Jednotné prihlásenie a Control Hub

Z pohľadu zákazníka v https://admin.webex.com, ísť do Zvládanie > Nastavenia organizáciea potom prejdite na Overeniea potom prepnite na Jednotné prihlásenie nastavenie na spustenie sprievodcu nastavením.

Vyberte typ certifikátu pre vašu organizáciu:

• Vlastnoručne podpísané spoločnosťou Cisco— Odporúčame túto voľbu. Nechajte nás podpísať certifikát, takže ho stačí obnoviť raz za päť rokov.
• Podpísané verejnou certifikačnou autoritou—Bezpečnejšie, ale budete musieť často aktualizovať metadáta (pokiaľ váš dodávateľ IdP nepodporuje dôveryhodné kotvy).

Dôveryhodné kotvy sú verejné kľúče, ktoré fungujú ako autorita na overenie certifikátu digitálneho podpisu. Ďalšie informácie nájdete v dokumentácii vášho poskytovateľa identity.

Stiahnite si súbor metadát.

Prihláste sa na server ADFS s oprávneniami správcu.

Otvorte konzolu ADFS Management a prejdite na Dôverné vzťahy > Trusty spoliehajúcej sa strany > Pridajte dôveru strany spoliehajúcej sa strany.

Z Pridať Sprievodcu dôverujúcou stranou okno, vyberte Štart.

Pre Vyberte Zdroj údajov vyberte Importujte údaje o spoliehajúcej sa strane zo súboru, prejdite na Control Hub Súbor metadát, ktorý ste si stiahli, a vyberte Ďalšie.

Pre Zadajte zobrazovaný názov, vytvorte zobrazovaný názov pre túto dôveru spoliehajúcej sa strany, ako napr Webex a vyberte Ďalšie.

Pre Vyberte Pravidlá oprávnenia na vydanie, vyberte Povoliť všetkým používateľom prístup k tejto spoliehajúcej sa stranea vyberte Ďalšie.

Pre Pripravené pridať dôveru, vyberte Ďalšie a dokončite pridávanie spoliehajúcej sa dôveryhodnosti do ADFS.

Na hlavnom paneli ADFS vyberte dôveryhodný vzťah, ktorý ste vytvorili, a potom vyberte Upraviť reklamačné pravidlá. Na karte Pravidlá transformácie vydania vyberte Pridať pravidlo.

V kroku Vyberte typ pravidla vyberte Odoslať atribúty LDAP ako nárokya potom vyberte Ďalšie.

1. Zadajte a Názov pravidla nároku.

2. Vyberte Aktívny adresár ako Attribute Store.

3. Zmapovať Emailové adresy LDAP atribút na uid typ odchádzajúcej pohľadávky.

   Toto pravidlo hovorí ADFS, na ktoré polia sa má mapovať Webex na identifikáciu používateľa. Vyhláskujte typy odchádzajúcich nárokov presne tak, ako sú zobrazené.

4. Uložte zmeny.

Vyberte Pridať pravidlo znova vyberte Posielajte nároky pomocou vlastného pravidlaa potom vyberte Ďalšie.

1. Otvorte textový editor a skopírujte nasledujúci obsah.

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   Nahraďte URL1 a URL2 v texte takto:

   • URL1 je entityID zo súboru metadát ADFS, ktorý ste si stiahli.

     Toto je napríklad ukážka toho, čo vidíte: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     Skopírujte len entityID zo súboru metadát ADFS a vložte ho do textového súboru, čím nahradíte URL1

   • URL2 je na prvom riadku v Webex súbor metadát, ktorý ste si stiahli.

     Toto je napríklad ukážka toho, čo vidíte: <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     Skopírujte len entityID z Webex súbor metadát a vložte ho do textového súboru, aby ste nahradili URL2.

2. S aktualizovanými adresami URL skopírujte pravidlo z textového editora (začínajúc na „c:“) a prilepte ho do poľa vlastného pravidla na serveri ADFS.

   Vyplnené pravidlo by malo vyzerať takto:

   

3. Vyberte Skončiť vytvorte pravidlo a potom zatvorte okno Upraviť pravidlá nároku.

Vyberte Dôvera spoliehajúcej sa strany v hlavnom okne a potom vyberte Vlastnosti v pravom paneli.

Keď sa zobrazí okno Vlastnosti, prejdite na položku Pokročilé karta, SHA-256 a potom vyberte OK aby sa zmeny uložili.

Ak chcete súbor stiahnuť, prejdite na nasledujúcu adresu URL na internom serveri ADFS: https://<AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

Možno budete musieť kliknúť pravým tlačidlom myši na stránku a zobraziť zdrojový kód stránky, aby ste získali správne naformátovaný súbor XML.

Uložte súbor na lokálny počítač.

Vyberte jedno:

• Vráťte sa do Control Hub – stránku výberu certifikátu vo vašom prehliadači a potom kliknite Ďalšie.
• Ak Control Hub už nie je otvorený na karte prehliadača z pohľadu zákazníka v https://admin.webex.com, ísť do Zvládanie > Nastavenia organizácie, prejdite na Overeniea potom vyberte Akcie > Importovať metadáta.

Na stránke Import metadát IdP presuňte myšou súbor metadát IdP na stránku alebo použite možnosť prehliadača súborov na vyhľadanie a odovzdanie súboru metadát. Kliknite Ďalšie.

Vyberte Otestujte nastavenie jednotného prihlásenia a keď sa otvorí nová karta prehliadača, overte identitu poskytovateľa identity prihlásením.

Ak sa zobrazí chyba overenia, môže ísť o problém s povereniami. Skontrolujte používateľské meno a heslo a skúste to znova. A Aplikácia Webex chyba zvyčajne znamená problém s nastavením SSO. V tomto prípade si znova prejdite kroky, najmä kroky, v ktorých skopírujete a prilepíte súbor Control Hub metaúdaje do nastavenia IdP.

Ak chcete priamo zobraziť prostredie prihlásenia jedným prihlásením, môžete tiež kliknúť Skopírujte adresu URL do schránky z tejto obrazovky a vložte ho do súkromného okna prehliadača. Odtiaľ môžete prejsť cez prihlásenie pomocou SSO. Tento krok zastaví falošné poplachy z dôvodu prístupového tokenu, ktorý môže byť v existujúcej relácii od vás, keď ste prihlásení.

Vráťte sa do Control Hub kartu prehliadača.

• Ak bol test úspešný, vyberte Úspešný test. Zapnite SSO a kliknite Ďalšie.
• Ak bol test neúspešný, vyberte Neúspešný test. Vypnite SSO a kliknite Ďalšie.

Konfigurácia SSO sa vo vašej organizácii neprejaví, pokiaľ nezvolíte prvý prepínač a neaktivujete SSO.

Prihláste sa na server AD FS s povoleniami správcu.

Nahrajte súbor metadát SAML z Webex do dočasného lokálneho priečinka na serveri AD FS, napr. //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml.

Otvorte Powershell.

Bežať Get-AdfsRelyingPartyTrust prečítať všetky trusty spoliehajúcich sa strán.

Bežať Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex".

Uistite sa, že ste nahradili názov súboru a názov cieľa správnymi hodnotami z vášho prostredia.

Pozri https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.

Ak ste si stiahli 5-ročný certifikát Webex SP a máte zapnuté zrušenie certifikátu podpisovania alebo šifrovania, musíte spustiť tieto dva príkazy: Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None.

Prihláste sa do Control Hub, potom otestujte integráciu SSO:

1. Ísť do Zvládanie > Nastavenia organizácie, prejdite na Overeniea prepnite na Jednotné prihlásenie nastavenie na spustenie sprievodcu konfiguráciou.

2. Kliknite Ďalšie preskočte stránku Import IdP Metadata.

   Tento krok nemusíte opakovať, pretože ste predtým importovali metadáta IdP.

3. Otestujte pripojenie SSO skôr, ako ho povolíte. Tento krok funguje ako skúšobná prevádzka a neovplyvní nastavenia vašej organizácie, kým v ďalšom kroku nepovolíte jednotné prihlásenie.

   Ak chcete priamo zobraziť prostredie prihlásenia jedným prihlásením, môžete tiež kliknúť Skopírujte adresu URL do schránky z tejto obrazovky a vložte ho do súkromného okna prehliadača. Odtiaľ môžete prejsť cez prihlásenie pomocou SSO. Pomáha to odstrániť všetky informácie uložené vo vašom webovom prehliadači, ktoré by mohli poskytnúť falošne pozitívny výsledok pri testovaní konfigurácie SSO.

4. Ak chcete dokončiť test, prihláste sa.