- Pagină de pornire
- /
- Articol
Mulțumim pentru feedback.
În acest articol
Feedback?Puteți configura o integrare de conectare unică (SSO) între Control Hub și o implementare care utilizează Active Directory Federation Services (ADFS 2.x și versiuni ulterioare) ca furnizor de identitate (IdP).
Conectare unică și hub de control
Single sign-on (SSO) este un proces de autentificare a sesiunii sau a utilizatorului care permite unui utilizator să furnizeze acreditări pentru a accesa una sau mai multe aplicații. Procesul autentifică utilizatorii pentru toate aplicațiile la care li se acordă drepturi. Elimină solicitările suplimentare atunci când utilizatorii schimbă aplicațiile în timpul unei anumite sesiuni.
Protocolul de federație Security Assertion Markup Language (SAML 2.0) este utilizat pentru a furniza autentificarea SSO între cloud-ul Webex și furnizorul dvs. de identitate (IdP).
Profiluri
Aplicația Webex acceptă numai profilul SSO al browserului web. În profilul SSO al browserului web, aplicația Webex acceptă următoarele legături:
-
SP inițiat POST -> Legarea POST
-
SP a inițiat REDIRECT -> Legarea POST
Formatul numeiID
Protocolul SAML 2.0 acceptă mai multe formate NameID pentru a comunica despre un anumit utilizator. Aplicația Webex acceptă următoarele formate NameID.
-
Urn:oasis:names:tc:saml:2.0:nameID-format:Transient -
urn:oasis:names:tc:saml:1.1:nameID-format:nespecificat -
Urn:oasis:names:tc:saml:1.1:nameID-format:emailAddress
În metadatele pe care le încărcați de la IdP, prima intrare este configurată pentru utilizare în Webex.
SingleLogout
Aplicația Webex acceptă profilul unic de deconectare. În aplicația Webex, un utilizator se poate deconecta de la aplicație, care utilizează protocolul de deconectare unică SAML pentru a încheia sesiunea și a confirma deconectarea cu IdP-ul tău. Asigurați-vă că IdP-ul dvs. este configurat pentru SingleLogout.
Integrați Control Hub cu ADFS
Ghidurile de configurare arată un exemplu specific pentru integrarea SSO, dar nu oferă o configurație exhaustivă pentru toate posibilitățile. De exemplu, pașii de integrare pentru nameid-format URN:oasis:names:tc:saml:2.0:nameID-format:Transient sunt documentați. Alte formate, cum ar fi urn:oasis:names:tc:saml:1.1:nameID-format:Unspecified sau urn:oasis:names:tc:saml:1.1:nameID-format:emailAddress vor funcționa pentru integrarea SSO, dar sunt în afara sferei documentației noastre.
Configurați această integrare pentru utilizatorii din organizația dvs. Webex (inclusiv aplicația Webex și alte servicii administrate în Control Hub). Webex Meetings Dacă site-ul dvs. Webex este integrat în Control Hub, site-ul Webex moștenește gestionarea utilizatorilor. Dacă nu puteți accesa Webex Meetings în acest mod și nu este gestionat în Control Hub, trebuie să efectuați o integrare separată pentru a activa SSO pentruWebex Meetings.
În funcție de ce este configurat în mecanismele de autentificare din ADFS, Autentificarea integrată Windows (IWA) poate fi activată în mod implicit. Dacă este activată, aplicațiile lansate prin Windows (cum ar fi aplicația Webex și Cisco Directory Connector) se autentifică ca utilizator conectat, indiferent de adresa de e-mail introdusă în timpul solicitării inițiale de e-mail.
Descărcați metadatele Webex în sistemul dvs. local
Descărcați metadatele Webex înainte de a vă configura furnizorul de identitate. Acest fișier conține setările furnizorului de servicii Webex pentru organizația dvs., iar furnizorul dvs. de identitate utilizează aceste setări pentru a recunoaște Webex și a trimite răspunsurile de conectare SAML înapoi la locul corect. Utilizați acest fișier de metadate atunci când configur ați aplicația SAML în furnizorul de identitate.
| 1 |
Conectați-vă la Control Hub. |
| 2 |
Accesați . |
| 3 |
Accesați fila Furniz or de identitate și faceți clic pe Activare SSO. |
| 4 |
Selectați un IdP. |
| 5 |
Alegeți tipul de certificat pentru organizația dvs.:
|
| 6 |
Descărcați fișierul metadate. <org-ID>Numele fișierului metadatelor Webex este idb-meta- -SP.xml. |
Instalați metadatele Webex în ADFS
Înainte de a începe
Control Hub acceptă ADFS 2.x sau o versiune ulterioară.
Windows 2008 R2 include numai ADFS 1.0. Trebuie să instalați un minim de ADFS 2.x de la Microsoft.
Pentru serviciile SSO și Webex, furnizorii de identitate (IDP) trebuie să respecte următoarea specificație SAML 2.0:
-
Setați atributul Format NameID la urn:oasis:names:tc:saml:2.0:nameID-format: tranzitoriu
-
Configurați o revendicare pe IdP pentru a include numele atributului uid cu o valoare care este mapată la atributul ales în Cisco Directory Connector sau atributul utilizator care se potrivește cu cel ales în serviciul de identitate Webex. (Acest atribut ar putea fi adresele de e-mail sau User-Principal-Name, de exemplu.) Consultați informațiile despre atributele personalizate din https://www.cisco.com/go/hybrid-services-directory pentru îndrumare.
| 1 |
Conectați-vă la serverul ADFS cu permisiuni de administrator. |
| 2 |
Deschideți consola de gestionare ADFS și navigați la încredere. |
| 3 |
Din fereastra Add Relying Party Trust Wizard, selectați Start. |
| 4 |
Pentru Selectare sursă de date selectați Importați date despre partea care se bazează dintr-un fișier, navigați la fișierul Metadate Hub Control pe care l-ați descărcat și selectați Următorul. |
| 5 |
Pentru Speci ficați numele afișat, creați un nume afișat pentru această încredere a părții care se bazează, cum ar fi Webex, și selectați Urmă torul. |
| 6 |
Pentru Alegeți regulile de autorizare a emit erii, selectați Permiteți tuturor utilizatorilor să acceseze această parte depen dentă și selectați Următorul. |
| 7 |
Pentru Pregătit pentru a adăuga încredere, selectați Următorul și terminați adăugarea încrederii bazate la ADFS. |
Creați reguli de revendicare pentru autentificarea Webex
| 1 |
În panoul principal ADFS, selectați relația de încredere pe care ați creat-o, apoi selectați Editare reguli de revendicare. În fila Reguli de transformare a emiterii, selectați Adăugare regulă. |
| 2 |
În pasul Alegeți tipul de regulă, selectați Trimiteți atribute LDAP ca revendic ări, apoi selectați Urmă torul.  |
| 3 |
Selectați din nou Adăugare regulă, selectați Trimiteți revendicări utilizând o regulă particul arizată, apoi selectați Următorul. Această regulă oferă ADFS atributul „calificator spname” pe care Webex nu îl furnizează altfel.
|
| 4 |
Selec tați Încrederea părții de încredere în fereastra principală, apoi selectați Proprietăți în panoul din dreapta. |
| 5 |
Când apare fereastra Proprietăți, navigați la fila Advanced, SHA-256 și apoi selectați OK pentru a salva modificările. |
| 6 |
Navigați la următoarea adresă URL de pe serverul ADFS intern pentru a descărca fișierul: https: //< AD_FS_Server >/FederationMetadata/2007-06/FederationMetadata.xml Poate fi necesar să faceți clic dreapta pe pagină și să vizualizați sursa paginii pentru a obține fișierul XML formatat corespunzător. |
| 7 |
Salvați fișierul pe mașina dvs. locală. |
Ce să faci în continuare
Sunteți gata să importați metadatele ADFS înapoi în Webex de pe portalul de gestionare.
Importați metadatele IdP și activați conectarea unică după un test
După ce exportați metadatele Webex, configurați IdP-ul și descărcați metadatele IdP în sistemul local, sunteți gata să le importați în organizația dvs. Webex din Control Hub.
Înainte de a începe
Nu testați integrarea SSO din interfața furnizorului de identitate (IdP). Acceptăm doar fluxurile inițiate de furnizorul de servicii (inițiate de SP), deci trebuie să utilizați testul SSO Control Hub pentru această integrare.
| 1 |
Alegeți unul:
|
| 2 |
În pagina Import metadate IdP, fie glisați și fixați fișierul de metadate IdP pe pagină, fie utilizați opțiunea browser de fișiere pentru a localiza și încărca fișierul de metadate . Faceți clic pe Urmă torul.
Ar trebui să utilizați opțiunea Mai sigură, dacă puteți. Acest lucru este posibil numai dacă IdP-ul dvs. a folosit un CA public pentru a-și semna metadatele. În toate celelalte cazuri, trebuie să utilizați opțiunea Mai puțin sigură. Aceasta include dacă metadatele nu sunt semnate, auto-semnate sau semnate de o autoritate de autorizație privată. Okta nu semnează metadatele, deci trebuie să alegeți Mai puțin sigur pentru o integrare Okta SSO. |
| 3 |
Selectați Testați configurarea SSO și, atunci când se deschide o nouă filă a browserului, autentificați-vă cu IdP conectându-vă. Dacă primiți o eroare de autentificare, este posibil să existe o problemă cu acreditările. Verificați numele de utilizator și parola și încercați din nou. O eroare de aplicație Webex înseamnă de obicei o problemă cu configurarea SSO. În acest caz, parcurgeți din nou pașii, în special pașii în care copiați și lipiți metad atele Control Hub în configurarea IdP. Pentru a vedea direct experiența de conectare SSO, puteți, de asemenea, să faceți clic pe Copiați adresa URL în clipboard din acest ecran și să o lipiți într-o fereastră privată a browserului. De acolo, puteți parcurge con ectarea cu SSO. Acest pas oprește rezultatele fals pozitive din cauza unui token de acces care ar putea fi într-o sesiune existentă de la conectarea dvs. |
| 4 |
Reveniți la fila browserului Control Hub.
Configurația SSO nu intră în vigoare în organizația dvs. decât dacă alegeți primul buton radio și activați SSO. |
Ce să faci în continuare
Utilizați procedurile din Sinc ronizarea utilizatorilor Okta în Control Hub dacă doriți să efectuați furnizarea de utilizatori din Okta în norul Webex.
Utilizați procedurile din Sinc ronizați utilizatorii Microsoft Entra ID în Control Hub dacă doriți să efectuați furnizarea de utilizatori din Entra ID în norul Webex.
Puteți urma procedura din Suprimarea e-mailurilor automate pentru a dezactiva e-mailurile trimise noilor utilizatori ai aplicației Webex din organizația dvs. Documentul conține, de asemenea, cele mai bune practici pentru trimiterea de comunicări către utilizatorii din organizație.
Actualizați încrederea părților dependente Webex în ADFS
Înainte de a începe
Trebuie să exportați fișierul de metadate SAML din Control Hub înainte de a putea actualiza Webex Relying Party Trust în ADFS.
| 1 |
Conectați-vă la serverul ADFS cu permisiuni de administrator. |
| 2 |
Încărcați fișierul de metadate SAML de la Webex într-un folder local temporar de pe serverul ADFS, de ex.
|
| 3 |
Deschideți Powershell. |
| 4 |
Rulați Rețineți parametrul |
| 5 |
<org-ID>Rulați Asigurați-vă că înlocuiți numele fișierului și numele țintă cu valorile corecte din mediul dvs. A se vedea https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.Dacă ați descărcat certificatul Webex SP de 5 ani și aveți activată Semnarea sau Revocarea certificatului de criptare, trebuie să executați aceste două comenzi: |
| 6 |
Conectați-vă la Control Hub, apoi testați integrarea SSO:
|
.Depanarea ADFS
Erori ADFS în jurnalele Windows
În jurnalele Windows, este posibil să vedeți un cod de eroare a jurnalului de evenimente ADFS 364. Detaliile evenimentului identifică un certificat nevalid. În aceste cazuri, gazda ADFS nu este permisă prin firewall-ul de pe portul 80 pentru a valida certificatul.
A apărut o eroare în timpul încercării de a construi lanțul de certificate pentru încrederea părții de încredere
La actualizarea certificatului SSO, este posibil să vi se prezinte această eroare la conectare: Cod de stare
nevalid ca răspuns.
Dacă vedeți această eroare, verificați jurnalele Vizualizatorului de evenimente de pe serverul
ADFS și căutați următoarea eroare: A apărut o eroare în timpul unei încercări de
construire a lanțului de certificate pentru certificatul de încredere al părții de încredere
'https://idbroker.webex.com/' identificat prin amprenta degetului '754B9208F1F75C5CC122740F3675C5D129471D
80'<org-ID>. Cauzele posibile sunt faptul că
certificatul a fost revocat, lanțul de certificate nu a putut fi verificat așa cum este specificat de setările de revo
care a certificatului de criptare ale părții de încredere sau că certificatul nu se află
în perioada de valabilitate.
<orgID>Dacă apare această eroare, trebuie să executați comenzile
Set-AdfsRely ingPartyTrust -TargetIdentifier https://idbroker.webex.com/ -EncryptionCertificateRevocationCheck None
ID-ul Federației
ID-ul Federației este sensibil la majuscule. Dacă aceasta este adresa dvs. de e-mail organizațională, introduceți-o exact așa cum o trimite ADFS sau Webex nu poate găsi utilizatorul care se potrivește.
O regulă particularizată de revendicare nu poate fi scrisă pentru a normaliza atributul LDAP înainte de a fi trimis.
Importați metadatele de pe serverul ADFS pe care l-ați configurat în mediul dvs.
Puteți verifica adresa URL, dacă este necesar, navigând la .
Sincronizarea timpului
Asigurați-vă că ceasul de sistem al serverului ADFS este sincronizat cu o sursă de timp de internet fiabilă care utilizează Protocolul de timp de rețea (NTP). Utilizați următoarea comandă PowerShell pentru a înclina ceasul numai pentru relația Webex Relying Party Trust.
Set-AdfsRelyingPartyTrust -TargetIdentifier "https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE" -NotBeforeSkew 3
Valoarea hexazecimală este unică pentru mediul dvs. Vă rugăm să înlocuiți valoarea din valoarea SP EntityDescriptor ID din fișierul metadate Webex. De exemplu:
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
