Изменение аутентификации при едином входе в Control Hub

Перед началом работы

Убедитесь в том, что с 2003 г. совмеся следующие предварительные условия:

  • SSO уже настроена. Информацию об использовании мастера настройки единого входа см. в разделе Интеграция единого входа в Control Hub.

  • Домены уже проверены.

  • Домены заявлены и включены. Эта функция гарантирует, что пользователи из вашего домена будут создаваться и обновляться каждый раз, когда они проходят аутентификацию у вашего поставщика удостоверений.

  • Если включены DirSync или Entra ID, то создание или обновление SAML JIT работать не будет.

  • "Блокировка профиль пользователя обновлений" включена. Сопоставление обновлений SAML разрешено, поскольку эта конфигурация управляет возможностью пользователя редактировать атрибуты. Методы создания и обновления, управляемые администратором, все еще поддерживаются.

Недавно созданные пользователи не будут автоматически получать назначенные лицензии, если в организации не настроен автоматический шаблон лицензии .

Предоставление пользователям возможности предоставления групп SAML JIT ограничено только одной группой.

Настройка сопоставления Just-in-Time (JIT) и SAML
1

Войдите в Control Hub.

2

Перейти к Управлению > Безопасность > Аутентификация.

3

Перейдите на вкладку Поставщик удостоверений.

4

Перейдите в IdP и нажмите Меню "Дополнительно".

5

Выберите Изменить сопоставление SAML.

6

Настройте параметры «точно в срок» (JIT).

  • Создать или активировать пользователя: Если активный пользователь не найден, то Webex Identity создает пользователя и обновляет атрибуты после аутентификации пользователя у IdP.
  • Обновление пользователя с помощью атрибутов SAML. При обнаружении пользователя с адресом электронной почты Удостоверение Webex обнорит атрибуты в утверждении SAML.
Подтвердите, что пользователи могут войти в систему, используя другой, неопознанный адрес электронной почты.

7

Настройте требуемые атрибуты сопоставления SAML.

Таблица 1. Обязательные атрибуты

Имя атрибута удостоверения Webex

Имя атрибута SAML

Описание атрибута

Имя пользователя/основной адрес электронной почты

Пример. uid

Сопоставьте атрибут UID с предоставленным адресом электронной почты, именем UPN или именем edupersonprincipalname.

8

Настройте атрибуты связывания.

Он должен быть уникальным для пользователя. Он используется для поиска пользователя, чтобы Webex мог обновить все атрибуты профиля пользователя, включая адрес электронной почты.
Таблица 2. Связывание атрибутов

Имя атрибута удостоверения Webex

Имя атрибута SAML

Описание атрибута

externalId

Пример. user.objectid

Чтобы идентифицировать этого пользователя с учетом отличий от других индивидуальных профилей. Это необходимо при сопоставлении каталогов или изменении других атрибутов профиля.

Атрибут расширения 1

Пример. user.extensionattribute1

Сопоставьте эти пользовательские атрибуты с расширенными атрибутами в Entra ID или вашем каталоге для кодов отслеживания.

Атрибут расширения 2

Пример. user.extensionattribute2

Атрибут расширения 3

Пример. user.extensionattribute3

Атрибут расширения 4

Пример. user.extensionlattribute4

Атрибут расширения 5

Пример. user.extensionattribute5

9

Настроить атрибуты профиля.

Таблица 3. Атрибуты профиля

Имя атрибута удостоверения Webex

Имя атрибута SAML

Описание атрибута

externalId

Пример. user.objectid

Чтобы идентифицировать этого пользователя с учетом отличий от других индивидуальных профилей. Это необходимо при сопоставлении каталогов или изменении других атрибутов профиля.

Предпочтительный язык

Пример. user.preferredlanguage

Предпочитаемый язык пользователя.

Региональные параметры

Пример. user.locale

Основное рабочее место пользователя.

часовой пояс

Пример. user.timezone

Основной часовой пояс пользователя.

displayName

Пример. имя-пользователя.displayname

Отображаемое имя пользователя в Webex.

name.givenName

Пример. имя-пользователя.givenname

Имя пользователя.

name.familyName

Пример. user.фамилия

Фамилия пользователя.

addresses.streetAddress

Пример. user.streetaddress

Улица и номер дома основного рабочего места пользователя.

адреса.местоположение

Пример. пользователь.местоположениеНаселенный пункт основного рабочего места пользователя.

адресов.region

Пример. user.region

Регион основного рабочего места пользователя.

адреса.Почтовый индекс

Пример. user.postalcode

Почтовый индекс основного рабочего места пользователя.

addresses.country

Пример. user.country

Страна основного рабочего места пользователя.

phoneNumbers.work

Пример. рабочий номер телефона

Номер рабочего телефона на основном рабочем месте пользователя. Используйте только международный формат E.164 (максимум 15 цифр).

phoneNumbers.extension

Пример. добавочный номер телефона

Рабочий добавочный номер основного номера рабочего телефона пользователя. Используйте только международный формат E.164 (максимум 15 цифр).

phoneNumbers.mobile

Пример. номер мобильного телефонаНомер мобильного телефона на основном рабочем месте пользователя. Используйте только международный формат E.164 (максимум 15 цифр).

title

Пример. user.jobtitle

Должность пользователя.

отдел

Пример. user.department

Отдел или рабочая группа пользователя.

электронная почта.работаПример. рабочие электронные письмаРабочий адрес электронной почты пользователя.
организацияПример. пользователь.организацияИдентификатор организации пользователя
10

Настроить Групповые атрибуты.

  1. Создайте группу в Control Hub и запишите идентификатор группы Webex.
  2. Перейдите в свой каталог пользователей или IdP и настройте атрибут для пользователей, которым будет назначен идентификатор группы Webex.
  3. Обновите конфигурацию вашего поставщика удостоверений, включив в нее утверждение, содержащее это имя атрибута вместе с идентификатором группы Webex (например, c65f7d85-b691-42b8-a20b-12345xxxx). Вы также можете использовать внешний идентификатор для управления изменениями названий групп или для будущих сценариев интеграции. Например, синхронизация с Entra ID или реализация групповой синхронизации SCIM.
  4. Укажите точное имя атрибута, который будет отправлен в утверждении SAML с идентификатором группы. Используется для добавления пользователя в группу.
  5. Укажите точное имя внешнего идентификатора объекта группы, если вы используете группу из своего каталога для отправки участников в утверждении SAML.

Если пользователь A связан с groupID 1234, а пользователь B — с groupID 4567, они назначаются в отдельные группы. Этот сценарий показывает, что один атрибут позволяет пользователям ассоциировать себя с несколькими идентификаторами групп. Хоть это и встречается редко, но это возможно и может рассматриваться как дополнительное изменение. Например, если пользователь А изначально входит в систему, используя groupID 1234, он становится членом соответствующей группы. Если пользователь А позже войдет в систему, используя groupID 4567, он также будет добавлен во вторую группу.

Подготовка SAML JIT не поддерживает удаление пользователей из групп или любое удаление пользователей.

Таблица 4. Групповые атрибуты

Имя атрибута удостоверения Webex

Имя атрибута SAML

Описание атрибута

groupId

Пример. groupId

Сопоставление групповых атрибутов из IdP с групповыми атрибутами службы удостоверений Webex с целью сопоставления этого пользователя с группой для лицензирования или службы настроек.

groupexternalId

Пример. groupexternalId

Сопоставление групповых атрибутов из IdP с групповыми атрибутами службы удостоверений Webex с целью сопоставления этого пользователя с группой для лицензирования или службы настроек.

Список атрибутов утверждения SAML для Webex Meetings см. в . https://help.webex.com/article/WBX67566