Mulțumim pentru feedback.
SSO cu mai mulți IDP-uri în Webex
Feedback?Single sign-on (SSO) permite utilizatorilor să se conecteze în siguranță la Webex prin autentificarea la furnizorul comun de identitate al organizației dvs. Un furnizor de identitate (IdP) stochează și gestionează în siguranță identitățile digitale ale utilizatorilor dvs. și oferă serviciul de autentificare a utilizatorului pentru utilizatorii dvs. Webex.
De ce ai putea avea nevoie de mai mulți IDP
Multe companii mari suferă fuziuni și achiziții, iar aceste companii rareori au aceleași infrastructuri IT și furnizori de identitate. Instituțiile guvernamentale au diverse organizații și agenții sub ele. Adesea, aceste organizații au o singură adresă de e-mail pentru propriile departamente IT și, respectiv, infrastructură. Instituțiile de învățământ majore au un departament central de achiziții, dar diferite universități și colegii cu diferite organizații și departamente IT.
Este obișnuit să vedem că IDP-urile și furnizorii de servicii (SP) se federează între ei. IdP este responsabil pentru autentificarea acreditărilor utilizatorilor dvs., iar SP are încredere în autentificarea făcută de IdP. Acest lucru permite utilizatorilor dvs. să acceseze diverse aplicații și servicii SaaS folosind aceeași identitate digitală. Dar, dacă, dintr-un anumit motiv, organizația dvs. nu poate federa între IDP, atunci Webex oferă o soluție pentru a sprijini mai mulți IDP. Din aceste motive, vă oferim opțiunea de a configura SSO pentru mai mulți IDP-uri în Webex și de a simplifica procesul de autentificare a utilizatorilor.
Limitări
- Toţi utilizatorii trebuie să beneficieze de Directory Connector dacă utilizaţi Directory Connector în organizaţie. Consultaţi ghidul de implementare Directory Connector pentru informaţii suplimentare.
- În prezent, acceptăm doar SAML, OpenID Connect și Webex Identity ca furnizori de identitate.
În afara domeniului de aplicare
- Configurați atribuirile de grup.
- Verificarea domeniului. Consul tați Gestionarea domeniilor pentru mai multe informații.
- Aprovizionarea utilizatorului. Consultați Mod alități de adăugare a utilizatorilor la organizația Hub de control pentru mai multe informații.
Această secțiune acoperă modul în care vă puteți integra furnizorii de identitate (IdP) cu organizația dvs. Webex . Puteți alege IDP-urile care se potrivesc cel mai bine cerințelor organizației dvs.
Dacă sunteți în căutarea integrării SSO a unui Webex Meetings site (gestionat în Administrarea site-ului), consultați Configurarea conec tării unice pentru administrarea Webex.
Înainte de a începe
Asigurați-vă că sunt îndeplinite următoarele condiții:
- Trebuie să aveți un rol de administrator complet în Control Hub.
- Un fișier de metadate de la IdP pentru a da lui Webex și un fișier de metadate de la Webex, pentru a da IdP. Pentru mai multe informații, consultați Integrarea conec tării unice în Hub de control. Acest lucru se aplică numai configurației SAML.
- Ar trebui să planificați comportamentul regulilor de rutare înainte de a configura mai mulți IDP.
Regula implicită de rutare este aplicată după ce configurați IdP-ul inițial. Dar puteți seta un alt IdP ca implicit. Consultați Adăugarea sau editarea unei reguli de rutare în fila Reg uli de rutare din acest articol.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Furniz or de identitate și faceți clic pe Activare SSO. |
| 4 |
Selectați SAML ca IdP și faceți clic pe Următorul. |
| 5 |
Alegeți tipul de certificat:
|
| 6 |
Faceți clic pe Descărcați metadate și faceți clic pe Următorul. <org-ID>Numele fișierului metadatelor aplicației Webex este idb-meta- -SP.xml. |
| 7 |
Încărcați fișierul de metadate IDP sau completați formularul de configurare. Când încărcați fișierul de metadate, există două modalități de validare a metadatelor din IdP- ul clientului:
Faceți clic pe Urmă torul. |
| 8 |
|
| 9 |
(Opțional) Configurați setările Just In Time (JIT) și răspunsul de mapare SAML. Consultați Configurarea mapării Just In Time (JIT) și SAML în fila Gestionați IDP-urile din acest articol.
|
| 10 |
Faceți clic pe Testați configurarea SSO și, atunci când se deschide o nouă filă a browserului, autentificați-vă cu IdP conectându-vă. Testați conexiunea SSO înainte de a o activa. Acest pas funcționează ca o rulare uscată și nu afectează setările organizației până când nu activați SSO în pasul următor. Dacă primiți o eroare de autentificare, este posibil să existe o problemă cu acreditările. Verificați numele de utilizator și parola și încercați din nou. O eroare de aplicație Webex înseamnă de obicei o problemă cu configurarea SSO. În acest caz, parcurgeți din nou pașii, în special pașii în care copiați și lipiți metad atele Control Hub în configurarea IdP. Pentru a vedea experiența de conectare SSO, vă recomandăm să faceți clic pe Copiați adresa URL în clipboard din acest ecran și să o lipiți într-o fereastră privată a browserului. De acolo, puteți parcurge con ectarea cu SSO. Acest lucru ajută la eliminarea oricăror informații stocate în cache în browserul dvs. web care ar putea oferi un rezultat fals pozitiv la testarea configurației SSO. |
| 11 |
Reveniți la fila browserului Control Hub.
Configurația SSO nu intră în vigoare în organizația dvs. decât dacă alegeți primul but on radio și activați SSO. |
Ce să faci în continuare
Puteți configura o regulă de rutare. Consultați Adăugarea sau editarea unei reguli de rutare în fila Reg uli de rutare din acest articol.
Puteți urma procedura din Suprimarea e-mailurilor automate pentru a dezactiva e-mailurile trimise noilor utilizatori ai aplicației Webex din organizația dvs. Documentul conține, de asemenea, cele mai bune practici pentru trimiterea de comunicări către utilizatorii din organizație.
Când configurați OpenID Connect cu Entra ID sau un IdP în care e-mailul nu este un identificator permanent, vă recomandăm să utilizați atributul de legătură
externalID pentru a mapa la un identificator unic. Pentru Entra ID, vă sugerăm să mapați OIDC la externalID. Dacă descoperim că e-mailul
nu se potrivește cu atributul de legătură, utilizatorul este solicitat să-și verifice identitatea sau să
creeze un utilizator nou cu adresa de e-mail corectă.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Furniz or de identitate și faceți clic pe Activare SSO. |
| 4 |
Selectați OpenID Connect ca IdP și faceți clic pe Următorul. |
| 5 |
Introduceți informațiile dvs. IdP.
|
| 6 |
(Opțional) Activați configurația Permite cheia de verificare pentru schimbul de cod (PKCE) pentru a configura IDP-ul OIDC cu această extensie de securitate. Acest lucru consolidează securitatea aplicațiilor client și asigură compatibilitatea cu utilizatorii care o solicită. |
| 7 |
Alegeți modul de adăugare a punctelor finale. Acest lucru se poate face automat sau manual.
|
| 8 |
(Opțional) Configurați setările Just In Time (JIT). Consultați Configurarea mapării Just In Time (JIT) și SAML în fila Gestionați IDP-urile din acest articol.
|
| 9 |
Faceți clic pe Testați configurarea SSO și, atunci când se deschide o nouă filă a browserului, autentificați-vă cu IdP conectându-vă. Testați conexiunea SSO înainte de a o activa. Acest pas funcționează ca o rulare uscată și nu afectează setările organizației până când nu activați SSO în pasul următor. Dacă primiți o eroare de autentificare, este posibil să existe o problemă cu acreditările. Verificați numele de utilizator și parola și încercați din nou. O eroare de aplicație Webex înseamnă de obicei o problemă cu configurarea SSO. În acest caz, parcurgeți din nou pașii, în special pașii în care copiați și lipiți metad atele Control Hub în configurarea IdP. Pentru a vedea experiența de conectare SSO, vă recomandăm să faceți clic pe Copiați adresa URL în clipboard din acest ecran și să o lipiți într-o fereastră privată a browserului. De acolo, puteți parcurge con ectarea cu SSO. Acest lucru ajută la eliminarea oricăror informații stocate în cache în browserul dvs. web care ar putea oferi un rezultat fals pozitiv la testarea configurației SSO. |
| 10 |
Reveniți la fila browserului Control Hub.
Configurația SSO nu intră în vigoare în organizația dvs. decât dacă alegeți primul but on radio și activați SSO. |
Ce să faci în continuare
Puteți configura o regulă de rutare. Consultați Adăugarea sau editarea unei reguli de rutare în fila Reg uli de rutare din acest articol.
Puteți urma procedura din Suprimarea e-mailurilor automate pentru a dezactiva e-mailurile trimise noilor utilizatori ai aplicației Webex din organizația dvs. Documentul conține, de asemenea, cele mai bune practici pentru trimiterea de comunicări către utilizatorii din organizație.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Furniz or de identitate și faceți clic pe Activare SSO. |
| 4 |
Selectați Webex ca IdP și faceți clic pe Următorul. |
| 5 |
Verificați Am citit și am înțeles cum funcționează Webex IdP și faceți clic pe Următorul. |
| 6 |
Configurați o regulă de rutare. Consultați Adăugarea sau editarea unei reguli de rutare în fila Reg uli de rutare din acest articol. |
După ce ați adăugat o regulă de rutare, IdP-ul dvs. este adăugat și este afișat în fila Furniz or de identitate.
Ce să faci în continuare
Puteți urma procedura din Suprimarea e-mailurilor automate pentru a dezactiva e-mailurile trimise noilor utilizatori ai aplicației Webex din organizația dvs. Documentul conține, de asemenea, cele mai bune practici pentru trimiterea de comunicări către utilizatorii din organizație.
Regulile de rutare sunt aplicabile atunci când configurați mai mult de un IdP. Regulile de rutare permit Webex să identifice la ce IdP să trimită utilizatorii dvs. atunci când ați configurat mai mulți IDP.
Când configurați mai multe IdP, puteți defini regulile de rutare în expertul de configurare SSO. Dacă săriți pasul de regulă de rutare, atunci Control Hub adaugă IdP-ul, dar nu îl activează . Trebuie să adăugați o regulă de rutare pentru a activa IdP.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Reg uli de rutare. La configurarea primului IdP, regula de rutare este adăugată automat și este setată ca regulă implicită. Puteți alege un alt IdP pe care să îl setați ulterior ca regulă implicită. |
| 4 |
Faceți clic pe Adăugați o nouă regulă de rutare. |
| 5 |
Introduceți detaliile pentru o regulă de rutare:
|
| 6 |
Selectați metoda de autentificare multi-factor (MFA):
Pentru mai multe informații despre configurarea MFA pentru organizația dvs., consultați Activarea integrării autenti ficării multi-factor în Control Hub. |
| 7 |
Faceți clic pe Adăug are. |
| 8 |
Selectați noua regulă de rutare și faceți clic pe Activ are. |
Puteți modifica ordinea priorității regulii de rutare dacă aveți reguli de rutare pentru mai mulți IDP.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Reg uli de rutare. |
| 4 |
Selectați regula de rutare. |
| 5 |
Alegeți dacă doriți să dezactivați sau să ștergeți regul a de rutare. Este recomandat să aveți o altă regulă de rutare activă pentru IdP. În caz contrar, este posibil să întâmpinați probleme cu autentificarea SSO. |
Regula implicită nu poate fi dezactivată sau ștearsă, dar puteți modifica IdP-ul rutat.
Înainte de a începe
Din când în când, este posibil să primiți o notificare prin e-mail sau să vedeți o alertă în Control Hub că certificatul IdP va expira. Deoarece furnizorii IdP au propria documentație specifică pentru reînnoirea certificatului, acoperim ceea ce este necesar în Control Hub, împreună cu pașii generici pentru preluarea metadatelor IdP actualizate și încărcarea acestora în Control Hub pentru reînnoirea certificatului.
Acest lucru se aplică numai configurației SAML.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Fur nizor de identitate. |
| 4 |
Accesați IdP, faceți clic pe Pentru a descărca fișierul metadate, faceți clic pe
 și selectați Descărcați metadatele Idp. |
| 5 |
Navigați la interfața de gestionare a IdP pentru a prelua noul fișier de metadate. |
| 6 |
Reveniți la Control Hub și glisați și fixați fișierul de metadate IdP în zona de încărcare sau faceți clic pe Alegeți un fișier pentru a încărca metadatele. |
| 7 |
Alegeți Mai puțin sigur (auto-semnat) sau Mai sigur (semnat de o autoritate publică), în funcție de modul în care sunt semnate metadatele dvs. IdP și faceți clic pe Salvare. |
| 8 |
Configurați setările Just In Time (JIT) și răspunsul de mapare SAML. Consultați Configurarea mapării Just In Time (JIT) și SAML în fila Gestionați IDP-urile din acest articol.
|
| 9 |
Faceți clic pe Testați configurarea SSO și, atunci când se deschide o nouă filă a browserului, autentificați-vă cu IdP conectându-vă. Testați conexiunea SSO înainte de a o activa. Acest pas funcționează ca o rulare uscată și nu afectează setările organizației până când nu activați SSO în pasul următor. Dacă primiți o eroare de autentificare, este posibil să existe o problemă cu acreditările. Verificați numele de utilizator și parola și încercați din nou. O eroare de aplicație Webex înseamnă de obicei o problemă cu configurarea SSO. În acest caz, parcurgeți din nou pașii, în special pașii în care copiați și lipiți metad atele Control Hub în configurarea IdP. Pentru a vedea experiența de conectare SSO, vă recomandăm să faceți clic pe Copiați adresa URL în clipboard din acest ecran și să o lipiți într-o fereastră privată a browserului. De acolo, puteți parcurge con ectarea cu SSO. Acest lucru ajută la eliminarea oricăror informații stocate în cache în browserul dvs. web care ar putea oferi un rezultat fals pozitiv la testarea configurației SSO. |
| 10 |
Faceți clic pe Sal vare. |
și selectați Încăr Înainte de a începe
Este recomandat să actualizați toți IDP-urile din organizație atunci când reînnoiți certificatul SP.
Acest lucru se aplică numai configurației SAML.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Fur nizor de identitate. |
| 4 |
Accesați IdP și faceți clic pe |
| 5 |
Faceți clic pe Examinați certificatele și data de expirare. Aceasta vă duce la pagina certificatelor furnizorului de servicii (SP). Puteți face
clic Dacă organizaţia utilizează certificate duble, aveţi şi opţiunea de a comuta un certificat secundar la un certificat primar sau de a şterge un certificat secundar existent. |
| 6 |
Faceți clic pe Reînnoiți certificatul. |
| 7 |
Alegeți tipul de IdP din organizația dvs.:
|
| 8 |
Alegeți tipul de certificat pentru reînnoire:
|
| 9 |
Pentru a confirma că doriți să înlocuiți certificatul curent cu cel selectat, bi fați Făcând clic pe Înlocuiți un certificat, voi schimba certificatul curent cu cel selectat, apoi faceți clic pe În locuiți un certificat. |
| 10 |
În pagina Re înnoiți certificatele furnizorului de servicii (SP), faceți clic pe Descărcați metadate sau Descărcați certificatul pentru a descărca o copie a fișierului de metadate actualizate sau a certificatului din norul Webex. |
| 11 |
Navigați la interfața dvs. de gestionare IdP pentru a încărca noul fișier sau certificat de metadate Webex. Acest pas se poate face printr-o filă a browserului, protocolul desktop la distanță (RDP) sau printr-un suport specific furnizor de cloud, în funcție de configurarea dvs. IdP și dacă dvs. sau un administrator IdP separat sunteți responsabil pentru acest pas. Pentru mai multe informații, consultați ghidurile noastre de integrare SSO sau contactați administratorul dvs. IdP pentru asistență. Dacă sunteți pe Active Directory Federation Services (AD FS), puteți vedea cum să actualizați metadatele Webex în AD FS |
| 12 |
Reveniți la interfața Control Hub. Pe pagina Re înnoirea certificatelor furnizorului de servicii (SP), bifați Am actualizat deja metadatele pentru toți IDP, apoi faceți clic pe Urmă torul. |
| 13 |
Faceți clic pe Termin at. |
.
pentru a descărca metadatele SP sau certificatul. Înainte de a începe
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Fur nizor de identitate. |
| 4 |
Accesați IdP și faceți clic pe |
| 5 |
Selectați Test IdP. |
| 6 |
Faceți clic pe Testați configurarea SSO și, atunci când se deschide o nouă filă a browserului, autentificați-vă cu IdP conectându-vă. Dacă primiți o eroare de autentificare, este posibil să existe o problemă cu acreditările. Verificați numele de utilizator și parola și încercați din nou. O eroare de aplicație Webex înseamnă de obicei o problemă cu configurarea SSO. În acest caz, parcurgeți din nou pașii, în special pașii în care copiați și lipiți metad atele Control Hub în configurarea IdP. Pentru a vedea experiența de conectare SSO, vă recomandăm să faceți clic pe Copiați adresa URL în clipboard din acest ecran și să o lipiți într-o fereastră privată a browserului. De acolo, puteți parcurge con ectarea cu SSO. Acest lucru ajută la eliminarea oricăror informații stocate în cache în browserul dvs. web care ar putea oferi un rezultat fals pozitiv la testarea configurației SSO. |
| 7 |
Reveniți la fila browserului Control Hub.
Configurația SSO nu intră în vigoare în organizația dvs. decât dacă alegeți primul buton radio și activați SSO. |
Înainte de a începe
Asigurați-vă că sunt îndeplinite următoarele condiții prealabile:
-
SSO este deja configurat.
-
Domeniile au fost deja verificate.
-
Domeniile sunt revendicate și activate. Această caracteristică asigură că utilizatorii din domeniul dvs. sunt creați și actualizați o dată de fiecare dată când se autentifică cu IdP-ul dvs.
-
Dacă DirSync sau Entra ID sunt activate, atunci crearea sau actualizarea SAML JIT nu va funcționa.
-
„Blocați actualizarea profilului utilizatorului” este activată. Maparea actualizării SAML este permisă deoarece această configurație controlează capacitatea utilizatorului de a edita atributele. Metodele de creare și actualizare controlate de administrator sunt încă acceptate.
Când configurați SAML JIT cu Entra ID sau un IdP în care e-mailul nu este un identificator permanent, vă recomandăm să utilizați atributul de legătură
externalID pentru a mapa la un identificator unic. Dacă descoperim
că e-mailul nu se potrivește cu atributul de legătură, utilizatorul este solicitat să-și verifice
identitatea sau să creeze un utilizator nou cu adresa de e-mail corectă.
Utilizatorii nou creați nu vor primi automat licențe atribuite decât dacă organizația are configurat un șablon de licență automat.
| 1 |
Conectați-vă la Control Hub. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
Accesați . | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
Accesați fila Fur nizor de identitate. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
Accesați IdP și faceți clic pe | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
Selectați Editați maparea SAML. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
Configurați setările Just-in-Time (JIT).
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
Configurați atributele necesare pentru maparea SAML.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
Configurați atributele de legătură. Acest lucru ar trebui să fie unic pentru utilizator. Este folosit pentru a căuta un utilizator, astfel încât Webex să poată
actualiza toate atributele profilului, inclusiv e-mailul pentru un utilizator.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
Configurați atributele profilului.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
Configurați atributele grupului.
Dacă utilizatorul A este asociat cu Aprovizionarea SAML JIT nu acceptă eliminarea utilizatorilor din grupuri sau orice ștergere a utilizatorilor.
Pentru o listă de atribute de afirmare SAML pentruWebex Meetings, consultați Atributele de afirmare SAML pentru și Jabber. Webex Meetings |
Înainte de a începe
Este recomandat să dezactivați sau să ștergeți mai întâi regulile de rutare ale IdP înainte de a șterge I dP.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Fur nizor de identitate. |
| 4 |
Accesați IdP și faceți clic pe |
| 5 |
Selectați Șter gere. |
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Fur nizor de identitate. |
| 4 |
Faceți clic pe Dezactivați SSO. Confirmați dezactivarea SSO. |
După confirmare, SSO este dezactivat pentru toți IDP-urile din organizația dvs.
Veți primi alerte în Control Hub înainte ca certificatele să fie setate să expire, dar puteți, de asemenea, să configurați proactiv reguli de alertă. Aceste reguli vă informează în prealabil că certificatele dvs. SP sau IdP vor expira. Vă putem trimite acestea prin e-mail, un spațiu din aplicația Webex sau ambele.
Indiferent de canalul de livrare configurat, toate alertele apar întotdeauna în Control Hub. Consultați Centrul de alerte din Control Hub pentru mai multe informații.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați Centrul de alerte. |
| 3 |
Alegeți Gestion are, apoi Toate regulile. |
| 4 |
Din lista Reguli, alegeți oricare dintre regulile SSO pe care doriți să le creați:
|
| 5 |
În secțiunea Canal de livrare, bifați caseta pentru E-mail, spațiu Webex sau ambele. Dacă alegeți E-mail, introduceți adresa de e-mail care ar trebui să primească notificarea. Dacă alegeți opțiunea Spațiu Webex, sunteți adăugat automat într-un spațiu din interiorul aplicației Webex și noi livrăm notificările acolo. |
| 6 |
Salvați modificările. |
Ce să faci în continuare
Trimitem alerte de expirare a certificatului o dată la 15 zile, începând cu 60 de zile înainte de expirare. (Vă puteți aștepta la alerte în zilele 60, 45, 30 și 15.) Alertele se opresc atunci când reînnoiți certificatul.
Dacă întâmpinați probleme cu autentificarea SSO, puteți utiliza opțiunea de auto-recuperare SSO pentru a obține acces la organizația dvs. Webex gestionată în Control Hub. Opțiunea de auto-recuperare vă permite să actualiz ați sau să dezactivați SSO în Control Hub.
