Nakonfigurujte jednorazové prihlásenie v Control Hub pomocou aplikácie Shibboleth

Jednotlivé prihlasovacie a ovládacie centrum

Jednorazové prihlásenie (SSO) je proces autentifikácie relácie alebo používateľa, ktorý umožňuje používateľovi poskytnúť poverenia na prístup k jednej alebo viacerým aplikáciám. Tento proces overuje používateľov pre všetky aplikácie, na ktoré majú udelené práva. Eliminuje ďalšie výzvy, keď používatelia prepínajú aplikácie počas konkrétnej relácie.

Federačný protokol Security Assertion Markup Language (SAML 2.0) sa používa na zabezpečenie autentifikácie SSO medzi cloudom Webex a vašim poskytovateľom identity (IdP).

Profily

Webex App podporuje iba profil SSO webového prehliadača. V profile SSO webového prehliadača Webex App podporuje nasledujúce väzby:

SP inicioval POST -> POST väzbu
SP inicioval REDIRECT -> POST väzbu

Formát NameID

Protokol SAML 2.0 podporuje niekoľko formátov NameID pre komunikáciu o konkrétnom používateľovi. Webex App podporuje nasledujúce formáty NameID.

urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

V metadátach, ktoré načítate z vášho IDP, je prvá položka nakonfigurovaná na použitie vo Webexe.

SingleLogout

Webex App podporuje jeden profil odhlásenia. V aplikácii Webex sa používateľ môže odhlásiť z aplikácie, ktorá pomocou protokolu jediného odhlásenia SAML ukončí reláciu a potvrdí odhlásenie pomocou vášho IDP. Uistite sa, že váš IDP je nakonfigurovaný pre SingleLogout.

Integrujte Control Hub s Shibboleth

Konfiguračné príručky ukazujú konkrétny príklad integrácie SSO, ale neposkytujú vyčerpávajúcu konfiguráciu pre všetky možnosti. Napríklad nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transientsú zdokumentované integračné kroky. Iné formáty, ako urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddressnapríklad, budú fungovať pre integráciu SSO, ale sú mimo rozsahu našej dokumentácie.

Nastavte túto integráciu pre používateľov vo vašej organizácii Webex (vrátane aplikácie Webex a ďalších služieb spra Webex Meetings vovaných v Control Hub). Ak je vaša lokalita Webex integrovaná do Control Hub, lokalita Webex zdedí správu používateľov. Ak nemáte prístup týmto Webex Meetings spôsobom a nie je spravovaný v Control Hub, musíte vykonať samostatnú integráciu, aby ste mohli povoliť SSO. Webex Meetings

Integračné kroky sa týkajú Shibboleth 2.4.5 v CentOS 7 s Tomcat 7 ako webovým serverom.

Skôr ako začnete

Pre SSO a Control Hub musia IDP spĺňať špecifikáciu SAML 2.0. Okrem toho musia byť IDP nakon figurované nasledujúcim spôsobom:

Stiahnite si metadáta Webex do svojho lokálneho systému

1	Prihláste sa do Control Hub.
2	Prejdite do časti Správa > Zabez pečenie > Autentifik ácia.
3	Prejdite na kartu Po skytovateľ identity a kliknite na položku Aktivovať SSO.
4	Vyberte IDP.
5	Vyberte typ certifikátu pre vašu organizáciu: Samostatne podpísané spoločnosťou Cisco — Odporúčame túto voľ bu. Dovoľte nám podpísať certifikát, aby ste ho museli obnoviť iba raz za päť rokov. Pod@@ písané verejným certifikačným orgá nom — bezpečnejšie, ale budete musieť často aktualizovať metadáta (pokiaľ váš dodávateľ IDP nepodporuje dôveryhodné kotvy). Dôveryhodné kotvy sú verejné kľúče, ktoré slúžia ako autorita na overenie certifikátu digitálneho podpisu. Ďalšie informácie nájdete v dokumentácii IDP.
6	Stiahnite si súbor metadát. <org-ID>Názov súboru metadát Webex je id b-meta- -SP.xml.

Konfigurácia autorizácie v súboroch Shibboleth

Po inštalácii Shibboleth sa vám poskytnú konfiguračné súbory s príkladmi.

1	Prejdite do adresára /opt/shibboleth -idp/conf pre prístup k príkladovým súborom.
2	Rozhodnite sa, ktorú autorizačnú metódu použijete - napríklad viazať LDAP. Active Directory
3	Upravte súbor handler.xml nasledovne: Zrušiť komentár `<!-- Username/password login handler --> <ph:LoginHandler xsi:type="ph:UsernamePassword" jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config"> <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport </ph:AuthenticationMethod> </ph:LoginHandler>` komentár `<ph:LoginHandler xsi:type="ph:RemoteUser"> <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod> </ph:LoginHandler>`
4	Vyplňte svoje podrobnosti, Active Directory aby ste umožnili autentifikáciu. Poskytnite konfiguráciu súboru login.config. `ShibUserPassAuth { edu.vt.middleware.ldap.jaas.LdapLoginModule required ldapUrl="ldap://ad0a.cisco.net:389" ssl="false" tls="false" baseDn="cn=Users,dc=cisco,dc=net" subtreeSearch="true" userFilter="sAMAccountName={0}" bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net" bindCredential="ThePassword"; };`

Nakonfigurujte komponenty poskytovateľa služieb Shibboleth pre tvrdenie SAML

Pridajte súbor, ktorý ste stiahli z Webex SP do adres ára /opt/shibboleth-idp/metadata.

Upravte súbor relying-party.xml; po značke DefaultRelyingParty pridajte podrobnosti o tvrdení SAML pre Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

Pre id musíte použiť hodnotu EntityId zo súboru metadát Webex. Nahraďte ID príkladu EntityID vašej organizácie.

Vo vnútri značky Metadata:MetadataProvider pridajte umiestnenie súboru:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

Metaúdaje SP pochádzajú zo súboru v súborovom systéme Shibboleth v mieste, kde ste nahrali metadáta pre vašu organizáciu Webex.

Nakonfigurujte atribúty tvrdení

1	V časti Data Connector zadajte, kde chcete načítať atribúty používateľov. Active Directory, s ID MyLDAP. `<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory" ldapURL="ldap://ad0a.cisco.net:389" baseDN="cn=Users,dc=cisco,dc=net" principal="Administrator@cisco.net" principalCredential="ThePassword"> <dc:FilterTemplate> <![CDATA[ (sAMAccountName=$requestContext.principalName) ]]> </dc:FilterTemplate> </resolver:DataConnector>`
2	V časti Definícia atribútu ponechajte to, čo je už v konfigurácii pre TransientID.
3	Pridajte ďalší atribút, ktorý SP očakáva, a definujte, na čo mapuje v zdroji atribútu. Zmapovať atribút mail (atribút e-mailovej adres Active Directory y) na uid (UserID vo Webex). `<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" sourceAttributeID="mail"> <resolver:Dependency ref="MyLDAP" /> <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" /> </resolver:AttributeDefinition>`
4	Definujte atribút, ktorý má poskytnúť každej dohode SP v súbore attribute-filter.xml. Poskytnite Webex atribút uid, ktorý sa mapuje na e-mailovú adresu používateľa. Uvoľnite atribút uid k dohode SP so spoločnosťou Webex. `<!-- Release the attributes to cisco CI Cloud --> <afp:AttributeFilterPolicy id="ReleaseToCI"> <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" /> <afp:AttributeRule attributeID="transientId"> <afp:PermitValueRule xsi:type="basic:ANY"/> </afp:AttributeRule> <afp:AttributeRule attributeID="mail-attr"> <afp:PermitValueRule xsi:type="basic:ANY" /> </afp:AttributeRule> </afp:AttributeFilterPolicy>` Pravidlo, ktoré ste vytvorili v attribute-resolver.xml, by malo obsahovať politiku na uvoľnenie atribútu mail-attr na EntityID, ktorý zodpovedá Webexu.
5	Stiahnite si súbor metadát zo servera Shibboleth v /opt/shibboleth-idp/metadata. Názov súboru je idp-metadata.xml.

Importujte metaúdaje IDP a povoľte jednorazové prihlásenie po teste

Po exportovaní metadát Webex, nakonfigurovaní vášho IDP a stiahnutí metadát IdP do miestneho systému ste pripravení importovať ich do organizácie Webex z Control Hub.

Skôr ako začnete

Netestujte integráciu SSO z rozhrania poskytovateľa identity (IDP). Podporujeme iba toky iniciované poskytovateľom služieb (SP-iniciované), takže pre túto integráciu musíte použiť test SSO Control Hub.

1	Vyberte si jednu: Vráťte sa na stránku Control Hub — výber certifikátu vo vašom prehliadači a potom kliknite na tlači dlo Ďalej. Znovu otvorte Control Hub, ak už nie je otvorený na karte prehliadača. V zobrazení zákazníka v Control Hub prejdite na položky S práva > Zabez peč enie > Autentifikácia, vyberte položku IDP a potom vyberte položky Ak cie > Importovať metadáta.
2	Na stránke Importovať metaúdaje IDP buď presuňte súbor metadát IdP na stránku alebo použite možnosť Prehliadač súborov na vyhľadanie a nahranie súboru met adát. Kliknite na tlačidlo Ďalej. Ak môžete, mali by ste použiť možnosť Bezpečnejšie. Je to možné len vtedy, ak váš IdP použil na podpis svojich metadát verejnú certifikáciu. Vo všetkých ostatných prípadoch musíte použiť možnosť Men ej bezpeč né. To zahŕňa aj prípady, ak metadáta nie sú podpísané, vlastne podpísané alebo podpísané súkromným určným certifikátom. Okta nepodpíše metadáta, takže pre integráciu Okta SSO musíte vybrať Menej bezpeč né.
3	Vyberte položku Testovať nastavenie SSO a keď sa otvorí nová karta prehliadača, overte sa pomocou IDP prihlásením. Ak sa zobrazí chyba autentifikácie, môže dôjsť k problému s prihlasovacími údajmi. Skontrolujte používateľské meno a heslo a skúste to znova. Chyba aplikácie Webex zvyčajne znamená problém s nastavením SSO. V takom prípade znova prej dite krokmi, najmä krokmi, pri ktorých skopírujete a prilep íte metaúdaje Control Hub do nastavenia IDP. Ak chcete priamo zobraziť zážitok s prihlásením SSO, môžete tiež kliknúť na položku Kopírovať adresu URL do schrán ky z tejto obrazovky a vlo žiť ju do súkromného okna prehliadača. Odtiaľ sa môžete prihlá siť pomocou SSO. Tento krok zastaví falošné pozitíva z dôvodu prístupového tokenu, ktorý môže byť v existujúcej relácii, keď ste sa prihlá sili.
4	Vráťte sa na kartu prehliadača Control Hub. Ak bol test úspešný, vyberte položku Ú spešný test. Zapnite SSO a kliknite na tlačidlo Ďalej. Ak bol test neúspešný, vyberte položku Ne úspešný test. Vypnite SSO a kliknite na tlačidlo Ďalej. Konfigurácia SSO nenadobudne účinnosť vo vašej organizácii, pokiaľ nevyberi ete prvé tlačidlo rádia a neaktivujete SSO.