger i SSO-profilen for nettleseren:

  • SP-initiert POST -> POST-binding

  • SP-initiert OMDIRIGERING -> POST-binding

Navn-ID-format

SAML 2.0-protokollen støtter flere Navn-ID-formater for kommunikasjon om en bestemt bruker. Cisco Webex Teams støtter følgende Navn-ID-formater.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

I metadataene du laster inn fra IdP, konfigureres den første oppføringen for bruk i Cisco Webex.

Engangsutlogging

Cisco Webex Teams støtter engangsutlogging-profilen. I Cisco Webex Teams-appen kan en bruker logge av programmet, som bruker SAML-protokollen for engangsutlogging til å avslutte økten og bekrefte at du logger av med IdP-en din. Kontroller at IdP-en din er konfigurert for engangsutlogging.

Integrere Cisco Webex Control Hub med PingFederate for engangspålogging


Konfigureringsveiledningene viser et spesifikt eksempel for SSO-integrering, men gir ikke uttømmende konfigurering for alle muligheter. For eksempel er integreringstrinnene for nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient dokumentert. Andre formater, som urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress fungerer i SSO-integrering, men gjennomgås ikke i vår dokumentasjon.

Konfigurer denne integreringen for brukere i Cisco Webex-organisasjonen (inkludert Cisco Webex Teams, Cisco Webex Meetings og andre tjenester som administreres i Cisco Webex Control Hub). Hvis Webex-nettstedet er integrert i Cisco Webex Control Hub, arver Webex-nettstedet brukeradministrasjonen. Hvis du ikke får tilgang til Cisco Webex Meetings på denne måten, og det ikke administreres i Cisco Webex Control Hub, må du utføre en separat integrering for å aktivere SSO for Cisco Webex Meetings. (Hvis du vil ha mer informasjon om SSO-integrering, kan du se Konfigurer engangspålogging for Webex i Nettstedsadministrasjon.)

Før du starter

IdP-er må være i samsvar med SAML 2.0-spesifikasjonen for SSO og Cisco Webex Control Hub. IdP-er må også konfigureres på følgende måte:
  • Angi attributtet Navn-ID-format til urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • Konfigurer et krav på IdP så det inkluderer uid-attributtnavnet med en verdi som er kartlagt til attributtet som er valgt i Cisco-registerkoblingen, eller brukerattributtet som samsvarer med det som er valgt i Cisco Webex-identitetstjenesten. (Dette attributtet kan for eksempel være e-postadresser eller bruker-hovednavn.) Se informasjonen om egendefinerte attributter i https://www.cisco.com/go/hybrid-services-directory hvis du vil ha veiledning.

  • Bruk en nettleser som støttes: vi anbefaler den nyeste versjonen av Mozilla Firefox eller Google Chrome.

  • Deaktiver eventuelle popup-blokkeringer i nettleseren din.

Laste ned Cisco Webex-metadata til ditt lokale system

1

Fra kundevisningen i https://admin.webex.com går du til Innstillinger og blar deretter til Autentisering.

2

Klikk på Endre, klikk på Integrer en tredjeparts identitetsleverandør. (Avansert), og klikk deretter på Neste.

3

Last ned metadatafilen.

Cisco Webex-metadatafilnavnet er idb-meta-<org-ID>-SP.xml.

Konfigurere en ny tjenesteleverandørtilkobling

1

Gå til PingFederate-administrasjonsportalen (https://<FQDN of="" PingFederate="">:9999/pingfederate/app).

2

Velg Opprett ny under SP-TILKOBLINGER.

3

Velg alternativknappen Ikke bruk en mal for denne tilkoblingen, og velg Neste.

4

Velg SSO-profiler for nettleser, og klikk på Neste.

5

Velg fanen Importer metadata.

6

Klikk på Velg fil for å bla til og importere metadatafilen du lastet ned fra Cisco Webex Control Hub, og klikk på Neste.

7

Se gjennom informasjonen i fanen Generell informasjon, og klikk på Ferdig.

Konfigurere engangspålogging i nettleseren

1

Velg Konfigurer SSO for nettleser fra PingFederate-administrasjonsportalen.

2

Merk av i avmerkingsboksen for SP-initiert SSO, og klikk på Neste.

3

Velg Konfigurer deklarasjonsoppretting.

  1. Endre Navn-ID-formatet til Midlertidig og merk av i avmerkingsboksen Inkluder attributter i tillegg til den midlertidige identifikatoren.

  2. Utvid kontraktattributtene ved å legge til e-post- og uid-attributter i formatet urn:oasis:names:tc:SAML:2.0:attrname-format-basic, og klikk på Neste.

  3. Velg Tilordne ny adapterforekomst for å velge en autentiseringsmekanisme. Velg en av de tidligere konfigurerte autentiseringsmekanismene fra rullegardinmenyen ADAPTERFOREKOMST, og klikk på Neste.

  4. Velg alternativknappen Hent flere attributter fra flere datalagre via én tilordning, og klikk på Neste.

  5. Velg Legg til attributtkilde for å legge til Active Directory-domenekontrolleren for domenet, og klikk på Neste.

  6. Angi basis-DN og velg rotobjektklassen <Show All="" Attributes="">. Skriv inn LDAP-filteret i Filter-tekstboksen, og klikk på Neste.

    Oppføringen må inneholde attributtet du forventer at brukeren skal oppgi. Den må også inneholde verdien den tilordnes til i LDAP-kildene. Hvis Active Directory for eksempel er satt til å filtrere på Windows-påloggingsattributtet, skriver du inn sAMAccountName=${Username}.

  7. Velg kilden og verdien for å tilordne deklarasjonsattributtene til attributtene fra AD-datalageret. (Ikke angi noe for utstedelseskriterier.)

  8. Kontroller at deklarasjonskonfigurasjonen har Identitetstilordning angitt til Midlertidig, Attributtkontrakt angitt til uid og Adapterforekomster angitt til 1.


     

    Uid-attributtet skal tilordnes brukerens e-postadresse.

4

Velg Konfigurer protokollinnstillinger.

  1. Merk kun av i avmerkingsboksene POST og Omdiriger for Tillatte SAML-bindinger.

  2. Velg Signer alltid SAML-deklarasjonen for signaturpolicy.

    Protokollinnstillingene skal se slik ut.

  3. Velg Konfigurer legitimasjon for å konfigurere sertifikatet for deklarasjonen.

  4. Velg sertifikatet som allerede er opprettet for SAML-deklarasjoner.

5

Angi Tilkoblingsstatus til Aktiv i skjermbildet Aktivering og sammendrag.

Eksportere PingFederate-metadata

1

Klikk på Administrere all SP på hovedskjermen.

2

Finn tilkoblingen du nettopp opprettet, og klikk på Eksporter metadata.

3

Velg sertifikatet som skal brukes til å signere den eksporterte filen, fra rullegardinlisten.

4

Klikk på Eksporter.

Importere IdP-metadataene og aktivere engangspålogging etter en test

Når du har eksportert Cisco Webex-metadataene, konfigurert idP-en og lastet ned IdP-metadataene til det lokale systemet, er du klar til å importere dem til Cisco Webex-organisasjonen fra Control Hub.

Før du starter

Ikke test SSO-integrering fra IdP-grensesnittet (identitetsleverandør). Vi støtter kun tjenesteleverandørinitierte (SP-initierte) flyter, så du må bruke Control Hub SSO-testen for denne integreringen.

1

Velg én:

  • Gå tilbake til Cisco Webex Control Hub – Eksporter katalogmetadata-siden i nettleseren, og klikk på Neste.
  • Hvis Control Hub ikke lenger er åpen i nettleserfanen, går du til Innstillinger i kundevisningen i https://admin.webex.com, blar til Autentisering, velger Integrer en tredjeparts identitetsleverandør (avansert) og klikker deretter på Neste på siden for klarerte metadatafiler (fordi du har gjort det allerede).
2

Dra og slipp IdP-metadatafilen til siden Importer IdP-metadata, eller bruk filbehandleren til å finne og laste opp metadatafilen. Klikk på Neste.

Hvis metadataene ikke er signert, er signert med et egensignert sertifikat eller er signert med en privat bedrifts sertifiseringsinstans (CA), anbefaler vi at du bruker krever sertifikat signert av en sertifiseringsautoritet i metadata (sikrere). Hvis sertifikatet er egensignert, må du velge det mindre sikre alternativet.

3

Velg Test SSO-tilkobling, og når en ny nettleserfane åpnes, autentiserer du den med IdP ved å logge på.


 

Hvis du får en autentiseringsfeil, kan det være et problem med legitimasjonen. Kontroller brukernavnet og passordet ditt, og prøv på nytt.

En Webex Teams-feil betyr vanligvis at det er et problem med SSO-oppsettet. I dette tilfellet går du gjennom trinnene på nytt, spesielt trinnene hvor du kopierer og limer Control Hub-metadataene inn i IdP-oppsettet.

4

Gå tilbake til Control Hub-nettleserfanen.

  • Hvis testen var vellykket, velger du Denne testen var vellykket. Aktiver alternativet for engangspålogging, og klikk på Neste.
  • Hvis testen mislyktes, velger du Denne testen var mislykket. Deaktiver alternativet for engangspålogging, og klikk på Neste.

Hva nå?

Du kan følge fremgangsmåten i Stopp automatiserte e-poster for å deaktivere e-poster som sendes til nye Webex Teams-brukere i organisasjonen. Dokumentet inneholder også gode fremgangsmåter for å sende ut kommunikasjon til brukere i organisasjonen.