Z widoku klienta whttps://admin.webex.com , przejdź do Zarządzanie > Ustawienia organizacji , a następnie przewiń do Uwierzytelnianie , a następnie włącz Jednokrotne logowanie ustawienia, aby uruchomić kreatora konfiguracji.

Wybierz typ certyfikatu dla swojej organizacji:

• Z podpisem własnym Cisco — Zalecamy ten wybór. Pozwól nam podpisać certyfikat, abyś mógł go odnawiać tylko raz na pięć lat.
• Podpisane przez publiczny urząd certyfikacji — Bezpieczniejsze, ale konieczne jest częste aktualizowanie metadanych (chyba że dostawca dostawcy tożsamości obsługuje kotwice zaufania).

Kotwice zaufania to klucze publiczne, które pełnią funkcję autoryzacji weryfikacji certyfikatu podpisu cyfrowego. Aby uzyskać więcej informacji, zapoznaj się z dokumentacją dostawcy tożsamości.

Pobierz plik metadanych.

Zaloguj się do serwera ADFS z uprawnieniami administratora.

Otwórz konsolę zarządzania ADFS i przejdź do Relacje zaufania > Zaufanie stron > Dodaj Zaufanie stron.

W oknie Dodaj kreatora zaufania partyjnego wybierz Start.

W celu wybrania źródła danych wybierz opcję Importuj dane o stronie polegającej z pliku, przejdź do pobranego pliku metadanych Control Hub i wybierz opcję Dalej.

W celu Określenia nazwy wyświetlanej utwórz nazwę wyświetlaną dla tego zaufania partyjnego, takiego jak Webex, i wybierz opcję Dalej.

Aby wybrać reguły autoryzacji emisji, wybierz opcję Zezwalaj wszystkim użytkownikom na dostęp do tej strony polegającej, a następnie wybierz opcję Dalej.

Aby Gotowe do dodania zaufania, wybierz Następny i zakończyć dodawanie zaufania polegającego do ADFS.

W głównym okienku ADFS wybierz utworzoną relację zaufania, a następnie wybierz opcję Edytuj reguły reklamacji. Na karcie Reguły zmiany emisji wybierz opcję Dodaj regułę.

W kroku Wybierz typ reguły wybierz opcję Wyślij atrybuty LDAP jako roszczenia, a następnie wybierz Dalej.

1. Wprowadź nazwę reguły roszczenia.

2. Wybierz Active Directory jako sklep z atrybutami.

3. Mapuj atrybut E-mail-Adresses LDAP do identyfikatora wychodzącego typu reklamacji.

   Ta reguła informuje ADFS, które pola mają być mapowane do Webex w celu identyfikacji użytkownika. Wypisuj wychodzące typy zgłoszeń dokładnie tak, jak pokazano.

4. Zapisz zmiany.

Ponownie wybierz opcję Dodaj regułę, wybierz Wyślij reklamacje przy użyciu reguły niestandardowej, a następnie wybierz Dalej.

1. Otwórz edytor tekstu i skopiuj następującą treść.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Zastąp następujące adresy URL1 i URL2 w tekście:

   • Adres URL1 to identyfikator uprawnień z pobranego pliku metadanych ADFS.

     Na przykład poniżej znajduje się próbka tego, co widzisz: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Skopiuj tylko entityID z pliku metadanych ADFS i wklej go do pliku tekstowego, aby zastąpić adres URL1

   • Adres URL2 znajduje się na pierwszej linii w pobranym pliku metadanych Webex.

     Na przykład poniżej znajduje się próbka tego, co widzisz: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Skopiuj odpowiedni identyfikator z pliku metadanych Webex i wklej go do pliku tekstowego, aby zastąpić adres URL2.

2. Za pomocą zaktualizowanych adresów URL skopiuj regułę z edytora tekstu (zaczynając od „c:”) i wklej ją do niestandardowego pola reguł na serwerze ADFS.

   Wypełniona reguła powinna wyglądać następująco:

   

3. Wybierz Zakończ , aby utworzyć regułę, a następnie opuść okno Edytuj reguły reklamacji.

Wybierz Relying Party Trust w oknie głównym, a następnie wybierz Properties w prawym okienku.

Gdy pojawi się okno Właściwości, przejdź do karty Zaawansowane , SHA-256, a następnie wybierz OK , aby zapisać zmiany.

Przejdź do następującego adresu URL na wewnętrznym serwerze ADFS, aby pobrać plik: https://<AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

Może być konieczne kliknięcie prawym przyciskiem myszy strony i wyświetlenie źródła strony, aby uzyskać odpowiednio sformatowany plik XML.

Zapisz plik na komputerze lokalnym.

Wybierz jedną z nich:

• Wróć do Control Hub — strona wyboru certyfikatu w przeglądarce, a następnie kliknij Dalej .
• Jeśli Control Hub nie jest już otwarty na karcie przeglądarki, w widoku klienta whttps://admin.webex.com , przejdź do Zarządzanie > Ustawienia organizacji , przewiń do Uwierzytelnianie , a następnie wybierz Działania > Importuj metadane .

Na stronie Importowanie metadanych dostawcy tożsamości przeciągnij i upuść plik metadanych dostawcy tożsamości na stronę lub użyj opcji przeglądarki plików, aby zlokalizować i przesłać plik metadanych. Kliknij przycisk Dalej.

Należy użyć Bardziej bezpieczne opcję, jeśli możesz. Jest to możliwe tylko wtedy, gdy dostawca tożsamości używał publicznego urzędu certyfikacji do podpisywania metadanych.

We wszystkich innych przypadkach należy użyć przycisku Mniej bezpieczne opcja. Dotyczy to również sytuacji, w których metadane nie są podpisane, samopodpisane ani podpisane przez prywatny urząd certyfikacji.

Okta nie podpisuje metadanych, więc należy wybrać Mniej bezpieczne dla integracji Okta SSO .

Wybierz Przetestuj konfigurację SSO , a po otwarciu nowej karty przeglądarki uwierzytelnij się u dostawcy tożsamości, logując się.

Jeśli pojawi się błąd uwierzytelniania, może to oznaczać problem z poświadczeniami. Sprawdź nazwę użytkownika i hasło, a następnie spróbuj ponownie. Błąd aplikacji Webex zwykle oznacza problem z konfiguracją SSO . W takim przypadku ponownie wykonaj kroki, zwłaszcza te, w których kopiujesz i wklejasz metadane usługi Control Hub do konfiguracji dostawcy tożsamości.

Aby bezpośrednio wyświetlić środowisko logowania SSO, można również kliknąć na tym ekranie opcję Skopiuj adres URL do schowka i wkleić skopiowany adres w oknie przeglądarki w trybie prywatnym. W tym oknie można przejść przez proces logowania SSO. Ten krok zatrzymuje fałszywe alarmy z powodu tokenu dostępu, który może znajdować się w istniejącej sesji po zalogowaniu.

Wróć do karty przeglądarki Control Hub.

• Jeśli test zakończył się pomyślnie, wybierz Test zakończony powodzeniem. Włącz SSO i kliknij Dalej .
• Jeśli test zakończył się niepowodzeniem, wybierz Test nie powiódł się. Wyłącz SSO i kliknij Dalej .

Konfiguracja SSO nie zacznie obowiązywać w organizacji, chyba że wybierzesz pierwszy przycisk radiowy i aktywujesz SSO.

Zaloguj się do serwera ADFS z uprawnieniami administratora.

Prześlij plik metadanych SAML z Webex do tymczasowego folderu lokalnego na serwerze ADFS, np. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Otwórz program Powershell.

Uruchom Get-AdfsRelyingPartyTrust aby przeczytać wszystkie relacje zaufania strony ufającej.

Uruchom Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Webex".

Pamiętaj, aby zastąpić nazwę pliku i nazwę docelową poprawnymi wartościami ze środowiska.

Zobacz https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.

Jeśli pobrano 5-letni certyfikat Webex SP i masz włączone odwoływanie certyfikatów podpisywania lub szyfrowania, musisz uruchomić te dwa polecenia: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None -TargetName "Webex".

Zaloguj się do Control Hub, a następnie przetestuj integrację SSO :

1. Przejdź do Zarządzanie > Ustawienia organizacji , przewiń do Uwierzytelnianie i włącz Jednokrotne logowanie ustawienia, aby uruchomić kreatora konfiguracji.

2. Kliknij Dalej , aby pominąć stronę Importowanie metadanych dostawcy tożsamości.

   Nie musisz powtarzać tego kroku, ponieważ wcześniej zaimportowano metadane dostawcy tożsamości.

3. Przetestuj połączenie SSO przed jego włączeniem. Ten krok działa jak przebieg próbny i nie ma wpływu na ustawienia organizacji, dopóki nie zostanie włączone logowanie SSO w następnym kroku.

   Aby bezpośrednio wyświetlić środowisko logowania SSO, można również kliknąć na tym ekranie opcję Skopiuj adres URL do schowka i wkleić skopiowany adres w oknie przeglądarki w trybie prywatnym. W tym oknie można przejść przez proces logowania SSO. Pomaga to usunąć z pamięci podręcznej przeglądarki internetowej informacje, które mogą dawać wyniki fałszywie dodatnie podczas testowania konfiguracji logowania SSO.

4. Zaloguj się, aby ukończyć test.