Enotna prijava in Nadzorno središče

Enotna prijava (SSO) je seja ali postopek preverjanja pristnosti uporabnika, ki uporabniku omogoča, da zagotovi poverilnice za dostop do ene ali več aplikacij. Postopek preverja pristnost uporabnikov za vse aplikacije, za katere so jim podeljene pravice. Odpravlja dodatne pozive, ko uporabniki zamenjajo aplikacije med določeno sejo.

Protokol federacije Security Assertion Markup Language (SAML 2.0) se uporablja za zagotavljanje avtentikacije SSO med Webex oblak in vaš ponudnik identitete (IdP).

Profili

Aplikacija Webex podpira samo profil SSO spletnega brskalnika. V profilu SSO spletnega brskalnika, Aplikacija Webex podpira naslednje vezave:

  • SP je sprožil povezovanje POST -> POST

  • SP je sprožil vezavo REDIRECT -> POST

Oblika imena ID

Protokol SAML 2.0 podpira več formatov NameID za komunikacijo o določenem uporabniku. Aplikacija Webex podpira naslednje formate NameID.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

V metapodatkih, ki jih naložite iz svojega IdP, je prvi vnos konfiguriran za uporabo v Webex.

SingleLogout

Aplikacija Webex podpira enoten profil za odjavo. notri Aplikacija Webex, se lahko uporabnik odjavi iz aplikacije, ki uporablja protokol za enojno odjavo SAML za zaključek seje in potrdi odjavo s svojim IdP. Zagotovite, da je vaš IdP konfiguriran za SingleLogout.

Integriraj Nadzorno središče s Shibbolethom

Konfiguracijski vodniki prikazujejo poseben primer integracije SSO, vendar ne zagotavljajo izčrpne konfiguracije za vse možnosti. Na primer koraki integracije za nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient so dokumentirani. Drugi formati, kot npr urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified ali urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress bodo delovali za integracijo SSO, vendar so izven obsega naše dokumentacije.

Nastavite to integracijo za uporabnike v svojem Webex organizacija (vključno z Aplikacija Webex, Sestanki Webex, in druge storitve, ki se izvajajo v Nadzorno središče). Če tvoj Webex spletno mesto je integrirano v Nadzorno središče, the Webex spletno mesto podeduje upravljanje uporabnikov. Če ne morete dostopati Sestanki Webex na ta način in se ne upravlja v Nadzorno središče, morate narediti ločeno integracijo, da omogočite enotno prijavo za Sestanki Webex. (Glej Konfigurirajte enotno prijavo za Webex za več informacij o integraciji SSO v administraciji mesta.)

Koraki integracije se nanašajo na Shibboleth 2.4.5 v CentOS 7 s Tomcat 7 kot spletnim strežnikom.

Preden začneš

Za SSO in Nadzorno središče, morajo IdP ustrezati specifikaciji SAML 2.0. Poleg tega morajo biti IdP-ji konfigurirani na naslednji način:

Prenesite Webex metapodatkov v vaš lokalni sistem

1

Iz pogleda stranke v https://admin.webex.com, Pojdi do Upravljanje > Nastavitve organizacije, nato pa se pomaknite na Preverjanje pristnosti, nato pa vklopite Enotna prijava nastavitev za zagon čarovnika za namestitev.
2

Izberite vrsto potrdila za svojo organizacijo:

  • Samopodpisano s strani Cisca— Priporočamo to izbiro. Dovolite nam, da potrdilo podpišemo, da ga boste morali obnoviti le enkrat na pet let.
  • Podpisan s strani javnega potrdila— Bolj varno, vendar boste morali pogosto posodabljati metapodatke (razen če vaš dobavitelj IdP podpira sidra zaupanja).

 

Sidra zaupanja so javni ključi, ki delujejo kot avtoriteta za preverjanje potrdila digitalnega podpisa. Za več informacij glejte dokumentacijo vašega ponudnika identifikacije.
3

Prenesite datoteko z metapodatki.

The Webex ime datoteke metapodatkov je idb-meta-<org-ID>-SP.xml.

Konfigurirajte avtorizacijo v datotekah Shibboleth

Ko namestite Shibboleth, dobite konfiguracijske datoteke s primeri.

1

Pojdite v imenik /opt/shibboleth-idp/conf za dostop do vzorčnih datotek.
2

Odločite se, kateri način avtorizacije boste uporabili – na primer povezovanje LDAP z imenikom Active Directory.
3

Uredi handler.xml datoteko na naslednji način:

Odkomentiraj

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

Komentiraj

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>
4

Izpolnite podrobnosti svojega imenika Active Directory, da omogočite preverjanje pristnosti. Podajte konfiguracijo datoteke login.config.

primer:

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

Konfigurirajte komponente ponudnika storitev Shibboleth za trditev SAML

1

Dodajte datoteko, ki ste jo prenesli iz Webex SP, v imenik /opt/shibboleth-idp/metapodatki.
2

Uredi zanašajoča se stran.xml mapa; za oznako DefaultRelyingParty dodajte podrobnosti trditve SAML za Webex.

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

Za ID morate uporabiti vrednost EntityID iz Webex datoteka z metapodatki. Zamenjajte ID primera z EntityID vaše organizacije.
3

Znotraj oznake metadata:MetadataProvider dodajte lokacijo datoteke:

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

Metapodatki SP izvirajo iz datoteke v datotečnem sistemu Shibboleth, na mestu, kamor ste naložili metapodatke za Webex organizacija.

Konfigurirajte atribute trditve

1

V razdelku Povezovalnik podatkov določite, kje želite pridobiti atribute o svojih uporabnikih.

primer:

Active Directory z ID-jem MyLDAP.

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>
2

V razdelku Definicija atributa obdržite tisto, kar je že v konfiguraciji za prehodni ID.
3

Dodajte dodaten atribut, ki ga SP pričakuje, in definirajte, v kaj se preslika v viru atributa.

primer:

Preslikaj atribut mail (atribut e-poštnega naslova v Active Directory) v uid (UserID v Webex).
<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>
4

Določite, kateri atribut želite zagotoviti za vsako pogodbo SP v atribut-filter.xml mapa.

Podajte atribut uid za Webex ki se preslika v e-poštni naslov uporabnika.

primer:

Sprostite atribut uid v pogodbi SP z Webex.

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

Pravilo, ki ste ga ustvarili v atribut-resolver.xml mora imeti pravilnik za sprostitev atributa mail-attr za EntityID, ki se ujema Webex.
5

Prenesite datoteko z metapodatki s strežnika Shibboleth v /opt/shibboleth-idp/metapodatki. Ime datoteke je idp-metapodatki.xml.

Uvozite metapodatke IdP in omogočite enotno prijavo po preizkusu

Ko izvozite Webex metapodatkov, konfigurirajte svoj IdP in prenesite metapodatke IdP v svoj lokalni sistem, ste pripravljeni, da jih uvozite v svoj Webex organizacija iz Nadzorno središče.

Preden začneš

Ne preizkušajte integracije SSO iz vmesnika ponudnika identitete (IdP). Podpiramo samo tokove, ki jih sproži ponudnik storitev (SP-iniciator), zato morate uporabiti Nadzorno središče Preizkus SSO za to integracijo.

1

Izberi eno:

  • Vrnitev na Nadzorno središče – stran za izbiro potrdila v brskalniku in nato kliknite Naslednji.
  • če Nadzorno središče ni več odprt v zavihku brskalnika, v pogledu stranke v https://admin.webex.com, Pojdi do Upravljanje > Nastavitve organizacije, pomaknite se do Preverjanje pristnostiin nato izberite Dejanja > Uvoz metapodatkov.
2

Na strani Uvoz metapodatkov IdP povlecite in spustite datoteko z metapodatki IdP na stran ali pa uporabite možnost brskalnika datotek, da poiščete in naložite datoteko z metapodatki. Kliknite Naslednji.

Moral bi uporabiti Bolj varno možnost, če lahko. To je mogoče le, če je vaš IdP za podpis svojih metapodatkov uporabil javno CA.

V vseh drugih primerih morate uporabiti Manj varen možnost. To vključuje tudi, če metapodatki niso podpisani, samopodpisani ali podpisani s strani zasebne CA.
3

Izberite Preizkusite nastavitev SSO , in ko se odpre nov zavihek brskalnika, preverite pristnost z IdP tako, da se prijavite.


 

Če prejmete napako pri preverjanju pristnosti, je morda težava s poverilnicami. Preverite uporabniško ime in geslo ter poskusite znova.

A Aplikacija Webex napaka običajno pomeni težavo z nastavitvijo SSO. V tem primeru se znova pomaknite skozi korake, zlasti korake, kjer kopirate in prilepite Nadzorno središče metapodatkov v nastavitev IdP.

 

Če si želite neposredno ogledati izkušnjo prijave v SSO, lahko tudi kliknete Kopiraj URL v odložišče s tega zaslona in ga prilepite v zasebno okno brskalnika. Od tam se lahko sprehodite skozi prijavo s sistemom SSO. Ta korak prepreči lažne pozitivne rezultate zaradi žetona za dostop, ki je morda v obstoječi seji, ko ste prijavljeni.
4

Vrnitev na Nadzorno središče zavihek brskalnika.

  • Če je bil preizkus uspešen, izberite Uspešen test. Vklopite SSO in kliknite Naslednji.
  • Če je bil preizkus neuspešen, izberite Neuspešen test. Izklop SSO in kliknite Naslednji.

 

Konfiguracija SSO ne začne veljati v vaši organizaciji, razen če izberete prvi izbirni gumb in aktivirate SSO.

Kaj storiti naprej

Postopek lahko sledite v Onemogoči samodejno pošiljanje e-pošte da onemogočite e-pošto, poslano na new Aplikacija Webex uporabnikov v vaši organizaciji. Dokument vsebuje tudi najboljše prakse za pošiljanje sporočil uporabnikom v vaši organizaciji.