SSO com vários IdPs no Webex

O logon único (SSO) permite que os usuários entrem no Webex com segurança, autenticando-se no provedor de identidade comum da sua organização. Um provedor de identidade (IdP) armazena e gerencia com segurança as identidades digitais de seus usuários e fornece o serviço de autenticação de usuário para seus usuários Webex.

Por que você pode precisar de vários IdPs

Muitas grandes empresas passam por fusões e aquisições, e essas empresas raramente têm a mesma infraestrutura de TI e provedores de identidade. As instituições governamentais têm várias organizações e agências sob seu comando. Muitas vezes, essas organizações têm um único endereço de e-mail para seus próprios departamentos de TI e infraestrutura, respectivamente. As principais instituições educacionais têm um departamento central de compras, mas diferentes universidades e faculdades com diferentes organizações e departamentos de TI.

É comum ver IdPs e provedores de serviços (SPs) se federarem entre si. O IdP é responsável por autenticar as credenciais de seus usuários e o SP confia na autenticação feita pelo IdP. Isso permite que seus usuários acessem vários aplicativos e serviços SaaS usando a mesma identidade digital. Mas, se por algum motivo sua organização não conseguir se federar entre os IdPs, o Webex fornece uma solução alternativa para oferecer suporte a vários IdPs. Por esses motivos, estamos oferecendo a opção de configurar o SSO para vários IdPs no Webex e simplificar o processo de autenticação de seus usuários.

Limitações

Todos os usuários devem ser provisionados com o Directory Connector se você estiver usando o Directory Connector em sua organização. Consulte o guia de implantação do Directory Connector para obter mais informações.

Atualmente, oferecemos suporte apenas a SAML, OpenID Connect e Webex Identity como provedores de identidade.

Fora do escopo

Configure tarefas em grupo.

Verificação de domínio. Consulte Gerenciar seus domínios para obter mais informações.

Provisionamento de usuários. Consulte Maneiras de adicionar usuários à sua organização do Control Hub para obter mais informações.

Esta seção aborda como você pode integrar seus provedores de identidade (IdP) à sua organização Webex . Você pode escolher os IdPs que melhor atendem aos requisitos da sua organização.

Se você está procurando a integração SSO de um Webex Meetings site (gerenciado na administração do site), consulte Configurar login único para administração do Webex.

Pré-requisitos

Antes de começar

Certifique-se de que as seguintes condições sejam atendidas:

Você deve ter uma função de administrador completo no Control Hub.

Um arquivo de metadados do IdP para fornecer ao Webex e um arquivo de metadados do Webex, para fornecer ao IdP. Para obter mais informações, consulte Integração de logon único no Control Hub. Isso só se aplica à configuração SAML.

Você deve planejar o comportamento das regras de roteamento antes de configurar vários IdPs.

A regra de roteamento padrão é aplicada quando você configura seu IdP inicial. Mas você pode definir outro IdP como padrão. Consulte Adicionar ou editar regra de roteamento na guia Regras de roteamento neste artigo.

Configurar SAML

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade e clique em Ativar SSO.
4	Selecione SAML como seu IdP e clique em Avançar.
5	Escolha o tipo de certificado: Autoassinado pela Cisco — Recomendamos essa opção. Vamos assinar o certificado para que você só precise renová-lo uma vez a cada cinco anos. Assinado por uma autoridade de certificação pública — mais seguro, mas você precisará atualizar os metadados com frequência.
6	Clique em Baixar metadados e clique em Avançar. O nome do arquivo de metadados do aplicativo Webex é idb-meta- -SP.xml. <org-ID>
7	Faça upload do arquivo de metadados do IdPs ou preencha o formulário de configuração. Ao fazer o upload do arquivo de metadados, há duas maneiras de validar os metadados do IdP do cliente: O IdP do cliente fornece uma assinatura nos metadados que é assinada por uma CA raiz pública. O IdP do cliente fornece uma CA privada autoassinada ou não fornece uma assinatura para seus metadados. Essa opção é menos segura. Caso contrário, no formulário de configuração, insira as informações do IdP. Clique em Avançar.
8	`(Opcional) Você pode alterar o nome do atributo SAML para nome de usuário Webex ou endereço de e-mail principal de uid para algo acordado com o gerente do IdP, como e-mail, upn etc.`
9	(Opcional) Defina as configurações do Just In Time (JIT) e a resposta do mapeamento SAML. Consulte Configurar Just In Time (JIT) e mapeamento SAML na guia Gerenciar seus IdPs neste artigo.
10	Clique em Testar configuração de SSO e, quando uma nova guia do navegador for aberta, autentique-se com o IdP fazendo login. Teste a conexão SSO antes de habilitá-la. Essa etapa funciona sem problemas e não afeta as configurações da sua organização até que você habilite o SSO na próxima etapa. Se você receber um erro de autenticação, pode haver um problema com as credenciais. Verifique o nome de usuário e a senha e tente novamente. Um erro do aplicativo Webex geralmente significa um problema com a configuração do SSO. Nesse caso, percorra as etapas novamente, especialmente as etapas em que você copia e cola os metadados do Control Hub na configuração do IdP. Para ver a experiência de login com SSO, recomendamos que você clique em Copiar URL para a área de transferência a partir dessa tela e colá-la em uma janela privada do navegador. A partir daí, você pode prosseguir com o login com o SSO. Isso ajuda a remover qualquer informação armazenada em cache em seu navegador da Web que possa fornecer um resultado falso positivo ao testar sua configuração de SSO.
11	Retorne à guia do navegador Control Hub. Se o teste foi bem-sucedido, selecione Teste bem-sucedido. Ative o SSO e o IdP e clique em Ativar. Se o teste não tiver sido bem-sucedido, selecione Teste malsucedido. Volte às etapas anteriores para corrigir os erros. A configuração do SSO não entra em vigor na sua organização, a menos que você escolha o primeiro botão de rádio e ative o SSO.

O que fazer a seguir

Você pode configurar uma regra de roteamento. Consulte Adicionar ou editar regra de roteamento na guia Regras de roteamento neste artigo.

Você pode seguir o procedimento em Suprimir e-mails automatizados para desativar e-mails enviados para novos usuários do aplicativo Webex em sua organização. O documento também contém as melhores práticas para enviar comunicações aos usuários da sua organização.

Configurar o OpenID Connect

Ao configurar o OpenID Connect com o Entra ID ou um IdP em que o e-mail não seja um identificador permanente, recomendamos que você use o atributo de vinculação ExternalID para mapear um identificador exclusivo. Para o Entra ID, sugerimos mapear o OIDC para o ExternalID. Se descobrirmos que o e-mail não corresponde ao atributo de vinculação, o usuário será solicitado a verificar sua identidade ou criar um novo usuário com o endereço de e-mail correto.

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade e clique em Ativar SSO.
4	Selecione OpenID Connect como seu IdP e clique em Avançar.
5	Insira suas informações de IdP. Nome — O nome para identificar seu IdP. ID do cliente — ID exclusiva para identificar você e seu IdP. Segredo do cliente — A senha que você e seu IdP conhecem. Escopos — Os escopos a serem associados ao seu IdP.
6	(Opcional) Ative a configuração Permitir chave de prova para troca de código (PKCE) para configurar seu OIDC IdP com essa extensão de segurança. Isso fortalece a segurança do aplicativo cliente e garante a compatibilidade com os usuários que precisam dela.
7	Escolha como adicionar endpoints. Isso pode ser feito automaticamente ou manualmente. Use o URL de descoberta para adicionar endpoints automaticamente. Insira o URL de descoberta do seu IdP. Esse URL preencherá automaticamente os endpoints necessários para o logout único (SLO) do OIDC. Ative Permitir que a sessão saia automaticamente para garantir que os usuários sejam desconectados em todos os aplicativos e serviços conectados quando saírem do Webex. Se você preferir adicionar manualmente todas as informações do endpoint, adicione os detalhes a seguir. Emissor — Insira o URL do emissor conforme especificado pelo seu IdP. Ponto final de autorização — insira a URL do ponto final de autorização. Ponto final do token — insira a URL do ponto final do token. Endpoint JWKS — Insira a URL do JSON Web Key Set (JWKS). Endpoint Userinfo — Insira a URL para o endpoint de informações do usuário. Se a opção Permitir que a sessão saia automaticamente estiver ativada, você deverá inserir a URL do endpoint de saída da sessão para ativar o logout único (SLO) em todos os aplicativos conectados. Para obter mais informações, consulte o guia de configuração do OpenID Connect.
8	(Opcional) Defina as configurações do Just In Time (JIT). Consulte Configurar Just In Time (JIT) e mapeamento SAML na guia Gerenciar seus IdPs neste artigo.
9	Clique em Testar configuração de SSO e, quando uma nova guia do navegador for aberta, autentique-se com o IdP fazendo login. Teste a conexão SSO antes de habilitá-la. Essa etapa funciona sem problemas e não afeta as configurações da sua organização até que você habilite o SSO na próxima etapa. Se você receber um erro de autenticação, pode haver um problema com as credenciais. Verifique o nome de usuário e a senha e tente novamente. Um erro do aplicativo Webex geralmente significa um problema com a configuração do SSO. Nesse caso, percorra as etapas novamente, especialmente as etapas em que você copia e cola os metadados do Control Hub na configuração do IdP. Para ver a experiência de login com SSO, recomendamos que você clique em Copiar URL para a área de transferência a partir dessa tela e colá-la em uma janela privada do navegador. A partir daí, você pode prosseguir com o login com o SSO. Isso ajuda a remover qualquer informação armazenada em cache em seu navegador da Web que possa fornecer um resultado falso positivo ao testar sua configuração de SSO.
10	Retorne à guia do navegador Control Hub. Se o teste foi bem-sucedido, selecione Teste bem-sucedido. Ative o SSO e o IdP e clique em Ativar. Se o teste não tiver sido bem-sucedido, selecione Teste malsucedido. Volte às etapas anteriores para corrigir os erros. A configuração do SSO não entra em vigor na sua organização, a menos que você escolha o primeiro botão de rádio e ative o SSO.

O que fazer a seguir

Você pode configurar uma regra de roteamento. Consulte Adicionar ou editar regra de roteamento na guia Regras de roteamento neste artigo.

Configurar o Webex Identity

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade e clique em Ativar SSO.
4	Selecione Webex como seu IdP e clique em Avançar.
5	Verifique se li e entendi como o Webex IdP funciona e clique em Avançar.
6	Configure uma regra de roteamento. Consulte Adicionar ou editar regra de roteamento na guia Regras de roteamento neste artigo.

Depois de adicionar uma regra de roteamento, seu IdP é adicionado e exibido na guia Provedor de identidade.

O que fazer a seguir

As regras de roteamento são aplicáveis ao configurar mais de um IdP. As regras de roteamento permitem que o Webex identifique para qual IdP enviar seus usuários quando você tiver configurado vários IdPs.

Ao configurar mais de um IdP, você pode definir suas regras de roteamento no assistente de configuração de SSO. Se você pular a etapa da regra de roteamento, o Control Hub adicionará o IdP, mas não ativará o IdP. Você deve adicionar uma regra de roteamento para ativar o IdP.

Adicionar ou editar regras de roteamento

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Regras de roteamento. Ao configurar seu primeiro IdP, a regra de roteamento é adicionada automaticamente e definida como a regra padrão. Você pode escolher outro IdP para definir como regra padrão posteriormente.
4	Clique em Adicionar nova regra de roteamento.
5	Insira os detalhes de uma regra de roteamento: Nome da regra — Insira o nome da regra de roteamento. Selecione um tipo de roteamento — Selecione domínio ou grupo. Se esses forem seus domínios/grupos, insira os domínios/grupos em sua organização. Em seguida, use esse provedor de identidade — selecione o IdP.
6	Selecione o método de autenticação multifator (MFA): Manter o status atual da MFA — permite que você mantenha o método de MFA existente sem fazer alterações. Substituir o status atual da MFA — Permite que você altere o método de MFA existente para uma nova configuração. Permitir o MFA somente para essa regra — ative para habilitar o MFA especificamente para a regra de roteamento atual. Para obter mais informações sobre como configurar a MFA para sua organização, consulte Habilitar a integração de autenticação multifator no Control Hub.
7	Clique em Adicionar.
8	Selecione a nova regra de roteamento e clique em Ativar.

Você pode alterar a ordem de prioridade da regra de roteamento se tiver regras de roteamento para vários IdPs.

Desativar ou excluir regras de roteamento

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Regras de roteamento.
4	Selecione a regra de roteamento.
5	Escolha se você deseja desativar ou excluir a regra de roteamento. É recomendável que você tenha outra regra de roteamento ativa para o IdP. Caso contrário, você poderá ter problemas com seu login de SSO.

A regra padrão não pode ser desativada ou excluída, mas você pode modificar o IdP roteado.

Gerencie seus certificados de provedor de identidade (IdP)

Antes de começar

De tempos em tempos, você pode receber uma notificação por e-mail ou ver um alerta no Control Hub de que o certificado de IdP expirará. Como os fornecedores de IdP têm sua própria documentação específica para renovação de certificados, abordamos o que é necessário no Control Hub, além de etapas genéricas para recuperar metadados de IdP atualizados e enviá-los para o Control Hub para renovar o certificado.

Isso só se aplica à configuração SAML.

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade.
4	Vá para o IdP, clique em e selecione Carregar metadados do Idp. Para baixar o arquivo de metadados, clique em e selecione Baixar metadados do Idp.
5	Navegue até a interface de gerenciamento do IdP para recuperar o novo arquivo de metadados.
6	Retorne ao Control Hub e arraste e solte seu arquivo de metadados do IdP na área de upload ou clique em Escolher um arquivo para carregar os metadados.
7	Escolha Menos seguro (autoassinado) ou Mais seguro (assinado por uma CA pública), dependendo de como seus metadados do IdP estão assinados, e clique em Salvar.
8	Defina as configurações do Just In Time (JIT) e a resposta do mapeamento SAML. Consulte Configurar Just In Time (JIT) e mapeamento SAML na guia Gerenciar seus IdPs neste artigo.
9	Clique em Testar configuração de SSO e, quando uma nova guia do navegador for aberta, autentique-se com o IdP fazendo login. Teste a conexão SSO antes de habilitá-la. Essa etapa funciona sem problemas e não afeta as configurações da sua organização até que você habilite o SSO na próxima etapa. Se você receber um erro de autenticação, pode haver um problema com as credenciais. Verifique o nome de usuário e a senha e tente novamente. Um erro do aplicativo Webex geralmente significa um problema com a configuração do SSO. Nesse caso, percorra as etapas novamente, especialmente as etapas em que você copia e cola os metadados do Control Hub na configuração do IdP. Para ver a experiência de login com SSO, recomendamos que você clique em Copiar URL para a área de transferência a partir dessa tela e colá-la em uma janela privada do navegador. A partir daí, você pode prosseguir com o login com o SSO. Isso ajuda a remover qualquer informação armazenada em cache em seu navegador da Web que possa fornecer um resultado falso positivo ao testar sua configuração de SSO.
10	Clique em Salvar.

Gerencie seus certificados de provedor de serviços (SP)

Antes de começar

É recomendável que você atualize todos os seus IdPs em sua organização ao renovar seu certificado SP.

Isso só se aplica à configuração SAML.

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade.
4	Vá até o IdP e clique em .
5	Clique em Revisar certificados e data de validade. Isso leva você à página de certificados do provedor de serviços (SP). Você pode clicar para baixar os metadados ou o certificado do SP. Se sua organização usa certificados duplos, você também tem a opção de trocar um certificado secundário por um certificado primário ou excluir um certificado secundário existente.
6	Clique em Renovar certificado.
7	Escolha o tipo de IdP em sua organização: IdP que suporta um único certificado IdP que oferece suporte a vários certificados
8	Escolha o tipo de certificado para a renovação: Autoassinado pela Cisco (recomendado) — Recomendamos essa opção. Vamos assinar o certificado para que você só precise renová-lo uma vez a cada cinco anos. Assinado por uma autoridade de certificação pública — mais seguro, mas você precisará atualizar os metadados com frequência.
9	Para confirmar que você deseja substituir o certificado atual pelo selecionado, marque Ao clicar em Substituir um certificado, trocarei o certificado atual pelo meu selecionado e clique em Substituir um certificado.
10	Na página Renovar certificados do provedor de serviços (SP), clique em Baixar metadados ou Baixar certificado para baixar uma cópia do arquivo de metadados ou certificado atualizado da nuvem Webex.
11	Navegue até sua interface de gerenciamento de IdP para carregar o novo arquivo de metadados ou certificado Webex. Essa etapa pode ser realizada por meio de uma guia do navegador, protocolo de desktop remoto (RDP) ou por meio do suporte específico de um provedor de nuvem, dependendo da configuração do seu IdP e se você ou um administrador de IdP separado são responsáveis por essa etapa. Para obter mais informações, consulte nossos guias de integração de SSO ou entre em contato com o administrador do IdP para obter suporte. Se você estiver no Active Directory Federation Services (AD FS), você pode ver como atualizar os metadados Webex no AD FS
12	Retorne à interface do Control Hub. Na página Renovar certificados do provedor de serviços (SP), verifique Já atualizei os metadados de todos os IdPs e clique em Avançar.
13	Clique em Concluído.

Teste sua configuração de SSO

Antes de começar

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade.
4	Vá até o IdP e clique em .
5	Selecione Testar IdP.
6	Clique em Testar configuração de SSO e, quando uma nova guia do navegador for aberta, autentique-se com o IdP fazendo login. Se você receber um erro de autenticação, pode haver um problema com as credenciais. Verifique o nome de usuário e a senha e tente novamente. Um erro do aplicativo Webex geralmente significa um problema com a configuração do SSO. Nesse caso, percorra as etapas novamente, especialmente as etapas em que você copia e cola os metadados do Control Hub na configuração do IdP. Para ver a experiência de login com SSO, recomendamos que você clique em Copiar URL para a área de transferência a partir dessa tela e colá-la em uma janela privada do navegador. A partir daí, você pode prosseguir com o login com o SSO. Isso ajuda a remover qualquer informação armazenada em cache em seu navegador da Web que possa fornecer um resultado falso positivo ao testar sua configuração de SSO.
7	Retorne à guia do navegador Control Hub. Se o teste foi bem-sucedido, selecione Teste bem-sucedido. Ative o SSO e o IdP e clique em Salvar. Se o teste não tiver sido bem-sucedido, selecione Teste malsucedido. Volte às etapas anteriores para corrigir os erros. A configuração do SSO não entra em vigor na sua organização, a menos que você escolha o primeiro botão de rádio e ative o SSO.

Configurar o Just In Time (JIT) e o mapeamento SAML

Antes de começar

Certifique-se de que as seguintes condições prévias sejam atendidas:

O SSO já está configurado.
Os domínios já foram verificados.
Os domínios são reivindicados e ativados. Esse recurso garante que os usuários do seu domínio sejam criados e atualizados sempre que se autenticarem com seu IdP.
Se o DirSync ou o Entra ID estiverem habilitados, a criação ou atualização do SAML JIT não funcionará.
A opção “Bloquear atualização do perfil do usuário” está ativada. O mapeamento de atualizações do SAML é permitido porque essa configuração controla a capacidade do usuário de editar os atributos. Os métodos de criação e atualização controlados pelo administrador ainda são suportados.

Ao configurar o SAML JIT com o Entra ID ou um IdP em que o e-mail não seja um identificador permanente, recomendamos que você use o atributo de vinculação ExternalID para mapear para um identificador exclusivo. Se descobrirmos que o e-mail não corresponde ao atributo de vinculação, o usuário será solicitado a verificar sua identidade ou criar um novo usuário com o endereço de e-mail correto.

Usuários recém-criados não receberão licenças atribuídas automaticamente, a menos que a organização tenha um modelo de licença automático configurado.

Faça login no Control Hub.

Vá para Gerenciamento > Segurança > Autenticação.

Vá até a guia Provedor de identidade.

Vá até o IdP e clique em More menu .

Selecione Editar mapeamento SAML.

Defina as configurações Just-in-Time (JIT).

Criar ou ativar usuário: se nenhum usuário ativo for encontrado, o Webex Identity cria o usuário e atualiza os atributos após o usuário se autenticar com o IdP.
Atualizar usuário com atributos SAML: se um usuário com endereço de e-mail for encontrado, o Webex Identity atualizará o usuário com os atributos mapeados na Asserção SAML.

Confirme se os usuários podem fazer login com um endereço de e-mail diferente e não identificável.

Configure os atributos necessários para o mapeamento SAML.

Tabela 1. Atributos necessários
Nome do atributo Webex Identity	Nome do atributo SAML	Descrição do atributo
Nome de usuário/Endereço de e-mail principal	Exemplo: uid	Mapeie o atributo UID para o e-mail, upn ou edupersonprincipalname do usuário provisionado.

Configure os atributos de vinculação.

Isso deve ser exclusivo para o usuário. Ele é usado para pesquisar um usuário para que o Webex possa atualizar todos os atributos do perfil, incluindo e-mail para um usuário.

Tabela 2. Vinculando atributos
Nome do atributo Webex Identity	Nome do atributo SAML	Descrição do atributo
ID externa	Exemplo: user.objectid	Para identificar esse usuário a partir de outros perfis individuais. Isso é necessário ao mapear entre diretórios ou alterar outros atributos do perfil.
Atributo de extensão 1	Exemplo: user.extensionattribute1	Mapeie esses atributos personalizados para atributos estendidos no Entra ID ou em seu diretório, para códigos de rastreamento.
Atributo de extensão 2	Exemplo: user.extensionattribute2
Atributo de extensão 3	Exemplo: user.extensionattribute3
Atributo de extensão 4	Exemplo: user.extensionlattribute4
Atributo de extensão 5	Exemplo: user.extensionattribute5

Configure os atributos do perfil.

Tabela 3. Atributos do perfil
Nome do atributo Webex Identity	Nome do atributo SAML	Descrição do atributo
ID externa	Exemplo: user.objectid	Para identificar esse usuário a partir de outros perfis individuais. Isso é necessário ao mapear entre diretórios ou alterar outros atributos do perfil.
Idioma preferido	Exemplo: user.preferredlanguage	O idioma preferido do usuário.
localidade	Exemplo: user.locale	O local de trabalho principal do usuário.
fuso horário	Exemplo: user.timezone	O fuso horário principal do usuário.
Nome de exibição	Exemplo: user.displayname	O nome de exibição do usuário no Webex.
Nome. Nome dado	Exemplo: user.givenname	O primeiro nome do usuário.
Nome. Nome da família	Exemplo: user.surname	O sobrenome do usuário.
Endereços. Endereço da rua	Exemplo: user.streetaddress	O endereço do local de trabalho principal.
endereços.localidade	Exemplo: user.locality	A localidade de seu principal local de trabalho.
endereços.região	Exemplo: user.region	A região de seu principal local de trabalho.
Endereços. Código postal	Exemplo: user.postalcode	O código postal do local de trabalho principal.
endereços.país	Exemplo: user.country	O país de seu principal local de trabalho.
Números de telefone. Trabalho	Exemplo: número de telefone comercial	O número de telefone comercial do local de trabalho principal. Use somente o formato internacional E.164 (máximo de 15 dígitos).
Números de telefone. Extensão	Exemplo: número de telefone de extensão	A extensão de trabalho de seu número de telefone comercial principal. Use somente o formato internacional E.164 (máximo de 15 dígitos).
Números de telefone. Celular	Exemplo: número de telefone celular	O número do celular do local de trabalho principal. Use somente o formato internacional E.164 (máximo de 15 dígitos).
título	Exemplo: user.jobtitle	O cargo do usuário.
departamento	Exemplo: user.department	O departamento de trabalho ou a equipe do usuário.
emails.work	Exemplo: e-mails de trabalho	Os e-mails de trabalho do usuário.
organização	Exemplo: user.organization	O ID da organização do usuário

Configure os atributos do grupo.

Crie um grupo no Control Hub e anote a ID do grupo Webex.
Vá para seu diretório de usuário ou IdP e configure um atributo para usuários que serão atribuídos ao ID do grupo Webex.
Atualize a configuração do seu IdP para incluir uma declaração que tenha esse nome de atributo junto com a ID do grupo Webex (por exemplo, c65f7d85-b691-42b8-a20b-12345xxxx). Você também pode usar a ID externa para gerenciar alterações nos nomes dos grupos ou para futuros cenários de integração. Por exemplo, sincronizar com o Entra ID ou implementar a sincronização de grupos SCIM.
Especifique o nome exato do atributo que será enviado na Asserção SAML com o ID do grupo. Isso é usado para adicionar o usuário a um grupo.
Especifique o nome exato da ID externa do objeto do grupo se você estiver usando um grupo do seu diretório para enviar membros na Asserção SAML.

Se o usuário A estiver associado ao GroupID 1234 e o usuário B ao GroupID 4567, eles serão atribuídos a grupos separados. Esse cenário indica que um único atributo permite que os usuários se associem a várias IDs de grupo. Embora isso seja incomum, é possível e pode ser considerado uma alteração aditiva. Por exemplo, se o usuário A fizer login inicialmente usando o GroupID 1234, ele se tornará membro do grupo correspondente. Se o usuário A fizer login posteriormente usando o GroupID 4567, ele também será adicionado a esse segundo grupo.

O provisionamento SAML JIT não suporta a remoção de usuários de grupos ou qualquer exclusão de usuários.

Tabela 4. Atributos do grupo
Nome do atributo Webex Identity	Nome do atributo SAML	Descrição do atributo
ID do grupo	Exemplo: groupId	Mapeie os atributos do grupo do IdP para os atributos do grupo de identidade Webex com a finalidade de mapear esse usuário para um grupo para licenciamento ou serviço de configuração.
ID externa do grupo	Exemplo: groupExternalId	Mapeie os atributos do grupo do IdP para os atributos do grupo de identidade Webex com a finalidade de mapear esse usuário para um grupo para licenciamento ou serviço de configuração.

Para obter uma lista de atributos de asserção SAML paraWebex Meetings, consulte Atributos de asserção SAML para e Jabber. Webex Meetings

Exclua seu provedor de identidade (IdP)

Antes de começar

É recomendável que você primeiro desative ou exclua as regras de roteamento do IdP antes de excluir o IdP.

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade.
4	Vá até o IdP e clique em .
5	Selecione Excluir.

1	Faça login no Control Hub.
2	Vá para Gerenciamento > Segurança > Autenticação.
3	Vá até a guia Provedor de identidade.
4	Clique em Desativar SSO. Confirme a desativação do SSO.

Depois de confirmado, o SSO é desativado para todos os IdPs em sua organização.

Você receberá alertas no Control Hub antes que os certificados expirem, mas também poderá configurar regras de alerta de forma proativa. Essas regras permitem que você saiba com antecedência que seus certificados SP ou IdP expirarão. Podemos enviá-los para você por e-mail, um espaço no aplicativo Webex ou ambos.

Independentemente do canal de entrega configurado, todos os alertas sempre aparecem no Control Hub. Consulte a Central de alertas no Control Hub para obter mais informações.

1	Faça login no Control Hub.
2	Vá para o centro de alertas.
3	Escolha Gerenciar e depois Todas as regras.
4	Na lista de regras, escolha qualquer uma das regras de SSO que você gostaria de criar: Expiração do certificado SSO IDP Expiração do certificado SSO SP
5	Na seção Canal de entrega, marque a caixa E-mail, espaço Webex ou ambos. Se você escolher E-mail, insira o endereço de e-mail que deve receber a notificação. Se você escolher a opção de espaço Webex, você será automaticamente adicionado a um espaço dentro do aplicativo Webex e entregaremos as notificações lá.
6	Salve suas alterações.

O que fazer a seguir

Enviamos alertas de expiração do certificado uma vez a cada 15 dias, começando 60 dias antes do vencimento. (Você pode esperar alertas nos dias 60, 45, 30 e 15.) Os alertas param quando você renova o certificado.

Se você tiver problemas com seu login de SSO, poderá usar a opção de recuperação automática de SSO para obter acesso à sua organização Webex gerenciada no Control Hub. A opção de autorrecuperação permite que você atualize ou desative o SSO no Control Hub.

Cisco AI Assistant

Obrigado pelos seus comentários.

SSO com vários IdPs no Webex

Por que você pode precisar de vários IdPs

Limitações

Fora do escopo

Pequena empresa

Empresa

Dispositivos

Soluções para

Recursos

Empresa