Logowanie jednokrotne i Control Hub

Logowanie jednokrotne (SSO) to proces uwierzytelniania sesji lub użytkownika, który umożliwia użytkownikowi podanie poświadczeń w celu uzyskania dostępu do co najmniej jednej aplikacji. Proces ten uwierzytelnia użytkowników dla wszystkich aplikacji, do których mają prawa. Eliminuje to dalsze monity, gdy użytkownicy przełączają aplikacje podczas określonej sesji.

Protokół federacyjny SAML 2.0 (Security Assertion Markup Language) służy do uwierzytelniania jednokrotnego między chmurą Webex a dostawcą tożsamości (IdP).

Profile

Aplikacja Webex app obsługuje tylko profil logowania jednokrotnego w przeglądarce internetowej. W profilu logowania jednokrotnego przeglądarki internetowej aplikacja Webex App obsługuje następujące powiązania:

  • Sp zainicjowane powiązanie POST -> POST

  • Sp zainicjowane powiązanie REDIRECT -> POST

Format NameID

Protokół SAML 2.0 obsługuje kilka formatów NameID służących do komunikowania się o określonym użytkowniku. Aplikacja Webex app obsługuje następujące formaty NameID.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

W metadanych ładowanych od dostawcy tożsamości pierwszy wpis jest skonfigurowany do użycia w Webex.

Integrowanie usługi Control Hub z platformą Microsoft Azure


Przewodniki konfiguracji pokazują konkretny przykład integracji logowania jednokrotnego, ale nie zawierają wyczerpującej konfiguracji dla wszystkich możliwości. Na przykład kroki integracji dla formatu nameid urn:oasis:names:tc:SAML:2.0:nameid-format:transient są udokumentowane. Inne formaty, takie jak urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified lub urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress będą działać w przypadku integracji logowania jednokrotnego, ale wykraczają poza zakres naszej dokumentacji.

Skonfiguruj tę integrację dla użytkowników w organizacji Webex (w tym WebexApp, Webex Meetingsi innych usług administrowanych w ControlHub). Jeśli witryna Webex jest zintegrowana z ControlHub, witryna Webex dziedziczy zarządzanie użytkownikami. Jeśli nie możesz uzyskać dostępu do Webex Meetings w ten sposób i nie jest on zarządzany w Control Hub, musisz wykonać oddzielną integrację, aby włączyć logowanie jednokrotne dla spotkańWebex. (Zobacz Konfigurowanie logowania jednokrotnego dla usługi Webex, aby uzyskać więcej informacji na temat integracji logowania jednokrotnego w administracji witryną.)

Przed rozpoczęciem

W przypadku logowania jednokrotnego i centrumsterowania dostawcy tożsamości muszą być zgodni ze specyfikacją SAML 2.0. Ponadto dostawcy IdPs muszą być skonfigurowani w następujący sposób:


W usłudze Azure Active Directory inicjowanie obsługi administracyjnej jest obsługiwane tylko w trybie ręcznym. Ten dokument obejmuje tylko integrację logowania jednokrotnego (SSO).

Pobierz metadane Webex do systemu lokalnego

1

Z widoku klienta w programie https://admin.webex.com, przejdź do pozycji Zarządzanie > Ustawienia organizacji , a następnie przewiń do pozycji Uwierzytelnianie, a następnie włącz ustawienie Logowanie jednokrotne, aby uruchomić kreatora instalacji.

2

Wybierz typ certyfikatu dla swojej organizacji:

  • Podpis własny firmy Cisco— zalecamy ten wybór. Pozwól nam podpisać certyfikat, więc musisz go odnawiać tylko raz na pięć lat.
  • Podpisane przez publiczny urząd certyfikacji— bezpieczniejsze, ale trzeba będzie często aktualizować metadane (chyba że dostawca dostawcy tożsamości obsługuje kotwice zaufania).

 

Kotwice zaufania to klucze publiczne, które działają jako urząd do weryfikacji certyfikatu podpisu cyfrowego. Aby uzyskać więcej informacji, zapoznaj się z dokumentacją usługodawcy internetowego.

3

Pobierz plik metadanych.

Nazwa pliku metadanych Webex to idb-meta-<org-ID>-SP.xml.

Konfigurowanie ustawień aplikacji logowania jednokrotnego na platformie Azure

Przed rozpoczęciem

1

Zaloguj się do witryny Azure Portal pod adresem https://portal.azure.com przy użyciu poświadczeń administratora.

2

Przejdź do usługi Azure Active Directory dla swojej organizacji.

3

Przejdź do pozycji Aplikacje dla przedsiębiorstw, a następnie kliknij przycisk Dodaj.

4

Kliknij Dodaj aplikację z galerii.

5

W polu wyszukiwania wpisz Cisco Webex.

6

W okienku wyników wybierz pozycję Cisco Webex, a następnie kliknij przycisk Dodaj, aby dodać aplikację.

Pojawi się komunikat informujący, że aplikacja została dodana pomyślnie.

7

Aby upewnić się, że aplikacja Webex dodana do logowania jednokrotnego nie jest wyświetlana w portalu użytkowników, otwórz nową aplikację, przejdź do właściwości i ustaw Widoczne dla użytkowników? na Nie.

8

Konfigurowanie logowania jednokrotnego:

  1. Po utworzeniu umowy aplikacji przejdź do karty Logowanie jednokrotne, a następnie w obszarze Wybierz metodę logowania jednokrotnegowybierz pozycję SAML.

  2. Na stronie Konfigurowanie logowania jednokrotnego za pomocą protokołu SAML kliknij ikonę Edytuj, aby otworzyć aplet Podstawowa konfiguracja SAML.

  3. Kliknij przycisk Prześlij plik metadanych, a następnie wybierz plik metadanych pobrany z centrum Control Hub .

    Niektóre pola są wypełniane automatycznie.

  4. Skopiuj wartość Adres URL odpowiedzi i wklej ją do pola Adres URL logowania , a następnie zapisz zmiany.

9

Przejdź do pozycji Zarządzanie > Użytkownicy igrupy , a następnie wybierz odpowiednich użytkowników i grupy, którym chcesz udzielić dostępu do aplikacji WebexApp.

10

Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML w sekcji Certyfikat podpisywania SAML kliknij przycisk Pobierz, aby pobrać kod XML metadanych federacji i zapisać go na komputerze.

11

Na stronie Właściwości upewnij się, że opcja Widoczne dla użytkowników? jest ustawiona na Nie .

Nie obsługujemy udostępniania aplikacji Webex użytkownikom.

Importowanie metadanych dostawcy tożsamości i włączanie logowania jednokrotnego po teście

Po wyeksportowaniu metadanych Webex, skonfigurowaniu dostawcy tożsamości i pobraniu metadanych dostawcy tożsamości do systemu lokalnego można przystąpić do importowania ich do organizacji Webex z centrumsterowania.

Przed rozpoczęciem

Nie testuj integracji logowania jednokrotnego z interfejsu dostawcy tożsamości (IdP). Obsługujemy tylko przepływy inicjowane przez dostawcę usług (inicjowane przez dostawcę usług), więc do tej integracji należy użyć testu logowania jednokrotnego usługi Control Hub.

1

Wybierz jedną z nich:

  • Wróć do strony Control Hub — wybór certyfikatu w przeglądarce, a następnie kliknij przycisk Dalej.
  • Jeśli centrum sterowania nie jest już otwarte na karcie przeglądarki, w widoku klienta w programie przejdź do https://admin.webex.compozycji Zarządzanie > Ustawieniaorganizacji, przewiń do pozycji Uwierzytelnianie, a następnie wybierzpozycję Akcje > importuj metadane.
2

Na stronie Importowanie metadanych dostawcy tożsamości przeciągnij i upuść plik metadanych dostawcy tożsamości na stronę lub użyj opcji przeglądarki plików, aby zlokalizować i przekazać plik metadanych. Kliknij przycisk Dalej.

Jeśli możesz, powinieneś użyć opcji Bardziej bezpieczne. Jest to możliwe tylko wtedy, gdy usługodawca tożsamości podpisał swoje metadane za pomocą publicznego urzędu certyfikacji.

We wszystkich innych przypadkach należy użyć opcji Mniej bezpieczne. Dotyczy to również uchyłek, jeśli metadane nie są podpisane, podpisane samodzielnie lub podpisane przez prywatny urząd certyfikacji.

3

Wybierz pozycję Testuj konfigurację logowaniajednokrotnego, a gdy otworzy się nowa karta przeglądarki, uwierzytelnij się przy użyciu usługodawcy tożsamości, logując się.


 

Jeśli zostanie wyświetlony błąd uwierzytelniania, może to być problem z poświadczeniami. Sprawdź nazwę użytkownika i hasło i spróbuj ponownie.

Błąd aplikacji Webex zwykle oznacza problem z konfiguracją logowania jednokrotnego. W takim przypadku należy ponownie wykonać kroki, zwłaszcza kroki, w których kopiujesz i wklejasz metadane centrum sterowania do konfiguracji dostawcy tożsamości.


 

Aby bezpośrednio wyświetlić logowanie jednokrotne, możesz też kliknąć opcję Kopiuj adres URL do schowka z tego ekranu i wkleić go w prywatnym oknie przeglądarki. Stamtąd możesz przejść przez logowanie się za pomocą logowania jednokrotnego. Ten krok zatrzymuje fałszywe alarmy z powodu tokenu dostępu, który może znajdować się w istniejącej sesji po zalogowaniu.

4

Wróć do karty przeglądarki Control Hub.

  • Jeśli test zakończył się pomyślnie, wybierz opcję Test pomyślny. Włącz logowanie jednokrotne i kliknij przycisk Dalej .
  • Jeśli test zakończył się niepowodzeniem, wybierz opcję Test nieudany. Wyłącz logowanie jednokrotne i kliknij przycisk Dalej .

 

Konfiguracja logowania jednokrotnego nie zostanie zrealizowana w organizacji, chyba że wybierzesz pierwszy przycisk radiowy i aktywujesz logowanie jednokrotne.

Co dalej?

Możesz wykonać procedurę opisaną w temacie Pomijanie automatycznych wiadomości e-mail, aby wyłączyć wiadomości e-mail wysyłane do nowych użytkowników aplikacji Webex App w organizacji. Dokument zawiera również najważniejsze wskazówki dotyczące wysyłania wiadomości do użytkowników w organizacji.

Rozwiązywanie problemów z integracją z platformą Azure

Podczas wykonywania testu SAML upewnij się, że używasz przeglądarki Mozilla Firefox i instalujesz znacznik SAML z https://addons.mozilla.org/en-US/firefox/addon/saml-tracer/

Sprawdź potwierdzenie pochodzące z platformy Azure, aby upewnić się, że ma poprawny format nameid i ma atrybut uid, który pasuje do użytkownika w aplikacjiWebex.