Logowanie jednokrotne i Control Hub

Z widoku klienta w programie https://admin.webex.com, przejdź do pozycji Zarządzanie > Ustawienia organizacji , a następnie przewiń do pozycji Uwierzytelnianie, a następnie włącz ustawienie Logowanie jednokrotne, aby uruchomić kreatora instalacji.

Wybierz typ certyfikatu dla swojej organizacji:

• Podpis własny firmy Cisco— zalecamy ten wybór. Pozwól nam podpisać certyfikat, więc musisz go odnawiać tylko raz na pięć lat.
• Podpisane przez publiczny urząd certyfikacji— bezpieczniejsze, ale trzeba będzie często aktualizować metadane (chyba że dostawca dostawcy tożsamości obsługuje kotwice zaufania).

Kotwice zaufania to klucze publiczne, które działają jako urząd do weryfikacji certyfikatu podpisu cyfrowego. Aby uzyskać więcej informacji, zapoznaj się z dokumentacją dostawcy tożsamości.

Pobierz plik metadanych.

Zaloguj się do serwera ADFS z uprawnieniami administratora.

Otwórz konsolę zarządzania programu ADFS i przejdź do pozycji Relacje zaufania > relacje zaufania jednostki uzależnionej > Dodaj zaufanie jednostki uzależnionej.

W oknie Kreator dodawania zaufania jednostki uzależnionej wybierz pozycję Uruchom.

W obszarze Wybierz źródło danych wybierz pozycję Importuj dane o jednostce uzależnionej z pliku, przejdź do pobranego pliku metadanych centrum sterowania, a następnie wybierz pozycję Dalej.

W polu Określ nazwęwyświetlaną utwórz nazwę wyświetlaną dla tej relacji zaufania jednostki uzależnionej, na przykład Webex, i wybierz przycisk Dalej.

W obszarze Wybierz reguły autoryzacji wystawianiawybierz pozycję Zezwalaj wszystkim użytkownikom na dostęp do tej jednostki uzależnionej,a następnie wybierz pozycję Dalej.

W obszarze Dododania zaufania wybierz pozycję Dalej i zakończ dodawanie zaufania polegającego do programu ADFS.

W głównym okienku programu ADFS wybierz utworzoną relację zaufania, a następnie wybierz pozycję Edytuj regułyoświadczeń. Na karcie Reguły przekształcania wystawiania wybierz pozycję Dodaj regułę.

W kroku Wybierz typ reguły wybierz opcję Wyślij atrybuty LDAP jako oświadczenia, a następnie wybierz pozycję Dalej.

1. Wprowadź nazwę reguły roszczenia.

2. Wybierz usługę Active Directory jako magazyn atrybutów.

3. Zamapuj atrybut LDAP Adresy e-mail na typ oświadczenia wychodzącego uid.

   Ta reguła informuje program ADFS, które pola mają zostać zamapowane na Webex w celu zidentyfikowania użytkownika. Przeliteruj typy oświadczeń wychodzących dokładnie tak, jak pokazano.

4. Zapisz zmiany.

Ponownie wybierz pozycję Dodajregułę, wybierz pozycję Wyślij oświadczenia przy użyciu reguły niestandardowej, a następnie wybierz pozycję Dalej .

1. Otwórz edytor tekstu i skopiuj następującą zawartość.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Zastąp adresy URL1 i URL2 w tekście w następujący sposób:

   • Adres URL1 to identyfikator jednostki z pobranego pliku metadanych programu ADFS.

     Na przykład poniżej przedstawiono przykład tego, co widzisz: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Skopiuj tylko identyfikator jednostki z pliku metadanych programu ADFS i wklej go w pliku tekstowym, aby zastąpić adres URL1

   • Adres URL2 znajduje się w pierwszym wierszu pobranego pliku metadanych Webex.

     Na przykład poniżej przedstawiono przykład tego, co widzisz: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Skopiuj tylko entityID z pliku metadanych Webex i wklej go w pliku tekstowym, aby zastąpić ADRES URL2.

2. Po zaktualizowaniu adresów URL skopiuj regułę z edytora tekstu (zaczynając od "c:") i wklej ją do pola reguły niestandardowej na serwerze ADFS.

   Wypełniona reguła powinna wyglądać następująco:

   

3. Wybierz pozycję Zakończ, aby utworzyć regułę, a następnie zamknij okno Edytowanie reguł oświadczeń.

Wybierz pozycję Zaufanie jednostki uzależnionej w oknie głównym, a następnie wybierz pozycję Właściwości w prawym okienku.

Po wyświetleniu okna Właściwości przejdź do karty Zaawansowane, SHA-256, a następnie wybierz przycisk OK, aby zapisać zmiany.

Przejdź do następującego adresu URL na wewnętrznym serwerze ADFS, aby pobrać plik: https:// serwer__>/FederationMetadata/2007-06/FederationMetadata.xml

Może być konieczne kliknięcie prawym przyciskiem myszy strony i wyświetlenie źródła strony, aby uzyskać poprawnie sformatowany plik XML.

Zapisz plik na komputerze lokalnym.

Wybierz jedną z nich:

• Wróć do strony Control Hub — wybór certyfikatu w przeglądarce, a następnie kliknij przycisk Dalej.
• Jeśli centrum sterowania nie jest już otwarte na karcie przeglądarki, w widoku klienta w programie przejdź do https://admin.webex.compozycji Zarządzanie > Ustawieniaorganizacji, przewiń do pozycji Uwierzytelnianie, a następnie wybierzpozycję Akcje > importuj metadane.

Na stronie Importowanie metadanych dostawcy tożsamości przeciągnij i upuść plik metadanych dostawcy tożsamości na stronę lub użyj opcji przeglądarki plików, aby zlokalizować i przekazać plik metadanych. Kliknij przycisk Dalej.

Wybierz pozycję Testuj konfigurację logowaniajednokrotnego, a gdy otworzy się nowa karta przeglądarki, uwierzytelnij się przy użyciu dostawcy tożsamości, logując się.

Jeśli zostanie wyświetlony błąd uwierzytelniania, może to oznaczać problem z poświadczeniami. Sprawdź nazwę użytkownika i hasło i spróbuj ponownie. Błąd aplikacji Webex zwykle oznacza problem z konfiguracją logowania jednokrotnego. W takim przypadku należy ponownie wykonać kroki, zwłaszcza kroki, w których kopiujesz i wklejasz metadane centrum sterowania do konfiguracji dostawcy tożsamości.

Aby bezpośrednio wyświetlić logowanie jednokrotne, możesz też kliknąć opcję Kopiuj adres URL do schowka z tego ekranu i wkleić go w prywatnym oknie przeglądarki. Stamtąd możesz przejść przez proces logowania jednokrotnego. Ten krok zatrzymuje fałszywe alarmy z powodu tokenu dostępu, który może znajdować się w istniejącej sesji po zalogowaniu.

Wróć do karty przeglądarki Control Hub.

• Jeśli test zakończył się pomyślnie, wybierz opcję Test pomyślny. Włącz logowanie jednokrotne i kliknij przycisk Dalej .
• Jeśli test zakończył się niepowodzeniem, wybierz opcję Test nieudany. Wyłącz logowanie jednokrotne i kliknij przycisk Dalej .

Konfiguracja logowania jednokrotnego nie zostanie zastosowana w organizacji, chyba że wybierzesz pierwszy przycisk radiowy i aktywujesz logowanie jednokrotne.

Zaloguj się do serwera usług AD FS z uprawnieniami administratora.

Prześlij plik metadanych SAML z Webex do tymczasowego folderu lokalnego na serwerze AD FS, np. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Otwórz program Powershell.Open Powershell.

Uruchom Get-AdfsRelyingPartyTrust, aby odczytać wszystkie relacje zaufania jednostek uzależnionych.

Uruchom Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

Pamiętaj, aby zastąpić nazwę pliku i nazwę obiektu docelowego poprawnymi wartościami ze środowiska.

Zobacz https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.

Jeśli po pobraniu certyfikatu Webex SP 5 lat i masz włączone podpisywanie lub odwoływanie certyfikatów szyfrowania, musisz uruchomić następujące dwa polecenia: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Zaloguj się do centrumsterowania, a następnie przetestuj integrację logowania jednokrotnego:

1. Przejdź do obszaru Zarządzanie > Ustawienia organizacji , przewiń do kategorii Uwierzytelnianie i włącz ustawienie Logowaniejednokrotne, aby uruchomić kreatora konfiguracji.

2. Kliknij przycisk Dalej, aby pominąć stronę Importowanie metadanych dostawcy tożsamości.

   Nie musisz powtarzać tego kroku, ponieważ wcześniej zaimportowano metadane dostawcy tożsamości.

3. Przetestuj połączenie logowania jednokrotnego przed jego włączeniem. Ten krok działa jak suchy przebieg i nie wpływa na ustawienia organizacji, dopóki nie włączysz logowania jednokrotnego w następnym kroku.

   Aby bezpośrednio wyświetlić logowanie jednokrotne, możesz też kliknąć opcję Kopiuj adres URL do schowka z tego ekranu i wkleić go w prywatnym oknie przeglądarki. Stamtąd możesz przejść przez proces logowania jednokrotnego. Pomaga to usunąć wszelkie informacje buforowane w przeglądarce internetowej, które mogą dostarczyć fałszywie pozytywny wynik podczas testowania konfiguracji logowania jednokrotnego.

4. Zaloguj się, aby ukończyć test.