- Главная
- /
- Статья
Благодарим вас за обратную связь.
В этой статье
Отправить обратную связь?Можно настроить интеграцию системы единого входа (SSO) между клиентской организацией Control Hub и развертыванием, использующим Microsoft Entra ID в качестве поставщика удостоверений (IdP).
Единый вход и центр управления
Единый вход (SSO) — это процесс аутентификации сеанса или пользователя, который позволяет пользователю предоставлять учетные данные для доступа к одному или нескольким приложениям. Этот процесс аутентифицирует пользователей для всех приложений, на которые им предоставлены права. Это устраняет дополнительные запросы при смене приложений пользователями во время определенного сеанса.
Протокол федерации языка разметки утверждений безопасности (SAML 2.0) используется для обеспечения аутентификации SSO между облаком Webex и вашим поставщиком идентификационных данных (IdP).
Профили
Приложение Webex поддерживает только профиль SSO веб-браузера. В профиле SSO веб-браузера приложение Webex поддерживает следующие привязки:
-
Привязка POST -> POST по инициативе SP
-
Переадресация, инициированная SP -> Привязка
Формат идентификатора имени
Протокол SAML 2.0 поддерживает несколько форматов NameID для передачи информации об определенном пользователе. Приложение Webex поддерживает следующие форматы NameID.
-
urn:oasis:names:tc:SAML:2.0:nameid-format:transient -
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified -
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
В метаданных, загружаемых из IdP, первая запись настроена для использования в Webex.
Интегрируйте Центр управления с Microsoft Entra ID
Webex поддерживает только одного IdP для каждого запроса аутентификации. Процесс аутентификации выглядит следующим образом: Пользователь > Аутентификация Webex > IdP 1 > Аутентификация Webex > Пользователь. Это означает, что, хотя разные пользователи могут аутентифицироваться с использованием разных ВПЛ, пользователь не может переключаться между несколькими ВПЛ за один процесс аутентификации. Любые дополнительные шаги, такие как многофакторная аутентификация, должны быть интегрированы с одним IdP, используемым для этого конкретного запроса.
В руководствах по настройке приведен конкретный пример интеграции системы единого входа, но они не содержат исчерпывающей информации по всем возможностям. Например, nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transientзадокументированы этапы интеграции. Другие форматы, такие как, urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddressподойдут для интеграции SSO, но они выходят за рамки нашей документации.
Настройте эту интеграцию для пользователей в вашей организации Webex (включая приложение Webex и другие службы, администрируемые в Control Hub). Webex Meetings Если ваш сайт Webex интегрирован в Control Hub, сайт Webex наследует управление пользователями. Если вы не можете получить доступ таким образом и управление им не осуществляется Webex Meetings в Control Hub, необходимо провести отдельную интеграцию, чтобы включить функцию единого входа для. Webex Meetings
Прежде чем начать
В системах SSO и Control Hub ВПЛ должны соответствовать спецификации SAML 2.0. Кроме того, ВПЛ необходимо настроить следующим образом:
- В Entra ID выделение ресурсов поддерживается только в ручном режиме. В этом документе описывается только интеграция системы единого входа (SSO).
- Существующие клиенты Webex с предыдущими конфигурациями интеграции могут столкнуться с проблемами со стандартным шаблоном Entra ID Webex из-за изменений атрибутов SAML. Мы рекомендуем настроить собственную федерацию Entra ID, чтобы решить эту проблему, используя предыдущие настройки SAML. Убедитесь, что вы провели тест единого входа Control Hub, чтобы обеспечить совместимость и устранить любые несоответствия.
Загрузите метаданные Webex в локальную систему
Загрузите метаданные Webex, прежде чем настраивать поставщика удостоверений. В этом файле содержатся настройки поставщика услуг Webex для вашей организации, и поставщик удостоверений использует эти настройки для распознавания Webex и отправки ответов о входе в SAML обратно в нужное место. Используйте этот файл метаданных при настройке приложения SAML в поставщике удостоверений.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений и нажмите Активировать SSO. |
| 4 |
Выберите IdP. |
| 5 |
Выберите тип сертификата для вашей организации:
Якоры доверия — это открытые ключи, которые служат органом для проверки сертификата цифровой подписи. Дополнительные сведения см. в документации вашего IdP. |
| 6 |
Загрузите файл метаданных. Имя файла метаданных Webex — idb-meta--SP.xml. <org-ID> |
Настройте параметры приложения SSO в Entra ID
Прежде чем начать
Прежде чем настраивать приложение SAML в Entra ID, убедитесь, что поставщик удостоверений готов и что ваши пользователи Webex уже существуют. Можно создавать пользователей локально или синхронизировать их из каталога. Оставьте файл метаданных Webex, загруженный из Control Hub, доступным, так как во время этой процедуры вы загрузите его в приложение SAML.
| 1 |
Войдите в центр администрирования Microsoft Entra и перейдите в раздел приложения. |
| 2 |
Откройте добавленное или созданное приложение Webex в галерее приложений. Нажмите здесь для получения дополнительной информации о различиях
между готовым приложением и настраиваемым Cisco Webex приложением SCIM 2.0.
|
| 3 |
|
| 4 |
Нажмите Загрузить файл метаданных, а затем выберите файл метаданных, загруженный из Control Hub. 
Некоторые поля заполняются автоматически. |
| 5 |
В разделе нажмите Настроить единый вход с помощью SAML > Изменить. |
| 6 |
Откройте «Базовая конфигурация SAML», скопируйте значение URL-адреса ответа, вставьте его в URL-адрес входа и сохраните изменения.
|
| 7 |
Перейдите в раздел и выберите соответствующих пользователей и группы, которым вы хотите предоставить доступ к приложению Webex. |
| 8 |
На странице Настройка единого входа с использованием SAML в разделе Сертификат подписи SAML нажмите Загрузить, чтобы загрузить XML-файл метаданных федерации и сохранить его на своем компьютере. |
Импортируйте метаданные IdP и включите единый вход после тестирования
После экспорта метаданных Webex, настройки IdP и загрузки метаданных IdP в локальную систему можно импортировать их в организацию Webex из Control Hub.
Прежде чем начать
Не тестируйте интеграцию SSO из интерфейса поставщика удостоверений (IdP). Мы поддерживаем только потоки, инициированные поставщиком услуг (SP-сервером), поэтому для этой интеграции необходимо использовать тест Control Hub SSO.
| 1 |
Выберите один из них:
|
| 2 |
На странице «Импорт метаданных IdP» перетащите файл метаданных IdP на страницу или воспользуйтесь опцией браузера файлов, чтобы найти и загрузить файл метаданных. Нажмите кнопку «Далее».
По возможности следует использовать опцию «Более безопасный». Это возможно только в том случае, если ваш IdP использовал публичный центр сертификации для подписи своих метаданных. Во всех остальных случаях следует использовать вариант «Менее безопасный». Сюда входит, если метаданные не подписаны, не подписаны самостоятельно или подписаны частным центром сертификации. Okta не подписывает метаданные, поэтому для интеграции Okta SSO следует выбрать вариант «Менее безопасный». |
| 3 |
Выберите «Протестировать настройку SSO» и, когда откроется новая вкладка браузера, выполните аутентификацию у IdP, войдя в систему. Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка приложения Webex обычно означает проблему с настройкой единого входа. В этом случае повторите эти шаги еще раз, особенно шаги по копированию и вставке метаданных Control Hub в настройку IdP. Чтобы непосредственно увидеть процесс входа в систему SSO, можно также нажать Скопировать URL-адрес в буфер обмена с этого экрана и вставить его в окно частного браузера. После этого вы можете пошагово войти в систему с помощью SSO. Этот шаг позволяет избежать ложных срабатываний, связанных с токеном доступа, который может находиться в существующем сеансе на момент входа в систему. |
| 4 |
Вернитесь на вкладку браузера Control Hub.
Конфигурация SSO вступит в силу в вашей организации только после того, как вы нажмете первый переключатель и не активируете SSO. |
Что делать дальше
Воспользуйтесь процедурами, описанными в разделе Синхронизация пользователей Okta с Control Hub, если вы хотите перевести пользователей из Okta в облако Webex.
Используйте процедуры, описанные в разделе Синхронизация пользователей Microsoft Entra ID с Control Hub, если вы хотите выполнить инициализацию пользователей из Entra ID в облаке Webex.
Выполните процедуру, описанную в разделе Подавление автоматической рассылки электронной почты, чтобы отключить отправку электронных писем новым пользователям приложения Webex в вашей организации. В документе также содержатся рекомендации по рассылке сообщений пользователям вашей организации.
Устраните неполадки при интеграции Entra ID
При тестировании SSO используйте Mozilla Firefox с дополнением SAML Tracer для проверки утверждения SAML, полученного из Entra ID.
В этом утверждении убедитесь, что NameIDэлемент использует формат идентификатора временного имени.
<NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">...</NameID>Также убедитесь, что утверждение содержит uidатрибут и что значение соответствует пользователю в приложении Webex.
<Attribute Name="uid">
<AttributeValue>...</AttributeValue>
</Attribute>
