SSO umożliwia użytkownikom korzystanie z jednego, wspólnego zestawu poświadczeń aplikacji Webex i innych aplikacji w organizacji. Webex umożliwia konfigurowanie SSO dla wielu dostawców tożsamości (IdPs) w organizacji w celu uwierzytelniania użytkowników. Można również utworzyć reguły trasowania, aby skonfigurować uwierzytelnianie dla różnych domen lub grup użytkowników.
Jednokrotne logowanie (SSO) umożliwia użytkownikom bezpieczne logowanie się do usługi Webex poprzez uwierzytelnianie u wspólnego dostawcy tożsamości Twojej organizacji. Dostawca tożsamości (IdP) bezpiecznie przechowuje i zarządza cyfrowymi tożsamościami użytkowników i udostępnia usługę uwierzytelniania użytkowników dla użytkowników Webex.
Dlaczego może być potrzebne wiele IdPs
Wiele dużych firm przechodzi fuzje i przejęcia, a te firmy rzadko mają tych samych dostawców infrastruktury informatycznej i tożsamości. Instytucje rządowe mają pod sobą różne organizacje i agencje. Często organizacje te mają jeden adres e-mail dla własnych działów IT i infrastruktury, odpowiednio. Główne instytucje edukacyjne mają centralny dział zakupów, ale różne uniwersytety i uczelnie z różnych organizacji i działów IT.
Powszechnie obserwuje się, że dostawcy tożsamości i dostawcy usług (SPs) łączą się ze sobą. IdP jest odpowiedzialny za uwierzytelnianie poświadczeń użytkowników, a SP ufa uwierzytelnianiu dokonywanemu przez IdP. Umożliwia to użytkownikom dostęp do różnych aplikacji i usług SaaS przy użyciu tej samej tożsamości cyfrowej. Jeśli jednak z jakiegoś powodu Twoja organizacja nie może się federować między IdPs, Webex zapewnia obejście, aby obsługiwać wiele IdPs. Z tych powodów dajemy Ci możliwość skonfigurowania logowania SSO dla wielu dostawców tożsamości w usłudze Webex i uproszczenia procesu uwierzytelniania użytkowników.
Ograniczenia
- Ta funkcja jest dostępna tylko wtedy, gdy zakupiłeś Webex Extended Security Pack.
- Jeśli w organizacji używasz łącznika usług katalogowych, wszyscy użytkownicy muszą być skonfigurowani za pomocą łącznika usług katalogowych. Więcej informacji można znaleźć w przewodniku wdrażania łącznika usług katalogowych.
- Obecnie obsługujemy tylko SAML, OpenID Connect i Webex Identity jako dostawców tożsamości.
Poza zakresem
- Skonfiguruj przypisania grup.
- Weryfikacja domeny. Więcej informacji na ten temat można znaleźć w sekcji Zarządzanie domenami.
- Obsługa administracyjna użytkownika. Aby uzyskać więcej informacji, zapoznaj się z Sposobami dodawania użytkowników do organizacji Control Hub.
Ta sekcja opisuje, w jaki sposób można zintegrować dostawców tożsamości (IdP) z organizacją Webex. Możesz wybrać dostawcy tożsamości, które najlepiej pasują do wymagań Twojej organizacji.
Jeśli szukasz integracji SSO witryny Webex Meetings (zarządzanej w Administracji witryny), zapoznaj się z Konfigurowaniem jednokrotnego logowania dla administracji Webex.
Przed rozpoczęciem
Upewnić się, że spełnione są następujące warunki:
- Aby skonfigurować logowanie SSO z wieloma dostawcami tożsamości w Control Hub, musisz mieć rozszerzony pakiet zabezpieczeń Webex.
- W Control Hub musisz mieć Pełną rolę administratora.
- Plik metadanych z dostawcy tożsamości do przekazania Webex i plik metadanych z programu Webex do przekazania dostawcy tożsamości. Aby uzyskać więcej informacji, zapoznaj się z integracją jednokrotnego logowania w Control Hub. Ma to zastosowanie tylko do konfiguracji SAML.
- Przed skonfigurowaniem wielu dostawców tożsamości należy zaplanować zachowanie reguł trasowania.
 | Po skonfigurowaniu wstępnego dostawcy tożsamości zostanie zastosowana domyślna reguła trasowania. Ale można ustawić inny IdP jako domyślny. W zakładce Zasady trasowania w tym artykule na stronie Dodaj lub edytuj regułę trasowania. |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij przycisk Aktywuj SSO, aby uruchomić kreatora konfiguracji. | ||||
| 2 | Wybierz SAML jako dostawcę tożsamości i kliknij Dalej. | ||||
| 3 | Wybierz typ certyfikatu:
| ||||
| 4 | Kliknij kolejno opcje Pobierz metadane i Dalej. Nazwa pliku metadanych aplikacji Webex to idb-meta-<org-ID>-SP.xml. | ||||
| 5 | Prześlij plik metadanych dostawcy tożsamości lub wypełnij formularz konfiguracyjny. Podczas przesyłania pliku metadanych istnieją dwa sposoby walidacji metadanych z dostawcy tożsamości klienta:
Kliknij przycisk Dalej. | ||||
| 6 | (Opcjonalnie) Skonfiguruj ustawienia Just In Time (JIT) i odpowiedź mapowania SAML. W tym artykule Skonfiguruj mapowanie Just In Time (JIT) i SAML na karcie Zarządzaj swoimi dostawcami tożsamości.
| ||||
| 7 | Kliknij opcję Testuj konfigurację logowania SSO, a gdy otworzy się nowa karta przeglądarki, uwierzytelnij się przy użyciu dostawcy tożsamości, logując się.
| ||||
| 8 | Wróć do karty przeglądarki Control Hub.
|
Co zrobić dalej
Można skonfigurować regułę trasowania. W zakładce Zasady trasowania w tym artykule na stronie Dodaj lub edytuj regułę trasowania.
Aby wyłączyć wiadomości e-mail wysyłane do nowych użytkowników aplikacji Webex w organizacji, można postępować zgodnie z procedurą Suppress Automated Emails (Zatrzymywanie automatycznych wiadomości e-mail). Dokument zawiera również najlepsze praktyki dotyczące wysyłania komunikacji do użytkowników w Twojej organizacji.
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij przycisk Aktywuj SSO, aby uruchomić kreatora konfiguracji. | ||||
| 2 | Wybierz OpenID Connect jako dostawcę tożsamości i kliknij Dalej. | ||||
| 3 | Wprowadź informacje o dostawcy tożsamości.
| ||||
| 4 | Wybierz, jak dodać punkty końcowe. Można to zrobić automatycznie lub ręcznie.
| ||||
| 5 | (Opcjonalnie) Skonfiguruj ustawienia Just In Time (JIT). W tym artykule Skonfiguruj mapowanie Just In Time (JIT) i SAML na karcie Zarządzaj swoimi dostawcami tożsamości.
| ||||
| 6 | Kliknij opcję Testuj konfigurację logowania SSO, a gdy otworzy się nowa karta przeglądarki, uwierzytelnij się przy użyciu dostawcy tożsamości, logując się.
| ||||
| 7 | Wróć do karty przeglądarki Control Hub.
|
Co zrobić dalej
Można skonfigurować regułę trasowania. W zakładce Zasady trasowania w tym artykule na stronie Dodaj lub edytuj regułę trasowania.
Aby wyłączyć wiadomości e-mail wysyłane do nowych użytkowników aplikacji Webex w organizacji, można postępować zgodnie z procedurą Suppress Automated Emails (Zatrzymywanie automatycznych wiadomości e-mail). Dokument zawiera również najlepsze praktyki dotyczące wysyłania komunikacji do użytkowników w Twojej organizacji.
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij przycisk Aktywuj SSO, aby uruchomić kreatora konfiguracji. |
| 2 | Wybierz Webex jako dostawcę tożsamości i kliknij przycisk Dalej. |
| 3 | Sprawdź, czy przeczytałem i zrozumiałem sposób działania usługi Webex IdP i kliknij przycisk Dalej. |
| 4 | Skonfiguruj regułę trasowania. W zakładce Zasady trasowania w tym artykule na stronie Dodaj lub edytuj regułę trasowania. |
Po dodaniu reguły trasowania usługa IdP zostanie dodana i wyświetlona na karcie Dostawca tożsamości.
Co zrobić dalej
Aby wyłączyć wiadomości e-mail wysyłane do nowych użytkowników aplikacji Webex w organizacji, można postępować zgodnie z procedurą Suppress Automated Emails (Zatrzymywanie automatycznych wiadomości e-mail). Dokument zawiera również najlepsze praktyki dotyczące wysyłania komunikacji do użytkowników w Twojej organizacji.
Reguły trasowania mają zastosowanie podczas konfigurowania więcej niż jednego dostawcy tożsamości. Reguły trasowania umożliwiają Webex identyfikację dostawcy tożsamości, do którego mają być wysyłani użytkownicy po skonfigurowaniu wielu dostawców tożsamości.
Podczas konfigurowania więcej niż jednego dostawcy tożsamości można zdefiniować reguły trasowania w kreatorze konfiguracji SSO. Jeśli pominiesz krok reguły trasowania, Control Hub doda dostawcę tożsamości, ale nie aktywuje dostawcy tożsamości. Aby aktywować dostawcę tożsamości, należy dodać regułę trasowania.
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. | ||
| 2 | Przejdź do karty Zasady trasowania .
| ||
| 3 | Kliknij opcję Dodaj nową regułę trasowania. | ||
| 4 | Wprowadź szczegóły nowej reguły:
| ||
| 5 | Kliknij przycisk Dodaj. | ||
| 6 | Wybierz nową regułę trasowania i kliknij przycisk Aktywuj. |
| Kolejność priorytetu reguły trasowania można zmienić, jeśli istnieją reguły trasowania dla wielu dostawców tożsamości. |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. |
| 2 | Przejdź do karty Zasady trasowania . |
| 3 | Wybierz regułę trasowania. |
| 4 | Wybierz, czy chcesz dezaktywować lub usunąć regułę trasowania. Zaleca się posiadanie innej aktywnej reguły trasowania dla dostawcy tożsamości. W przeciwnym razie mogą wystąpić problemy z logowaniem SSO. |
| Nie można dezaktywować lub usunąć reguły domyślnej, ale można zmodyfikować kierowane IdP. |
Przed rozpoczęciem
| Od czasu do czasu możesz otrzymać powiadomienie e-mail lub zobaczyć alert w Control Hub, że certyfikat dostawcy tożsamości wygaśnie. Ponieważ dostawcy dostawcy dostawcy tożsamości mają własną specjalną dokumentację dotyczącą odnawiania certyfikatów, obsługujemy to, co jest wymagane w Control Hub, wraz z ogólnymi krokami mającymi na celu pobranie zaktualizowanych metadanych dostawcy tożsamości i przesłanie ich do Control Hub w celu odnowienia certyfikatu. Ma to zastosowanie tylko do konfiguracji SAML. |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. | ||||
| 2 | Przejdź do karty Dostawca tożsamości. | ||||
| 3 | Przejdź do dostawcy tożsamości, kliknij Aby pobrać plik metadanych, kliknij
 i wybierz opcję Pobierz metadane Idp. | ||||
| 4 | Przejdź do interfejsu zarządzania dostawcy tożsamości, aby pobrać nowy plik metadanych. | ||||
| 5 | Wróć do Control Hub i przeciągnij i upuść plik metadanych IdP do obszaru przesyłania lub kliknij opcję Wybierz plik, aby przesłać metadane. | ||||
| 6 | Wybierz Mniej bezpieczne (własnoręcznie podpisane) lub Bardziej bezpieczne (podpisane przez publiczny urząd certyfikacji), w zależności od sposobu podpisywania metadanych dostawcy tożsamości i kliknij przycisk Zapisz. | ||||
| 7 | Skonfiguruj ustawienia Just In Time (JIT) i odpowiedź mapowania SAML. W tym artykule Skonfiguruj mapowanie Just In Time (JIT) i SAML na karcie Zarządzaj swoimi dostawcami tożsamości.
| ||||
| 8 | Kliknij opcję Testuj konfigurację logowania SSO, a gdy otworzy się nowa karta przeglądarki, uwierzytelnij się przy użyciu dostawcy tożsamości, logując się.
| ||||
| 9 | Kliknij opcję Zapisz. |
i wybierz opcję Przed rozpoczęciem
| Podczas odnawiania certyfikatu SP zaleca się zaktualizowanie wszystkich dostawców tożsamości w organizacji. Ma to zastosowanie tylko do konfiguracji SAML. |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. | ||
| 2 | Przejdź do karty Dostawca tożsamości. | ||
| 3 | Przejdź do dostawcy tożsamości i kliknij | ||
| 4 | Kliknij opcję Sprawdź certyfikaty i datę ważności. Spowoduje to przejście do okna certyfikatów dostawcy usług (SP) .
| ||
| 5 | Kliknij Odnów certyfikat. | ||
| 6 | Wybierz typ dostawcy tożsamości w swojej organizacji:
| ||
| 7 | Wybierz typ certyfikatu odnowienia:
| ||
| 8 | Kliknij opcję Pobierz metadane lub Pobierz certyfikat, aby pobrać kopię zaktualizowanego pliku metadanych lub certyfikatu z chmury Webex. | ||
| 9 | Przejdź do interfejsu zarządzania dostawcy tożsamości, aby przesłać nowy plik lub certyfikat metadanych Webex. Ten krok można wykonać za pomocą karty przeglądarki, protokołu zdalnego pulpitu (RDP) lub za pomocą określonej obsługi dostawcy chmury, w zależności od konfiguracji dostawcy tożsamości i tego, czy Ty lub inny administrator dostawcy tożsamości są odpowiedzialni za ten krok. Aby uzyskać więcej informacji, zobacz nasze przewodniki integracji SSO lub skontaktuj się z administratorem dostawcy tożsamości, aby uzyskać pomoc. Jeśli korzystasz z usług federacji usług Active Directory (AD FS), możesz zobaczyć, jak zaktualizować metadane Webex w AD FS | ||
| 10 | Wróć do interfejsu Control Hub i kliknij przycisk Dalej. | ||
| 11 | Wybierz opcję Pomyślnie zaktualizowano wszystkie dostawcy tożsamości i kliknij przycisk Dalej. To przesyła plik metadanych SP lub certyfikat do wszystkich dostawców tożsamości w organizacji. | ||
| 12 | Kliknij przycisk Zakończ odnowienie. |
.Przed rozpoczęciem
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. | ||||
| 2 | Przejdź do karty Dostawca tożsamości. | ||||
| 3 | Przejdź do dostawcy tożsamości i kliknij | ||||
| 4 | Wybierz opcję Testuj dostawcę tożsamości. | ||||
| 5 | Kliknij opcję Testuj konfigurację logowania SSO, a gdy otworzy się nowa karta przeglądarki, uwierzytelnij się przy użyciu dostawcy tożsamości, logując się.
| ||||
| 6 | Wróć do karty przeglądarki Control Hub.
|
.Przed rozpoczęciem
Upewnij się, że spełnione są następujące warunki wstępne:
SSO jest już skonfigurowane.
Domeny zostały już zweryfikowane.
Domeny są zgłaszane i włączane. Ta funkcja zapewnia tworzenie i aktualizowanie użytkowników z domeny za każdym razem, gdy uwierzytelniają się przy użyciu dostawcy tożsamości.
Jeśli funkcja DirSync lub Azure AD jest włączona, utworzenie lub aktualizacja SAML JIT nie będzie działać.
Włączono opcję „Zablokuj aktualizację profilu użytkownika”. Mapowanie aktualizacji SAML jest dozwolone, ponieważ ta konfiguracja kontroluje zdolność użytkownika do edytowania atrybutów. Kontrolowane przez administratora metody tworzenia i aktualizacji są nadal obsługiwane.
| Podczas konfigurowania SAML JIT w usłudze Azure AD lub IdP, gdy wiadomość e-mail nie jest stałym identyfikatorem, zalecamy korzystanie z Nowo utworzeni użytkownicy nie otrzymają automatycznie przypisanych licencji, chyba że organizacja ma skonfigurowany automatyczny szablon licencji . |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 | Przejdź do karty Dostawca tożsamości. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 | Przejdź do dostawcy tożsamości i kliknij | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 | Wybierz opcję Edytuj mapowanie SAML. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 | Skonfiguruj ustawienia Just-in-Time (JIT).
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 | Skonfiguruj wymagane atrybuty mapowania SAML.
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 | Skonfiguruj atrybuty łączące. Powinno to być unikalne dla użytkownika. Służy do wyszukiwania użytkownika, dzięki czemu Webex może aktualizować wszystkie atrybuty profilu, w tym adres e-mail użytkownika.
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 | Skonfiguruj atrybuty profilu.
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 | Skonfiguruj atrybuty numeru wewnętrznego. Mapuj te atrybuty do atrybutów rozszerzonych w usłudze Active Directory, w usłudze Azure lub w katalogu, aby uzyskać kody monitorowania.
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 | Skonfiguruj atrybuty grupy.
Aby uzyskać listę atrybutów Afirmacji SAML dla Webex Meetings, zobacz https://help.webex.com/article/WBX67566. |
Przed rozpoczęciem
| Zaleca się, aby najpierw dezaktywować lub usunąć reguły trasowania dostawcy tożsamości przed usunięciem dostawcy tożsamości. |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. |
| 2 | Przejdź do karty Dostawca tożsamości. |
| 3 | Przejdź do dostawcy tożsamości i kliknij |
| 4 | Wybierz pozycję Usuń. |
| 1 | Z widoku klienta w https://admin.webex.com, przejdź do , przewiń do uwierzytelniania i kliknij Zarządzaj SSO i dostawcy tożsamości. |
| 2 | Przejdź do karty Dostawca tożsamości. |
| 3 | Kliknij opcję Dezaktywuj logowanie SSO. Potwierdź dezaktywację logowania jednokrotnego. |
Po potwierdzeniu SSO jest dezaktywowane dla wszystkich dostawców tożsamości w organizacji.
Przed wygaśnięciem certyfikatów otrzymasz alerty w Control Hub, ale możesz również aktywnie skonfigurować reguły alertów. Te zasady informują z wyprzedzeniem, że certyfikaty SP lub IdP wygasną. Możemy wysłać je do Ciebie za pośrednictwem poczty e-mail, obszaru w aplikacji Webex lub obu.
| Niezależnie od skonfigurowanego kanału dostawy wszystkie alerty zawsze pojawiają się w Control Hub. Aby uzyskać więcej informacji, zobacz Centrum alertów w Control Hub. |
| 1 | Z widoku klienta w https://admin.webex.com przejdź do centrum alertów. | ||
| 2 | Wybierz Zarządzaj , a następnie Wszystkie reguły. | ||
| 3 | Z listy reguł wybierz dowolną regułę logowania jednokrotnego, którą chcesz utworzyć:
| ||
| 4 | W sekcji Kanał dostawy zaznacz pole wyboru E-mail, obszar Webex lub oba. Jeśli wybierzesz opcję E-mail, wprowadź adres e-mail, który powinien otrzymać powiadomienie.
| ||
| 5 | Zapisz zmiany. |
Co zrobić dalej
Wysyłamy alerty o wygaśnięciu certyfikatu raz na 15 dni, począwszy od 60 dni przed wygaśnięciem. (Alerty można oczekiwać w 60., 45., 30. i 15. dniu). Alerty kończą się po odnowieniu certyfikatu.
Jeśli napotkasz problemy z logowaniem jednokrotnym, możesz użyć opcji samoodzyskiwania jednokrotnego, aby uzyskać dostęp do swojej organizacji Webex zarządzanej w Control Hub. Opcja automatycznego odzyskiwania umożliwia aktualizację lub wyłączanie logowania jednokrotnego w Control Hub.
