Благодарим вас за обратную связь.
SSO с несколькими ВПЛ в Webex
Отправить обратную связь?Система единого входа (SSO) позволяет пользователям безопасно входить в Webex путем аутентификации у общего поставщика удостоверений вашей организации. Поставщик удостоверений (IdP) надежно хранит цифровые удостоверения ваших пользователей и управляет ими, а также предоставляет услугу аутентификации пользователей Webex.
Почему вам может понадобиться несколько ВПЛ
Многие крупные компании подвергаются слияниям и поглощениям, и у этих компаний редко есть одна и та же ИТ-инфраструктура и поставщики идентификационных данных. В подчинении государственных учреждений находятся различные организации и агентства. Часто эти организации имеют один адрес электронной почты для своих ИТ-отделов и инфраструктуры соответственно. В крупных учебных заведениях есть центральный отдел закупок, но в разных университетах и колледжах есть разные ИТ-организации и отделы.
Часто ВПЛ и поставщики услуг объединяются друг с другом. IdP отвечает за аутентификацию учетных данных ваших пользователей, а SP доверяет аутентификации, выполненной самим IdP. Это позволяет вашим пользователям получать доступ к различным приложениям и сервисам SaaS, используя одну и ту же цифровую идентификацию. Но если по какой-то причине ваша организация не может объединиться между ВПЛ, Webex предлагает обходной путь для поддержки нескольких ВПЛ. По этим причинам мы предоставляем вам возможность настроить SSO для нескольких ВПЛ в Webex и упростить процесс аутентификации пользователей.
Ограничения
- Если вы используете Directory Connector в своей организации, всем пользователям необходимо предоставить Directory Connector. Дополнительные сведения см. в руководстве по развертыванию Directory Connector.
- В настоящее время мы поддерживаем только SAML, OpenID Connect и Webex Identity в качестве поставщиков удостоверений.
Вне сферы применения
- Настройте групповые назначения.
- Верификация домена. Дополнительные сведения см. в разделе Управление доменами.
- Подготовка пользователей. Дополнительные сведения см. в разделе Способы добавления пользователей в организацию Control Hub.
В этом разделе описывается, как интегрировать поставщиков удостоверений (IdP) с организацией Webex . Можно выбрать ВПЛ, которые лучше всего соответствуют требованиям вашей организации.
Если вы хотите интегрировать Webex Meetings сайт с помощью единого входа (управляется в разделе Администрирование сайта), обратитесь к разделу Настройка единого входа для администрирования Webex.
Прежде чем начать
Убедитесь, что выполнены следующие условия:
- Вы должны иметь полную роль администратора в Control Hub.
- Файл метаданных от IdP для передачи Webex и файл метаданных от Webex для передачи IdP. Дополнительные сведения см. в разделе Интеграция системы единого входа в Control Hub. Это применимо только к конфигурации SAML.
- Перед настройкой нескольких IDP следует спланировать поведение правил маршрутизации.
Правило маршрутизации по умолчанию применяется после настройки первоначального IdP. Но по умолчанию вы можете установить другого IdP. См. раздел Добавление или редактирование правила маршрутизации на вкладке Правила маршрутизации в этой статье.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений и нажмите Активировать SSO. |
| 4 |
Выберите SAML в качестве IdP и нажмите «Далее». |
| 5 |
Выберите тип сертификата:
|
| 6 |
Нажмите Загрузить метаданные и нажмите кнопку Далее. Имя файла метаданных приложения Webex — idb-meta--SP.xml. <org-ID> |
| 7 |
Загрузите файл метаданных IDPS или заполните форму конфигурации. При загрузке файла метаданных есть два способа проверить метаданные от Customer IdP:
Нажмите кнопку «Далее». |
| 8 |
|
| 9 |
(Необязательно) Настройте параметры Just in Time (JIT) и ответ на сопоставление SAML. См. раздел Настройка сопоставлений точно в срок (JIT) и SAML на вкладке Управление ВПЛ в этой статье.
|
| 10 |
Нажмите «Проверить настройку единого входа» и, когда откроется новая вкладка браузера, выполните аутентификацию у IdP, войдя в систему. Проверьте соединение SSO, прежде чем включить его. Этот шаг работает в пробном режиме и не влияет на настройки вашей организации, пока вы не включите SSO на следующем шаге. Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка приложения Webex обычно означает проблему с настройкой единого входа. В этом случае повторите эти шаги еще раз, особенно шаги по копированию и вставке метаданных Control Hub в настройку IdP. Чтобы ознакомиться с процессом входа в систему SSO, рекомендуем нажать кнопку «Копировать URL-адрес в буфер обмена» на этом экране и вставить его в окно частного браузера. После этого вы можете пошагово войти в систему с помощью SSO. Это поможет удалить любую информацию, кэшированную в веб-браузере, которая может дать ложноположительный результат при тестировании конфигурации SSO. |
| 11 |
Вернитесь на вкладку браузера Control Hub.
Конфигурация SSO вступит в силу в вашей организации только после того, как вы выберете первый переключатель и не активируете SSO. |
Что делать дальше
Можно настроить правило маршрутизации. См. раздел Добавление или редактирование правила маршрутизации на вкладке Правила маршрутизации в этой статье.
Выполните процедуру, описанную в разделе Подавление автоматической рассылки электронной почты, чтобы отключить отправку электронных писем новым пользователям приложения Webex в вашей организации. В документе также содержатся рекомендации по рассылке сообщений пользователям вашей организации.
При настройке OpenID Connect с помощью Entra ID или IdP, если электронное письмо не является постоянным идентификатором, мы рекомендуем использовать атрибут ссылки
ExternalID для сопоставления с уникальным идентификатором. Для Entra ID мы рекомендуем сопоставить OIDC с ExternalID. Если мы обнаружим, что электронное письмо
не соответствует атрибуту ссылки, пользователю будет предложено подтвердить свою личность или
создать нового пользователя с правильным адресом электронной почты.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений и нажмите Активировать SSO. |
| 4 |
Выберите OpenID Connect в качестве своего IdP и нажмите «Далее». |
| 5 |
Введите информацию о своем IdP.
|
| 6 |
(Необязательно) Включите опцию Разрешить настройку Proof Key for Code Exchange (PKCE), чтобы настроить OIDC IdP с помощью этого расширения безопасности. Это повышает безопасность клиентских приложений и обеспечивает совместимость с пользователями, нуждающимися в этом. |
| 7 |
Выберите способ добавления конечных точек. Это можно сделать автоматически или вручную.
|
| 8 |
(Необязательно) Настройте параметры точно в срок (JIT). См. раздел Настройка сопоставлений точно в срок (JIT) и SAML на вкладке Управление ВПЛ в этой статье.
|
| 9 |
Нажмите «Проверить настройку единого входа» и, когда откроется новая вкладка браузера, выполните аутентификацию у IdP, войдя в систему. Проверьте соединение SSO, прежде чем включить его. Этот шаг работает в пробном режиме и не влияет на настройки вашей организации, пока вы не включите SSO на следующем шаге. Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка приложения Webex обычно означает проблему с настройкой единого входа. В этом случае повторите эти шаги еще раз, особенно шаги по копированию и вставке метаданных Control Hub в настройку IdP. Чтобы ознакомиться с процессом входа в систему SSO, рекомендуем нажать кнопку «Копировать URL-адрес в буфер обмена» на этом экране и вставить его в окно частного браузера. После этого вы можете пошагово войти в систему с помощью SSO. Это поможет удалить любую информацию, кэшированную в веб-браузере, которая может дать ложноположительный результат при тестировании конфигурации SSO. |
| 10 |
Вернитесь на вкладку браузера Control Hub.
Конфигурация SSO вступит в силу в вашей организации только после того, как вы выберете первый переключатель и не активируете SSO. |
Что делать дальше
Можно настроить правило маршрутизации. См. раздел Добавление или редактирование правила маршрутизации на вкладке Правила маршрутизации в этой статье.
Выполните процедуру, описанную в разделе Подавление автоматической рассылки электронной почты, чтобы отключить отправку электронных писем новым пользователям приложения Webex в вашей организации. В документе также содержатся рекомендации по рассылке сообщений пользователям вашей организации.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений и нажмите Активировать SSO. |
| 4 |
Выберите Webex в качестве IdP и нажмите «Далее». |
| 5 |
Убедитесь, что я прочитал и понял, как работает Webex IdP, и нажмите «Далее». |
| 6 |
Настройте правило маршрутизации. См. раздел Добавление или редактирование правила маршрутизации на вкладке Правила маршрутизации в этой статье. |
После добавления правила маршрутизации ваш IdP будет добавлен и показан на вкладке Поставщик удостоверений.
Что делать дальше
Выполните процедуру, описанную в разделе Подавление автоматической рассылки электронной почты, чтобы отключить отправку электронных писем новым пользователям приложения Webex в вашей организации. В документе также содержатся рекомендации по рассылке сообщений пользователям вашей организации.
Правила маршрутизации применимы при настройке нескольких IdP. Правила маршрутизации позволяют Webex определить, к какому IdP следует отправлять пользователей, если вы настроили несколько IDP.
При настройке нескольких IdP вы можете определить правила маршрутизации в мастере настройки SSO. Если вы пропустите шаг правила маршрутизации, Control Hub добавит IdP, но не активирует IdP. Чтобы активировать IdP, необходимо добавить правило маршрутизации.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Правила маршрутизации. При настройке первого IdP правило маршрутизации добавляется автоматически и устанавливается в качестве правила по умолчанию. Позже вы можете выбрать другого IdP и установить его в качестве правила по умолчанию. |
| 4 |
Нажмите Добавить новое правило маршрутизации. |
| 5 |
Введите сведения о правиле маршрутизации:
|
| 6 |
Выберите метод многофакторной аутентификации (MFA):
Дополнительные сведения о настройке многофакторной аутентификации в организации см. в разделе Включение интеграции многофакторной аутентификации в Control Hub. |
| 7 |
Нажмите кнопку «Добавить». |
| 8 |
Выберите новое правило маршрутизации и нажмите «Активировать». |
Можно изменить порядок приоритета правил маршрутизации, если у вас есть правила маршрутизации для нескольких ВПЛ.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Правила маршрутизации. |
| 4 |
Выберите правило маршрутизации. |
| 5 |
Выберите, хотите ли вы деактивировать или удалить правило маршрутизации. Рекомендуется использовать другое активное правило маршрутизации для IdP. В противном случае вы можете столкнуться с проблемами при входе в систему SSO. |
Правило по умолчанию нельзя деактивировать или удалить, но вы можете изменить маршрутизируемый IdP.
Прежде чем начать
Время от времени вы можете получать уведомление по электронной почте или видеть предупреждение в Control Hub о том, что срок действия сертификата IdP истекает. Поскольку поставщики IdP имеют собственную специальную документацию по продлению сертификата, мы расскажем о том, что требуется в Control Hub, а также расскажем об общих шагах по извлечению обновленных метаданных IdP и загрузке их в Control Hub для продления сертификата.
Это применимо только к конфигурации SAML.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений. |
| 4 |
Перейдите в раздел IdP, нажмите Чтобы загрузить файл метаданных, нажмите
 и выберите «Загрузить метаданные Idp». |
| 5 |
Перейдите в интерфейс управления IdP, чтобы получить новый файл метаданных. |
| 6 |
Вернитесь в Control Hub и перетащите файл метаданных IdP в область загрузки или нажмите «Выбрать файл» для загрузки метаданных. |
| 7 |
Выберите «Менее безопасный» (самозаверенный) или «Более безопасный» (с подписью публичного центра сертификации) в зависимости от способа подписания метаданных IdP и нажмите «Сохранить». |
| 8 |
Настройте параметры точно в срок (JIT) и ответ на сопоставление SAML. См. раздел Настройка сопоставлений точно в срок (JIT) и SAML на вкладке Управление ВПЛ в этой статье.
|
| 9 |
Нажмите «Проверить настройку единого входа» и, когда откроется новая вкладка браузера, выполните аутентификацию у IdP, войдя в систему. Проверьте соединение SSO, прежде чем включить его. Этот шаг работает в пробном режиме и не влияет на настройки вашей организации, пока вы не включите SSO на следующем шаге. Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка приложения Webex обычно означает проблему с настройкой единого входа. В этом случае повторите эти шаги еще раз, особенно шаги по копированию и вставке метаданных Control Hub в настройку IdP. Чтобы ознакомиться с процессом входа в систему SSO, рекомендуем нажать кнопку «Копировать URL-адрес в буфер обмена» на этом экране и вставить его в окно частного браузера. После этого вы можете пошагово войти в систему с помощью SSO. Это поможет удалить любую информацию, кэшированную в веб-браузере, которая может дать ложноположительный результат при тестировании конфигурации SSO. |
| 10 |
Нажмите кнопку «Сохранить». |
и выберите Прежде чем начать
При продлении срока действия сертификата SP рекомендуется обновить информацию обо всех своих ВПЛ в организации.
Это применимо только к конфигурации SAML.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений. |
| 4 |
Перейдите к IdP и нажмите |
| 5 |
Нажмите «Просмотреть сертификаты и дату истечения срока действия». После этого вы перейдете на страницу сертификатов поставщика услуг (SP). Вы можете
нажать Если в вашей организации используются двойные сертификаты, у вас также есть возможность заменить вторичный сертификат на первичный или удалить существующий вторичный сертификат. |
| 6 |
Нажмите кнопку «Обновить сертификат». |
| 7 |
Выберите тип IdP в вашей организации:
|
| 8 |
Выберите тип сертификата для продления:
|
| 9 |
Чтобы подтвердить, что вы хотите заменить текущий сертификат выбранным, установите флажок Нажав кнопку Заменить сертификат, я поменяю текущий сертификат на выбранный, а затем нажмите Заменить сертификат. |
| 10 |
На странице Продление сертификатов поставщика услуг (SP) нажмите Загрузить метаданные или Загрузить сертификат, чтобы загрузить копию обновленного файла метаданных или сертификата из облака Webex. |
| 11 |
Перейдите в интерфейс управления IdP, чтобы загрузить новый файл метаданных Webex или сертификат. Этот шаг можно выполнить с помощью вкладки браузера, протокола удаленного рабочего стола (RDP) или через службу поддержки конкретного поставщика облачных услуг, в зависимости от настроек IdP и от того, отвечаете ли вы или отдельный администратор IdP за этот шаг. Для получения дополнительной информации ознакомьтесь с нашими руководствами по интеграции SSO или обратитесь за поддержкой к администратору IdP. Если вы используете службы Active Directory федерации (AD FS), вы можете узнать, как обновить метаданные Webex в AD FS |
| 12 |
Вернитесь к интерфейсу Control Hub. На странице Продление сертификатов поставщика услуг (SP) убедитесь, что я уже обновил метаданные для всех ВПЛ, а затем нажмите кнопку Далее. |
| 13 |
Нажмите кнопку Готово. |
.
, чтобы загрузить метаданные или сертификат SP. Прежде чем начать
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений. |
| 4 |
Перейдите к IdP и нажмите |
| 5 |
Выберите Test IdP. |
| 6 |
Нажмите «Проверить настройку единого входа» и, когда откроется новая вкладка браузера, выполните аутентификацию у IdP, войдя в систему. Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка приложения Webex обычно означает проблему с настройкой единого входа. В этом случае повторите эти шаги еще раз, особенно шаги по копированию и вставке метаданных Control Hub в настройку IdP. Чтобы ознакомиться с процессом входа в систему SSO, рекомендуем нажать кнопку «Копировать URL-адрес в буфер обмена» на этом экране и вставить его в окно частного браузера. После этого вы можете пошагово войти в систему с помощью SSO. Это поможет удалить любую информацию, кэшированную в веб-браузере, которая может дать ложноположительный результат при тестировании конфигурации SSO. |
| 7 |
Вернитесь на вкладку браузера Control Hub.
Конфигурация SSO вступит в силу в вашей организации только после того, как вы нажмете первый переключатель и не активируете SSO. |
Прежде чем начать
Убедитесь, что выполнены следующие предварительные условия:
-
SSO уже настроен.
-
Домены уже проверены.
-
Домены востребованы и включены. Эта функция обеспечивает создание и обновление пользователей вашего домена при каждой аутентификации у вашего IdP.
-
Если включены DirSync или Entra ID, создание или обновление SAML JIT не будет работать.
-
Включена опция «Заблокировать обновление профиля пользователя». Сопоставление обновлений SAML разрешено, поскольку эта конфигурация контролирует возможность пользователя редактировать атрибуты. Методы создания и обновления, управляемые администратором, по-прежнему поддерживаются.
При настройке SAML JIT с идентификатором Entra ID или IdP, если электронное письмо не является постоянным идентификатором, мы рекомендуем использовать атрибут ссылки
ExternalID для сопоставления с уникальным идентификатором. Если мы обнаружим
, что электронное письмо не соответствует атрибуту ссылки, пользователю будет предложено подтвердить свою
личность или создать нового пользователя с правильным адресом электронной почты.
Вновь созданным пользователям не будут автоматически назначены лицензии, если в организации не настроен шаблон автоматической лицензии.
| 1 |
Войдите в Control Hub. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
Перейдите в раздел . | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
Перейдите на вкладку Поставщик удостоверений. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
Перейдите к IdP и нажмите | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
Выберите Изменить сопоставление SAML. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
Настройте параметры «точно в срок» (JIT).
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
Настройте сопоставление необходимых атрибутов в SAML.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
Настройте атрибуты связывания. Это должно быть уникально для пользователя. Он используется для поиска пользователя, чтобы Webex мог
обновить все атрибуты профиля, включая адрес электронной почты пользователя.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
Настройте атрибуты профиля.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
Настройте атрибуты группы.
Если пользователь A связан с Подготовка SAML JIT не поддерживает удаление пользователей из групп или любое удаление пользователей.
Список атрибутов утверждений SAML для Jabber см. в разделе Атрибуты утверждений SAML для Webex Meetings и Jabber. Webex Meetings |
Прежде чем начать
Перед удалением IdP рекомендуется сначала деактивировать или удалить правила маршрутизации IdP.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений. |
| 4 |
Перейдите к IdP и нажмите |
| 5 |
Выберите «Удалить». |
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений. |
| 4 |
Нажмите «Деактивировать SSO». Подтвердите деактивацию SSO. |
После подтверждения SSO деактивируется для всех ВПЛ в вашей организации.
Вы будете получать уведомления в Control Hub до истечения срока действия сертификатов, но вы также можете заранее настроить правила оповещения. Эти правила позволяют заранее узнать, что срок действия ваших сертификатов SP или IdP истечет. Мы можем отправить их вам по электронной почте, через место в приложении Webex или и то, и другое.
Независимо от настроенного канала доставки все оповещения всегда отображаются в Control Hub. Дополнительные сведения см. в разделе Центр оповещений в Control Hub.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в центр оповещений. |
| 3 |
Выберите «Управление», затем «Все правила». |
| 4 |
В списке «Правила» выберите любое из правил SSO, которое вы хотите создать:
|
| 5 |
В разделе Канал доставки установите флажок « Электронная почта», «Пространство в Webex» или «и то, и другое». Если вы выберете «Электронная почта», введите адрес электронной почты, на который должно быть отправлено уведомление. Если вы выберете опцию Пространство Webex, вы автоматически добавитесь в пространство в приложении Webex, и мы доставим туда уведомления. |
| 6 |
Сохраните изменения. |
Что делать дальше
Мы отправляем уведомления об истечении срока действия сертификата каждые 15 дней, начиная с 60 дней до истечения срока действия сертификата. (Вы можете ожидать оповещений на 60-й, 45-й, 30-й и 15-й дни.) Оповещения прекращаются при продлении срока действия сертификата.
Если у вас возникнут проблемы с входом в систему единого входа, вы можете использовать опцию самовосстановления SSO, чтобы получить доступ к организации Webex, управляемой в Control Hub. Опция самовосстановления позволяет обновлять или отключать SSO в Control Hub.
