- Página inicial
- /
- Artigo
Obrigado pelos seus comentários.
Neste artigo
Comentários?Você pode configurar uma integração de login único (SSO) entre o Control Hub e uma implantação que usa Active Directory Federation Services (ADFS 2.x e versões posteriores) como um provedor de identidade (IdP).
Login único e Control Hub
O logon único (SSO) é um processo de autenticação de sessão ou usuário que permite que um usuário forneça credenciais para acessar um ou mais aplicativos. O processo autentica os usuários de todos os aplicativos aos quais eles têm direitos. Ele elimina solicitações adicionais quando os usuários trocam de aplicativo durante uma sessão específica.
O protocolo de federação Security Assertion Markup Language (SAML 2.0) é usado para fornecer autenticação SSO entre a nuvem Webex e seu provedor de identidade (IdP).
Perfis
O aplicativo Webex suporta apenas o perfil SSO do navegador da web. No perfil SSO do navegador da web, o aplicativo Webex suporta as seguintes associações:
-
O SP iniciou a vinculação POST -> POST
-
SP iniciou REDIRECIONAMENTO -> vinculação POST
Formato NameID
O protocolo SAML 2.0 oferece suporte a vários formatos de NameID para comunicação sobre um usuário específico. O aplicativo Webex oferece suporte aos seguintes formatos de NameID.
-
urn:oasis:names:tc:saml:2.0:formato de identificação do nome: transiente -
urn:oasis:names:tc:saml:1.1:NameID-Formato: não especificado -
urn: oasis: nomes: tc: saml: 1.1: formato de ID do nome: endereço de e-mail
Nos metadados que você carrega do seu IdP, a primeira entrada é configurada para uso no Webex.
Logout único
O aplicativo Webex suporta o perfil de logout único. No aplicativo Webex, um usuário pode sair do aplicativo, que usa o protocolo de logout único SAML para encerrar a sessão e confirmar a saída com seu IdP. Certifique-se de que seu IdP esteja configurado para SingleLogout.
Integre o Control Hub com o ADFS
Os guias de configuração mostram um exemplo específico de integração de SSO, mas não fornecem uma configuração completa para todas as possibilidades. Por exemplo, as etapas de integração do formato nameid urn:oasis:names:tc:saml:2.0:nameid-format:transient estão documentadas. Outros formatos, como urn:oasis:names:tc:saml:1.1:nameid-format:unspecified ou urn:oasis:names:tc:saml:1.1:nameid-format:emailAddress, funcionarão para integração de SSO, mas estão fora do escopo de nossa documentação.
Configure essa integração para usuários em sua organização Webex (incluindo o aplicativo Webex e outros serviços administrados no Control Hub). Webex Meetings Se o seu site Webex estiver integrado ao Control Hub, o site Webex herdará o gerenciamento de usuários. Se você não conseguir acessar dessa Webex Meetings forma e ela não for gerenciada no Control Hub, você deverá fazer uma integração separada para habilitar o SSO paraWebex Meetings.
Dependendo do que está configurado nos mecanismos de autenticação no ADFS, a Autenticação Integrada do Windows (IWA) pode ser habilitada por padrão. Se habilitados, os aplicativos que são iniciados pelo Windows (como o aplicativo Webex e o Cisco Directory Connector) são autenticados como o usuário que está conectado, independentemente do endereço de e-mail inserido durante a solicitação de e-mail inicial.
Baixe os metadados do Webex para o seu sistema local
Baixe os metadados do Webex antes de configurar seu provedor de identidade. Esse arquivo contém as configurações do provedor de serviços Webex para sua organização, e seu provedor de identidade usa essas configurações para reconhecer o Webex e enviar respostas de login SAML de volta ao local correto. Use esse arquivo de metadados ao configurar o aplicativo SAML no seu provedor de identidade.
| 1 |
Faça login no Control Hub. |
| 2 |
Vá para . |
| 3 |
Vá até a guia Provedor de identidade e clique em Ativar SSO. |
| 4 |
Selecione um IdP. |
| 5 |
Escolha o tipo de certificado para sua organização:
|
| 6 |
Faça o download do arquivo de metadados. O nome do arquivo de metadados Webex é idb-meta- -SP.xml. <org-ID> |
Instalar metadados Webex no ADFS
Antes de começar
O Control Hub oferece suporte ao ADFS 2.x ou posterior.
O Windows 2008 R2 inclui somente o ADFS 1.0. Você deve instalar no mínimo o ADFS 2.x da Microsoft.
Para serviços SSO e Webex, os provedores de identidade (IdPs) devem estar em conformidade com a seguinte especificação SAML 2.0:
-
Defina o atributo NameID Format como urn:oasis:names:tc:saml:2.0:nameID-format: transient
-
Configure uma declaração no IdP para incluir o nome do atributo uid com um valor mapeado para o atributo escolhido no Cisco Directory Connector ou o atributo do usuário que corresponde ao escolhido no serviço de identidade Webex. (Esse atributo pode ser endereços de e-mail ou Nome principal do usuário, por exemplo.) Consulte as informações do atributo personalizado em https://www.cisco.com/go/hybrid-services-directory para obter orientação.
| 1 |
Entre no servidor ADFS com permissões de administrador. |
| 2 |
Abra o console de gerenciamento do ADFS e navegue até . |
| 3 |
Na janela Add Relying Party Trust Wizard, selecione Iniciar. |
| 4 |
Em Selecionar fonte de dados, selecione Importar dados sobre a parte confiável de um arquivo, navegue até o arquivo de metadados do Control Hub que você baixou e selecione Avançar. |
| 5 |
Em Especificar nome de exibição, crie um nome de exibição para essa confiança de parte confiável, como Webex, e selecione Avançar. |
| 6 |
Em Escolher regras de autorização de emissão, selecione Permitir que todos os usuários acessem essa parte confiável e selecione Avançar. |
| 7 |
Em Pronto para adicionar confiança, selecione Avançar e conclua a adição da confiança confiável ao ADFS. |
Crie regras de solicitação para autenticação Webex
| 1 |
No painel principal do ADFS, selecione a relação de confiança que você criou e, em seguida, selecione Editar regras de declaração. Na guia Regras de transformação de emissão, selecione Adicionar regra. |
| 2 |
Na etapa Escolher tipo de regra, selecione Enviar atributos LDAP como declarações e selecione Avançar.  |
| 3 |
Selecione Adicionar regra novamente, selecione Enviar reivindicações usando uma regra personalizada e selecione Avançar. Essa regra fornece ao ADFS o atributo “qualificador spname” que o Webex não fornece de outra forma.
|
| 4 |
Selecione Confiança de Parte Confiável na janela principal e, em seguida, selecione Propriedades no painel direito. |
| 5 |
Quando a janela Propriedades for exibida, navegue até a guia Avançado, SHA-256, e selecione OK para salvar suas alterações. |
| 6 |
Navegue até o seguinte URL no servidor ADFS interno para baixar o arquivo: https: //< AD_FS_Server >/FederationMetadata/2007-06/FederationMetadata.xml Talvez seja necessário clicar com o botão direito do mouse na página e visualizar a fonte da página para obter o arquivo XML formatado corretamente. |
| 7 |
Salve o arquivo em sua máquina local. |
O que fazer a seguir
Você está pronto para importar os metadados do ADFS de volta para o Webex a partir do portal de gerenciamento.
Importe os metadados do IdP e ative o login único após um teste
Depois de exportar os metadados Webex, configurar seu IdP e baixar os metadados do IdP para seu sistema local, você estará pronto para importá-los para sua organização Webex a partir do Control Hub.
Antes de começar
Não teste a integração de SSO a partir da interface do provedor de identidade (IdP). Suportamos apenas fluxos iniciados pelo provedor de serviços (iniciados pelo SP), portanto, você deve usar o teste de SSO do Control Hub para essa integração.
| 1 |
Escolha um:
|
| 2 |
Na página Importar metadados do IdP, arraste e solte o arquivo de metadados do IdP na página ou use a opção de navegador de arquivos para localizar e carregar o arquivo de metadados. Clique em Avançar.
Você deve usar a opção Mais segura, se puder. Isso só é possível se seu IdP usou uma CA pública para assinar seus metadados. Em todos os outros casos, você deve usar a opção Menos segura. Isso inclui se os metadados não estiverem assinados, autoassinados ou assinados por uma CA privada. O Okta não assina os metadados, então você deve escolher Menos seguro para uma integração com o Okta SSO. |
| 3 |
Selecione Testar configuração de SSO e, quando uma nova guia do navegador for aberta, autentique-se com o IdP fazendo login. Se você receber um erro de autenticação, pode haver um problema com as credenciais. Verifique o nome de usuário e a senha e tente novamente. Um erro do aplicativo Webex geralmente significa um problema com a configuração do SSO. Nesse caso, percorra as etapas novamente, especialmente as etapas em que você copia e cola os metadados do Control Hub na configuração do IdP. Para ver diretamente a experiência de login com SSO, você também pode clicar em Copiar URL para a área de transferência a partir dessa tela e colá-la em uma janela privada do navegador. A partir daí, você pode prosseguir com o login com o SSO. Essa etapa impede falsos positivos devido a um token de acesso que pode estar em uma sessão existente após você estar conectado . |
| 4 |
Retorne à guia do navegador Control Hub.
A configuração do SSO não entra em vigor na sua organização, a menos que você escolha o primeiro botão de rádio e ative o SSO. |
O que fazer a seguir
Use os procedimentos em Sincronizar usuários do Okta no Control Hub se quiser fazer o provisionamento de usuários do Okta para a nuvem Webex.
Use os procedimentos em Sincronizar usuários do Microsoft Entra ID no Control Hub se quiser fazer o provisionamento de usuários do Entra ID para a nuvem Webex.
Você pode seguir o procedimento em Suprimir e-mails automatizados para desativar e-mails enviados para novos usuários do aplicativo Webex em sua organização. O documento também contém as melhores práticas para enviar comunicações aos usuários da sua organização.
Atualize a confiança de terceiros confiáveis do Webex no ADFS
Antes de começar
Você precisa exportar o arquivo de metadados SAML do Control Hub antes de atualizar o Webex Relying Party Trust no ADFS.
| 1 |
Entre no servidor ADFS com permissões de administrador. |
| 2 |
Carregue o arquivo de metadados SAML do Webex para uma pasta local temporária no servidor ADFS, por exemplo.
|
| 3 |
Abra o Powershell. |
| 4 |
Execute Observe o parâmetro |
| 5 |
<org-ID>Execute Certifique-se de substituir o nome do arquivo e o nome do destino pelos valores corretos do seu ambiente. Consulte https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.Se você baixou o certificado Webex SP de 5 anos e tem a revogação do certificado de assinatura ou criptografia ativada, você precisa executar estes dois comandos: |
| 6 |
Faça login no Control Hub e teste a integração do SSO:
|
.Solução de problemas do ADFS
Erros de ADFS nos registros do Windows
Nos registros do Windows, você pode ver um código de erro 364 do registro de eventos do ADFS. Os detalhes do evento identificam um certificado inválido. Nesses casos, o host ADFS não tem permissão para validar o certificado por meio do firewall na porta 80.
Ocorreu um erro durante uma tentativa de criar a cadeia de certificados para a confiança da parte confiável
Ao atualizar o certificado SSO, você pode receber este erro ao fazer login: Código de status
inválido em resposta.
Se você ver esse erro, verifique os registros do Visualizador de Eventos no servidor
ADFS e procure o seguinte erro: Ocorreu um erro durante uma tentativa de
criar a cadeia de certificados para o certificado confiável
'https://idbroker.webex.com/' identificado pela impressão digital '
754B9208F1F75C5CC122740F3675C5D129471D80'<org-ID>. As possíveis causas são que o
certificado foi revogado, a cadeia de certificados não pôde ser verificada conforme especificado pelas
configurações de revogação do certificado de criptografia da entidade confiável ou o certificado não está
dentro do período de validade.
<orgID>Se esse erro ocorrer, você deve executar os comandos
Set-AdfsRelyingPartyTrust -TargetIdentifier https://idbroker.webex.com/ -EncryptionCertificateRevocationCheck None
ID da federação
O ID da Federação diferencia maiúsculas de minúsculas. Se esse for seu endereço de e-mail organizacional, insira-o exatamente como o ADFS o envia, ou o Webex não encontrará o usuário correspondente.
Uma regra de declaração personalizada não pode ser escrita para normalizar o atributo LDAP antes de ser enviada.
Importe seus metadados do servidor ADFS que você configurou em seu ambiente.
Você pode verificar a URL, se necessário, navegando até no Gerenciamento do ADFS.
Sincronização de horário
Certifique-se de que o relógio do sistema do seu servidor ADFS esteja sincronizado com uma fonte confiável de horário da Internet que use o Network Time Protocol (NTP). Use o seguinte comando do PowerShell para inclinar o relógio somente para a relação Webex Relying Party Trust.
Set-AdfsRelyingParty Trust - Identificador de destino "https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE" - Não antes do KEW 3
O valor hexadecimal é exclusivo para seu ambiente. Substitua o valor do valor do ID do SP EntityDescriptor no arquivo de metadados Webex. Por exemplo:
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
