- Главная
- /
- Статья
Благодарим вас за обратную связь.
В этой статье
Отправить обратную связь?Можно настроить интеграцию системы единого входа (SSO) между Control Hub и развертыванием, использующим службы федерации Active Directory (ADFS 2.x и более поздние версии) в качестве поставщика удостоверений (IdP).
Единый вход и центр управления
Единый вход (SSO) — это процесс аутентификации сеанса или пользователя, который позволяет пользователю предоставлять учетные данные для доступа к одному или нескольким приложениям. Этот процесс аутентифицирует пользователей для всех приложений, на которые им предоставлены права. Это устраняет дополнительные запросы при смене приложений пользователями во время определенного сеанса.
Протокол федерации языка разметки утверждений безопасности (SAML 2.0) используется для обеспечения аутентификации SSO между облаком Webex и вашим поставщиком идентификационных данных (IdP).
Профили
Приложение Webex поддерживает только профиль SSO веб-браузера. В профиле SSO веб-браузера приложение Webex поддерживает следующие привязки:
-
Привязка POST -> POST по инициативе SP
-
Переадресация, инициированная SP -> Привязка
Формат идентификатора имени
Протокол SAML 2.0 поддерживает несколько форматов NameID для передачи информации об определенном пользователе. Приложение Webex поддерживает следующие форматы NameID.
-
URN:OASIS:names:tc:SAML:2.0:Формат идентификатора имени: временный -
URN:OASIS: имена: tc:SAML: 1.1:Формат идентификатора имени: не указан -
URL-адрес: OASIS: имена: tc:SAML: 1.1: формат идентификатора имени: адрес электронной почты
В метаданных, загружаемых из IdP, первая запись настроена для использования в Webex.
Единый выход из системы
Приложение Webex поддерживает единый профиль выхода из системы. В приложении Webex пользователь может выйти из приложения, которое использует протокол единого выхода SAML для завершения сеанса и подтверждения выхода со своим IdP. Убедитесь, что ваш IdP настроен для SingleLogout.
Интегрируйте концентратор управления с ADFS
В руководствах по настройке приведен конкретный пример интеграции системы единого входа, но они не содержат исчерпывающей информации по всем возможностям. Например, описаны этапы интеграции файла URN:OASIS:Names:TC:SAML:2.0:NameID-format:Transient. Другие форматы, такие как urn:OASIS:names:tc:saml:1.1:nameID-format:Unspecified или urn:oasis:names:tc:saml:1.1:nameID-format:EmailAddress, подойдут для интеграции с системой единого входа, но не входят в нашу документацию.
Настройте эту интеграцию для пользователей в вашей организации Webex (включая приложение Webex и другие службы, администрируемые в Control Hub). Webex Meetings Если ваш сайт Webex интегрирован в Control Hub, сайт Webex наследует управление пользователями. Если вы не можете получить доступ таким образом и управление им не осуществляется Webex Meetings в Control Hub, необходимо провести отдельную интеграцию, чтобы включить функцию единого входа для. Webex Meetings
В зависимости от того, что настроено в механизмах аутентификации в ADFS, встроенная аутентификация Windows (IWA) может быть включена по умолчанию. Если этот параметр включен, приложения, запускаемые через Windows (например, Webex App и Cisco Directory Connector), аутентифицируются в качестве пользователя, вошедшего в систему, независимо от того, какой адрес электронной почты был введен в первоначальном запросе по электронной почте.
Загрузите метаданные Webex в локальную систему
Загрузите метаданные Webex, прежде чем настраивать поставщика удостоверений. В этом файле содержатся настройки поставщика услуг Webex для вашей организации, и поставщик удостоверений использует эти настройки для распознавания Webex и отправки ответов о входе в SAML обратно в нужное место. Используйте этот файл метаданных при настройке приложения SAML в поставщике удостоверений.
| 1 |
Войдите в Control Hub. |
| 2 |
Перейдите в раздел . |
| 3 |
Перейдите на вкладку Поставщик удостоверений и нажмите Активировать SSO. |
| 4 |
Выберите IdP. |
| 5 |
Выберите тип сертификата для вашей организации:
|
| 6 |
Загрузите файл метаданных. Имя файла метаданных Webex — idb-meta--SP.xml. <org-ID> |
Установка метаданных Webex в ADFS
Прежде чем начать
Control Hub поддерживает ADFS 2.x или более позднюю версию.
Windows 2008 R2 включает только ADFS 1.0. Необходимо установить как минимум ADFS 2.x от корпорации Майкрософт.
Для служб SSO и Webex поставщики удостоверений (IDP) должны соответствовать следующей спецификации SAML 2.0:
-
Задайте для атрибута Формат NameID значение urn:oasis:names:tc:SAML:2.0:Формат NameID-format: переходный
-
Настройте запрос на IdP, включив в него имя атрибута uid со значением, сопоставленным с атрибутом, выбранным в Cisco Directory Connector, или пользовательским атрибутом, соответствующим атрибуту, выбранному в службе идентификации Webex. (Например, этим атрибутом могут быть адреса электронной почты или основное имя пользователя.) Инструкции см. в информации о настраиваемых атрибутах на сайте https://www.cisco.com/go/hybrid-services-directory.
| 1 |
Войдите на сервер ADFS с правами администратора. |
| 2 |
Откройте консоль управления ADFS и выберите . |
| 3 |
В окне Мастера добавления доверия доверяющих сторон выберите «Запустить». |
| 4 |
В поле «Выбрать источник данных» выберите «Импортировать данные о полагающейся стороне из файла», перейдите к загруженному файлу метаданных Control Hub и нажмите «Далее». |
| 5 |
В поле «Указать отображаемое имя» создайте отображаемое имя доверительного учреждения, например Webex, и нажмите «Далее». |
| 6 |
В поле «Выберите правила авторизации выдачи» выберите «Разрешить всем пользователям доступ к этой доверенной стороне» и нажмите «Далее». |
| 7 |
В поле «Готово к добавлению доверия» нажмите «Далее» и завершите добавление надежного доверия в ADFS. |
Создайте правила подачи заявок для аутентификации Webex
| 1 |
На главной панели ADFS выберите созданное вами доверительное отношение, а затем выберите Изменить правила подачи заявок. На вкладке Правила преобразования эмиссий выберите Добавить правило. |
| 2 |
На шаге Выберите тип правила выберите Отправить атрибуты LDAP в качестве утверждений, а затем нажмите кнопку Далее.  |
| 3 |
Снова нажмите Добавить правило, выберите Отправить заявки с использованием настраиваемого правила, а затем нажмите кнопку Далее. Это правило предоставляет ADFS атрибут «квалификатор spname», который в других случаях не предусмотрен Webex.
|
| 4 |
Выберите Reling Party Trust в главном окне, а затем выберите Свойства на правой панели. |
| 5 |
Когда появится окно «Свойства», перейдите на вкладку «Дополнительно» (SHA-256) и нажмите кнопку «ОК», чтобы сохранить изменения. |
| 6 |
Перейдите по следующему URL-адресу на внутреннем сервере ADFS, чтобы загрузить файл: https: //< AD_FS_Server >/FederationMetadata/2007-06/FederationMetadata.xml Возможно, потребуется щелкнуть правой кнопкой мыши на странице и просмотреть исходный код страницы, чтобы получить правильно отформатированный XML-файл. |
| 7 |
Сохраните файл на локальном компьютере. |
Что делать дальше
Вы готовы импортировать метаданные ADFS обратно в Webex с портала управления.
Импортируйте метаданные IdP и включите единый вход после тестирования
После экспорта метаданных Webex, настройки IdP и загрузки метаданных IdP в локальную систему можно импортировать их в организацию Webex из Control Hub.
Прежде чем начать
Не тестируйте интеграцию SSO из интерфейса поставщика удостоверений (IdP). Мы поддерживаем только потоки, инициированные поставщиком услуг (SP-сервером), поэтому для этой интеграции необходимо использовать тест Control Hub SSO.
| 1 |
Выберите один из них:
|
| 2 |
На странице «Импорт метаданных IdP» перетащите файл метаданных IdP на страницу или воспользуйтесь опцией браузера файлов, чтобы найти и загрузить файл метаданных. Нажмите кнопку «Далее».
По возможности следует использовать опцию «Более безопасный». Это возможно только в том случае, если ваш IdP использовал публичный центр сертификации для подписи своих метаданных. Во всех остальных случаях следует использовать вариант «Менее безопасный». Сюда входит, если метаданные не подписаны, не подписаны самостоятельно или подписаны частным центром сертификации. Okta не подписывает метаданные, поэтому для интеграции Okta SSO следует выбрать вариант «Менее безопасный». |
| 3 |
Выберите «Протестировать настройку SSO» и, когда откроется новая вкладка браузера, выполните аутентификацию у IdP, войдя в систему. Если вы получаете сообщение об ошибке аутентификации, возможно, возникла проблема с учетными данными. Проверьте имя пользователя и пароль и повторите попытку. Ошибка приложения Webex обычно означает проблему с настройкой единого входа. В этом случае повторите эти шаги еще раз, особенно шаги по копированию и вставке метаданных Control Hub в настройку IdP. Чтобы непосредственно увидеть процесс входа в систему SSO, можно также нажать Скопировать URL-адрес в буфер обмена с этого экрана и вставить его в окно частного браузера. После этого вы можете пошагово войти в систему с помощью SSO. Этот шаг позволяет избежать ложных срабатываний, связанных с токеном доступа, который может находиться в существующем сеансе на момент входа в систему. |
| 4 |
Вернитесь на вкладку браузера Control Hub.
Конфигурация SSO вступит в силу в вашей организации только после того, как вы нажмете первый переключатель и не активируете SSO. |
Что делать дальше
Воспользуйтесь процедурами, описанными в разделе Синхронизация пользователей Okta с Control Hub, если вы хотите перевести пользователей из Okta в облако Webex.
Используйте процедуры, описанные в разделе Синхронизация пользователей Microsoft Entra ID с Control Hub, если вы хотите выполнить инициализацию пользователей из Entra ID в облаке Webex.
Выполните процедуру, описанную в разделе Подавление автоматической рассылки электронной почты, чтобы отключить отправку электронных писем новым пользователям приложения Webex в вашей организации. В документе также содержатся рекомендации по рассылке сообщений пользователям вашей организации.
Обновите доверие доверительных сторон Webex к ADFS
Прежде чем начать
Перед обновлением Webex Reling Party Trust в ADFS необходимо экспортировать файл метаданных SAML из Control Hub.
| 1 |
Войдите на сервер ADFS с правами администратора. |
| 2 |
Загрузите файл метаданных SAML из Webex во временную локальную папку на сервере ADFS, например.
|
| 3 |
Откройте оболочку Powershell. |
| 4 |
Запустите Обратите внимание на параметр |
| 5 |
<org-ID>Запустите файл метаданных Обязательно замените имя файла и целевое имя правильными значениями из вашей среды. См. страницу https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.Если вы загрузили 5-летний сертификат Webex SP и включили функцию подписи или отзыва сертификатов шифрования, вам необходимо выполнить следующие две команды: |
| 6 |
Войдите в Control Hub и протестируйте интеграцию SSO:
|
.Устранение неполадок ADFS
Ошибки ADFS в журналах Windows
В журналах Windows вы можете увидеть код ошибки журнала событий ADFS 364. Сведения о событии указывают на недействительный сертификат. В этих случаях хосту ADFS запрещено проверять сертификат через брандмауэр на порту 80.
Произошла ошибка при попытке создать цепочку сертификатов для доверия доверяющей стороны
При обновлении сертификата SSO при входе в систему может возникнуть следующая ошибка: в ответ
неверный код состояния.
Если вы видите эту ошибку, проверьте журналы программы просмотра событий на сервере
ADFS и найдите следующую ошибку. При попытке
создать цепочку сертификатов для сертификата доверия
«https://idbroker.webex.com/», идентифицированного отпечатком «754B9208F1F75C5CC122740F3675C5D129471D80
», произошла ошибка<org-ID>. Возможные причины:
сертификат был отозван, цепочка сертификатов не может быть проверена в соответствии с настройками отзыва сертификатов шифрования доверия доверяющей стороны или срок действия сертификата истек.
<orgID>В случае возникновения этой ошибки необходимо выполнить команды
set-ADFSrelyingPartyTrust -TargetIdentifier https://idbroker.webex.com/ -EncryptionCertificateRevocationCheck None
Идентификатор федерации
Идентификатор федерации чувствителен к регистру букв. Если это адрес электронной почты вашей организации, введите его точно так, как отправляет его ADFS, иначе Webex не сможет найти подходящего пользователя.
Невозможно написать специальное правило подачи заявок для нормализации атрибута LDAP до его отправки.
Импортируйте метаданные с сервера ADFS , настроенного в своей среде.
При необходимости вы можете проверить URL-адрес, выбрав в управлении ADFS.
Синхронизация времени
Убедитесь, что системные часы сервера ADFS синхронизированы с надежным источником времени в Интернете, использующим протокол сетевого времени (NTP). Используйте следующую команду PowerShell, чтобы исказить время только в отношениях Webex Reling Party Trust.
Настройте целевой идентификатор «Доверие доверенных сторон» ADFS «https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE», а не раньше, чем в версии 3
Шестнадцатеричное значение уникально для вашей среды. Замените это значение значением идентификатора SP EntityDescriptor в файле метаданных Webex. Например:
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
