Jednotné prihlásenie a Control Hub

Jednotné prihlásenie (SSO) je relácia alebo proces autentifikácie používateľa, ktorý umožňuje používateľovi poskytnúť poverenia na prístup k jednej alebo viacerým aplikáciám. Proces overuje používateľov pre všetky aplikácie, na ktoré majú pridelené práva. Eliminuje ďalšie výzvy, keď používatelia prepínajú aplikácie počas konkrétnej relácie.

Protokol federácie SAML 2.0 (Security Assertion Markup Language) sa používa na poskytovanie overenia SSO medzi Webex cloud a váš poskytovateľ identity (IdP).

Profily

Aplikácia Webex podporuje iba profil SSO webového prehliadača. V profile SSO webového prehliadača Aplikácia Webex podporuje nasledujúce väzby:

  • SP inicioval väzbu POST -> POST

  • SP spustil väzbu PRESMEROVANIE -> POST

Formát NameID

Protokol SAML 2.0 podporuje niekoľko formátov NameID na komunikáciu o konkrétnom používateľovi. Aplikácia Webex podporuje nasledujúce formáty NameID.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

V metadátach, ktoré načítate od svojho poskytovateľa identity, je prvá položka nakonfigurovaná na použitie v Webex.

SingleLogout

Aplikácia Webex podporuje jeden profil odhlásenia. In Aplikácia Webex, používateľ sa môže odhlásiť z aplikácie, ktorá používa protokol jednotného odhlásenia SAML na ukončenie relácie a potvrdenie odhlásenia s vaším IdP. Uistite sa, že váš IdP je nakonfigurovaný na SingleLogout.

Integrovať Control Hub so Shibbolethom

Konfiguračné príručky zobrazujú konkrétny príklad integrácie SSO, ale neposkytujú vyčerpávajúcu konfiguráciu pre všetky možnosti. Napríklad integračné kroky pre nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient sú zdokumentované. Iné formáty ako napr urn:oasis:names:tc:SAML:1.1:nameid-format:nešpecifikované alebo urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress budú fungovať pre integráciu SSO, ale sú mimo rozsahu našej dokumentácie.

Nastavte túto integráciu pre používateľov vo svojom Webex organizácia (vrátane Aplikácia Webex, Webex stretnutiaa ďalšie služby spravované v Control Hub). Ak tvoj Webex stránka je integrovaná Control Hub, Webex stránka zdedí správu používateľov. Ak nemáte prístup Webex stretnutia týmto spôsobom a nespravuje sa v Control Hub, musíte vykonať samostatnú integráciu, aby ste povolili jednotné prihlásenie Webex stretnutia. (Pozri Nakonfigurujte jednotné prihlásenie pre Webex pre viac informácií o integrácii SSO v správe lokality.)

Kroky integrácie odkazujú na Shibboleth 2.4.5 v CentOS 7 s Tomcat 7 ako webový server.

Predtým ako začneš

Pre SSO a Control Hub, IdP musia spĺňať špecifikáciu SAML 2.0. Okrem toho musia byť IdP nakonfigurovaní nasledujúcim spôsobom:

Stiahnite si Webex metaúdaje do vášho lokálneho systému

1

Z pohľadu zákazníka v https://admin.webex.com, ísť do Zvládanie > Nastavenia organizáciea potom prejdite na Overeniea potom prepnite na Jednotné prihlásenie nastavenie na spustenie sprievodcu nastavením.
2

Vyberte typ certifikátu pre vašu organizáciu:

  • Vlastnoručne podpísané spoločnosťou Cisco— Odporúčame túto voľbu. Nechajte nás podpísať certifikát, takže ho stačí obnoviť raz za päť rokov.
  • Podpísané verejnou certifikačnou autoritou—Bezpečnejšie, ale budete musieť často aktualizovať metadáta (pokiaľ váš dodávateľ IdP nepodporuje dôveryhodné kotvy).

 

Dôveryhodné kotvy sú verejné kľúče, ktoré fungujú ako autorita na overenie certifikátu digitálneho podpisu. Ďalšie informácie nájdete v dokumentácii vášho poskytovateľa identity.
3

Stiahnite si súbor metadát.

The Webex názov súboru metadát je idb-meta-<org-ID>-SP.xml.

Nakonfigurujte autorizáciu v súboroch Shibboleth

Po nainštalovaní Shibboleth dostanete konfiguračné súbory s príkladmi.

1

Prejdite do adresára /opt/shibboleth-idp/conf pre prístup k vzorovým súborom.
2

Rozhodnite sa, ktorú metódu autorizácie použiť – napríklad väzbu LDAP na Active Directory.
3

Upravte handler.xml súbor takto:

Zrušiť komentár

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

Komentujte

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>
4

Vyplňte podrobnosti o svojom Active Directory, aby ste umožnili overenie. Poskytnite konfiguráciu súboru login.config.

Príklad:

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Nakonfigurujte komponenty poskytovateľa služieb Shibboleth pre uplatnenie SAML

1

Pridajte súbor, ktorý ste stiahli z Webex SP do adresára /opt/shibboleth-idp/metadata.
2

Upravte spoliehajúca sa strana.xml súbor; za značku DefaultRelyingParty pridajte podrobnosti o výraze SAML pre Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

Pre id musíte použiť hodnotu EntityID z Webex súbor metadát. Nahraďte ID príkladu EntityID vašej organizácie.
3

Do značky metadata:MetadataProvider pridajte umiestnenie súboru:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

Metadáta SP pochádzajú zo súboru v systéme súborov Shibboleth v mieste, kde ste nahrali metadáta pre svoje Webex Organizácia.

Nakonfigurujte atribúty tvrdenia

1

V časti Data Connector zadajte, kde sa majú získať atribúty o vašich používateľoch.

Príklad:

Active Directory s ID MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>
2

V sekcii Definícia atribútu ponechajte to, čo je už v konfigurácii pre transientID.
3

Pridajte ďalší atribút, ktorý SP očakáva, a definujte, na čo sa mapuje v zdroji atribútov.

Príklad:

Mapujte atribút mail (atribút e-mailovej adresy v Active Directory) na uid (UserID in Webex).
<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>
4

Definujte, ktorý atribút sa má poskytnúť každej zmluve o SP v atribút-filter.xml súbor.

Zadajte atribút uid pre Webex ktorá sa priradí k e-mailovej adrese používateľa.

Príklad:

Uvoľnite atribút uid k zmluve SP s Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

Pravidlo, ktoré ste vytvorili v atribút-resolver.xml by mal mať politiku uvoľnenia atribútu mail-attr k ID entity, ktoré sa zhoduje Webex.
5

Stiahnite si súbor metadát zo servera Shibboleth v /opt/shibboleth-idp/metadata. Názov súboru je idp-metadata.xml.

Importujte metadáta IdP a po teste povoľte jednotné prihlásenie

Po exportovaní Webex metaúdaje, nakonfigurujte svojho poskytovateľa identity a stiahnite si metadáta poskytovateľa identity do svojho lokálneho systému, ste pripravení ich importovať do svojho Webex organizácia z Control Hub.

Predtým ako začneš

Netestujte integráciu SSO z rozhrania poskytovateľa identity (IdP). Podporujeme iba toky iniciované poskytovateľom služieb (spustené SP), takže musíte použiť Control Hub Test SSO pre túto integráciu.

1

Vyberte jedno:

  • Vráťte sa do Control Hub – stránku výberu certifikátu vo vašom prehliadači a potom kliknite Ďalšie.
  • Ak Control Hub už nie je otvorený na karte prehliadača z pohľadu zákazníka v https://admin.webex.com, ísť do Zvládanie > Nastavenia organizácie, prejdite na Overeniea potom vyberte Akcie > Importovať metadáta.
2

Na stránke Import metadát IdP presuňte myšou súbor metadát IdP na stránku alebo použite možnosť prehliadača súborov na vyhľadanie a odovzdanie súboru metadát. Kliknite Ďalšie.

Mali by ste použiť Bezpečnejšie možnosť, ak môžete. Je to možné len vtedy, ak váš poskytovateľ identity použil na podpis svojich metadát verejnú CA.

Vo všetkých ostatných prípadoch musíte použiť Menej bezpečné možnosť. To platí aj v prípade, ak metadáta nie sú podpísané, vlastnoručne podpísané alebo podpísané súkromnou CA.
3

Vyberte Otestujte nastavenie jednotného prihlásenia a keď sa otvorí nová karta prehliadača, overte identitu poskytovateľa identity prihlásením.


 

Ak sa zobrazí chyba overenia, môže ísť o problém s povereniami. Skontrolujte používateľské meno a heslo a skúste to znova.

A Aplikácia Webex chyba zvyčajne znamená problém s nastavením SSO. V tomto prípade si znova prejdite kroky, najmä kroky, v ktorých skopírujete a prilepíte súbor Control Hub metaúdaje do nastavenia IdP.

 

Ak chcete priamo zobraziť prostredie prihlásenia jedným prihlásením, môžete tiež kliknúť Skopírujte adresu URL do schránky z tejto obrazovky a vložte ho do súkromného okna prehliadača. Odtiaľ môžete prejsť cez prihlásenie pomocou SSO. Tento krok zastaví falošné poplachy z dôvodu prístupového tokenu, ktorý môže byť v existujúcej relácii od vás, keď ste prihlásení.
4

Vráťte sa do Control Hub kartu prehliadača.

  • Ak bol test úspešný, vyberte Úspešný test. Zapnite SSO a kliknite Ďalšie.
  • Ak bol test neúspešný, vyberte Neúspešný test. Vypnite SSO a kliknite Ďalšie.

 

Konfigurácia SSO sa vo vašej organizácii neprejaví, pokiaľ nezvolíte prvý prepínač a neaktivujete SSO.

Čo urobiť ďalej

Postup môžete sledovať v Potlačiť automatické e-maily zakázať e-maily, ktoré sa odosielajú na nové Aplikácia Webex používateľov vo vašej organizácii. Dokument obsahuje aj osvedčené postupy na odosielanie komunikácie používateľom vo vašej organizácii.