Система единого входа и Control Hub

В окне просмотра информации о клиенте в https://admin.webex.com перейдите к параметру Управление > Настройки организации, затем прокрутите страницу до параметра Аутентификация и перейдите к настройкам Системы единого входа, чтобы запустить мастер настройки.

Выберите тип сертификата для своей организации.

• Самоподписанный сертификат Cisco – рекомендуем выбрать этот тип сертификата. Мы самостоятельно подпишем этот сертификат, и вам нужно будет продлевать его только один раз в пять лет.
• Сертификат, подписанный центром сертификации, – более безопасный вариант, но вам придется чаще обновлять метаданные (за исключением случаев, когда ваш поставщик удостоверений поддерживает точки доверия).

Точки доверия – это открытые ключи, которые служат для проверки сертификата цифровой подписи. Дополнительные сведения см. в документации поставщика удостоверений.

Скачайте файл метаданных.

В интерфейсе администрирования BIG-IP F5 перейдите к меню Access Policy (Политика доступа) > SAML > BIG-IP as IdP (BIG-IP как поставщик удостоверений).

В разделе External SP Connectors (Внешние соединители поставщика услуг) выберите Create (Создать) > From Metadata (На основе метаданных).

Введите понятное название для поставщика услуг, например <yourorganizationname>. ciscowebex.com.

В разделе Security Settings (Настройки безопасности) установите перечисленные ниже флажки.

• Response must be signed (Ответ должен быть подписан).
• Assertion must be signed (Утверждение должно быть подписано).

Вернитесь к меню Access Policy (Политика доступа) > SAML > BIG-IP as IdP (BIG-IP как поставщик удостоверений) и создайте новую службу поставщика удостоверений (IdP).

Введите понятное название для службы IdP, например CI.

Для идентификатора объекта IdP используйте FQDN сервера Big-IP с каким-либо префиксом, например https://bigip0a.uc8sevtlab13.com/CI.

В разделе Assertion Settings (Настройки утверждения) выберите Transient Identifier (Временный идентификатор) для параметра Assertion Subject Type (Тип предмета утверждения).

Для параметра Assertion Subject Value (Значение субъекта утверждения) возвратите значение адреса электронной почты пользователя %{session.ad.last.attr.mail}.

Возвратите атрибуты mail и uid со значением %{session.ad.last.attr.mail}.

В разделе Security Settings (Настройки безопасности) выберите сертификат для подписания утверждения.

Сохраните внесенные изменения и установите привязку между созданными вами поставщиком услуг и поставщиком удостоверений.

Выберите Export IDP Service (Экспорт службы поставщика удостоверений).

Убедитесь в том, что параметр Sign Metadata (Подписание метаданных) имеет значение Yes (Да).

Скачайте файл метаданных на рабочий стол или в папку, которую вы легко сможете найти.

Перейдите к меню Access Policy (Политика доступа) > Access Profiles (Профили доступа) > SAML и создайте ресурс SAML для созданного вами IdP.

Перейдите к своему профилю доступа и отредактируйте политику доступа, используемую для разграничения доступа кода Webex Messenger.

Добавьте новый элемент на вкладке Logon (Вход) с названием Logon Page и оставьте значения, используемые по умолчанию.

Добавьте новый элемент на вкладке Authentication (Аутентификация) с названием AD Auth и укажите Active Directory в качестве сервера.

В успешной ветви добавьте AD Query (Запрос AD) с вкладки Authentication (Аутентификация)

Откройте Branch Rules (Правила ветви) и измените используемое правило на правило AD Query is Passed (Запрос AD передан).

В успешной ветви AD Query (Запрос AD) добавьте Advanced Resource Assign (Назначение расширенного ресурса) с вкладки Assignment (Назначение).

Щелкните Add/delete (Добавить/удалить) и добавьте два ресурса SAML со всеми созданными вами ресурсами SAML и Webtop.

В разделе Select Ending (Выбор окончания) выберите Allow (Разрешить).

Политика доступа должна выглядеть так, как показано на этом снимке экрана.

Перейдите к меню Local Traffic (Локальный трафик) > Virtual Servers (Виртуальные серверы).

Откройте Access Profiles (Профили доступа) и убедитесь, что с профилем не связаны никакие виртуальные серверы.

Выберите Advanced Resource Assign (Назначение расширенного ресурса).

Выберите Add/delete (Добавить/удалить), чтобы добавить новый ресурс SAML.

Закройте окна разработки политики доступа и примените новую политику доступа.

Выберите один из вариантов.

• Вернитесь в Control Hub на страницу выбора сертификатов в браузере и щелкните Далее.
• Если Control Hub не открыт во вкладке браузера, в окне просмотра информации о клиенте в https://admin.webex.com перейдите в раздел Управление > Настройки организации, прокрутите страницу до раздела Аутентификация и выберите Действия > Импорт метаданных.

На странице импорта метаданных IdP перетащите файл метаданных IdP на страницу либо воспользуйтесь параметром "Браузер файлов", чтобы найти и загрузить файл метаданных. Щелкните Далее.

Выберите Настройка тестирования SSO и в открывшейся новой вкладке браузера выполните аутентификацию с помощью поставщика удостоверений посредством входа в систему.

Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка в приложении Webex обычно означает, что настройки SSO выполнены неверно. В этом случае повторите шаги еще раз, особенно шаги копирования и вставки метаданных Control Hub в настройку IdP.

Для непосредственного наблюдения за процессом входа в SSO также можно щелкнуть Скопировать URL-адрес в буфер обмена на этом экране и вставить его в окно своего браузера. После этого можно войти в систему посредством SSO. На этом этапе ложные срабатывания блокируются благодаря наличию маркера доступа, который может быть создан в текущем сеансе после вашего входа в систему.

Вернитесь на вкладку браузера с Control Hub.

• Если тестирование прошло успешно, выберите Успешное тестирование. Активируйте SSO и щелкните Далее.
• Если тестирование прошло с ошибками, выберите Тестирование не пройдено. Деактивируйте SSO и щелкните Далее.

Для активации конфигурации SSO для вашей организации нужно перевести переключатель в соответствующее положение и активировать SSO.