Sign-on unic și Control Hub

Din vizualizarea client în https://admin.webex.com, accesați Gestionare > Setări organizație , apoidefilați la Autentificare , apoi comutați pe setarea Sign-on unic pentru a porni expertul de configurare.

Alegeți tipul de certificat pentru organizația dvs.:

• Auto-semnat de Cisco- Vă recomandăm această alegere. Permiteți-ne să semnăm certificatul, astfel încât trebuie doar să îl reînnoiți o dată la cinci ani.
• Semnat de o autoritate de certificare publică– Mai sigur, dar va trebui să actualizați frecvent metadatele (cu excepția cazului în care furnizorul IdP acceptă ancore de încredere).

Ancorele de încredere sunt chei publice care acționează ca o autoritate pentru a verifica certificatul unei semnături digitale. Pentru mai multe informații, consultați documentația IdP.

Descărcați fișierul de metadate.

Conectați-vă la serverul ADFS cu permisiuni de administrator.

Deschideți consola de gestionare ADFS și navigați la Relații de încredere > Încredere parte bazându-se trusturi > Adăugați încredere parte bazându-se.

Din fereastra Adăugare expert încredere parte bazându-se, selectați Start.

Pentru Selectare sursă de date, selectați Importați date despre partea care se bazează dintr-un fișier, navigați la fișierul de metadate control hub pe care l-ați descărcat și selectați Următorul.

Pentru Specificare nume afișat, creați un nume afișat pentru această încredere a părții care se bazează, cum ar fi Webex și selectați Următorul.

Pentru a alege regulile de autorizare de eliberare , selectațiPermiteți tuturor utilizatorilor să acceseze această parte bazându-seși selectați Următorul .

Pentru Gata de adăugare a încrederii , selectați Următorulși terminați adăugarea încrederii bazându-se la ADFS.

În panoul principal ADFS, selectați relația de încredere pe care ați creat-o, apoi selectați Editare reguli de revendicare. Pe fila Emitere reguli de transformare, selectați Adăugare regulă.

În pasul Alegeți tipul de regulă, selectați Trimitere atribute LDAP ca revendicări , apoi selectați Următorul.

1. Introduceți un nume de regulă de revendicare.

2. Selectați Active Directory ca depozit de atribute.

3. Mapați atributul LDAP adrese de e-mail la tipul de revendicare uid de ieșire.

   Această regulă indică ADFS ce câmpuri să mapeze la Webex pentru a identifica un utilizator. Scrieți tipurile de revendicări de ieșire exact așa cum se arată.

4. Salvați modificările.

Selectați Adăugați din nou regulă, selectați Trimitere revendicări utilizând o regulă particularizată , apoi selectați Următorul .

1. Deschideți editorul de text și copiați următorul conținut.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Înlocuiți URL1 și URL2 în text după cum urmează:

   • URL1 este entityID-ul din fișierul de metadate ADFS pe care l-ați descărcat.

     De exemplu, următorul este un exemplu din ceea ce vedeți: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Copiați doar entityID-ul din fișierul de metadate ADFS și lipiți-l în fișierul text pentru a înlocui URL1

   • URL2 se află pe prima linie din fișierul de metadate Webex pe care l-ați descărcat.

     De exemplu, următorul este un exemplu din ceea ce vedeți: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Copiați doar entityID-ul din fișierul de metadate Webex și lipiți-l în fișierul text pentru a înlocui URL2.

2. Cu url-urile actualizate, copiați regula din editorul de text (începând de la "c:") și lipiți-o în caseta de reguli particularizată de pe serverul ADFS.

   Regula completată ar trebui să arate astfel:

   

3. Selectați Terminare pentru a crea regula, apoi ieșiți din fereastra Editare reguli revendicare.

Selectați Încredere parte bazându-se în fereastra principală, apoi selectați Proprietăți în panoul din dreapta.

Când apare fereastra Proprietăți, navigați la fila Complex, SHA-256, apoi selectați OK pentru a salva modificările.

Răsfoiți la următorul URL pe serverul intern ADFS pentru a descărca fișierul: https:// AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

Poate fi necesar să faceți clic dreapta pe pagină și să vizualizați sursa paginii pentru a obține fișierul XML formatat corect.

Salvați fișierul pe computerul local.

Alegeți una:

• Reveniți la pagina Control Hub – de selectare a certificatelor din browser, apoi faceți clic pe Următorul.
• Dacă Control Hub nu mai este deschis în fila browserului, din vizualizarea client din https://admin.webex.com, accesați Gestionare > Setări organizație , defilați la Autentificare , apoi alegeți Acțiuni > Import metadate.

Pe pagina Import metadate IdP, fie trageți și fixați fișierul de metadate IdP în pagină, fie utilizați opțiunea browserului de fișiere pentru a localiza și încărca fișierul cu metadate. Faceți clic pe Următorul.

Selectați Testați configurarea SSOși, atunci când se deschide o nouă filă de browser, autentificați-vă cu IdP-ul conectându-vă.

Dacă primiți o eroare de autentificare, este posibil să existe o problemă cu acreditările. Verificați numele de utilizator și parola și încercați din nou. O eroare Webex App înseamnă, de obicei, o problemă cu configurarea SSO. În acest caz, parcurgeți din nou pașii, în special pașii în care copiați și lipiți metadatele Control Hub în configurarea IdP.

Pentru a vedea direct experiența de conectare SSO, puteți, de asemenea, să faceți clic pe Copiere URL în clipboard din acest ecran și să îl lipiți într-o fereastră de browser privată. De acolo, puteți merge prin conectarea cu SSO. Acest pas oprește rezultatele fals pozitive din cauza unui simbol de acces care ar putea fi într-o sesiune existentă de la a fi conectat.

Reveniți la fila browserului Control Hub.

• Dacă testul a avut succes, selectați Test de succes. Activați SSO și faceți clic pe Următorul .
• Dacă testul nu a reușit, selectați Test nereușit. Dezactivați SSO și faceți clic pe Următorul .

Configurația SSO nu produce efecte în organizația dvs., cu excepția cazului în care alegeți primul buton radio și activați SSO.

Conectați-vă la serverul AD FS cu permisiuni de administrator.

Încărcați fișierul de metadate SAML de pe Webex într-un folder local temporar de pe serverul AD FS, de exemplu. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Deschideți Powershell.

Rulare Get-AdfsRelyingPartyTrust pentru a citi toate trusturile de partid bazându-se.

Rulare Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

Asigurați-vă că înlocuiți numele fișierului și numele țintă cu valorile corecte din mediul dvs.

A se vedea https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.

Dacă ați descărcat certificatul Webex SP 5 ani și ați activat Revocarea certificatului de semnare sau criptare, trebuie să rulați aceste două comenzi: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Conectați-vă la Control Hub , apoitestați integrarea SSO:

1. Accesați Gestionare > Setări organizație, defilați la Autentificare șicomutați pe setarea Conectare unică pentru a porni expertul de configurare.

2. Faceți clic pe Următorul pentru a omite pagina Import metadate IdP.

   Nu trebuie să repetați acest pas, deoarece ați importat anterior metadatele IdP.

3. Testați conexiunea SSO înainte de a o activa. Acest pas funcționează ca o rulare uscată și nu afectează setările organizației până când nu activați SSO în pasul următor.

   Pentru a vedea direct experiența de conectare SSO, puteți, de asemenea, să faceți clic pe Copiere URL în clipboard din acest ecran și să îl lipiți într-o fereastră de browser privată. De acolo, puteți merge prin conectarea cu SSO. Acest lucru ajută la eliminarea oricăror informații memorate în cache în browserul web care ar putea oferi un rezultat fals pozitiv atunci când testați configurația SSO.

4. Conectați-vă pentru a finaliza testul.