Enotna prijava in nadzorno vozlišče

Enotna prijava (SSO) je postopek avtentikacije seje ali uporabnika, ki uporabniku omogoča, da predloži poverilnice za dostop do ene ali več aplikacij. S tem postopkom se avtentificirajo uporabniki za vse aplikacije, za katere so jim dodeljene pravice. Odpravlja dodatne pozive, ko uporabniki med posamezno sejo preklapljajo med aplikacijami.

Protokol SAML 2.0 (Security Assertion Markup Language) se uporablja za preverjanje pristnosti SSO med oblakom Webex in vašim ponudnikom identitete (IdP).

Profili

Aplikacija Webex App podpira samo profil SSO spletnega brskalnika. V profilu SSO spletnega brskalnika aplikacija Webex App podpira naslednje vezi:

  • SP je začel POST -> POST vezavo

  • SP je sprožil REDIRECT -> vezava POST

Oblika NameID

Protokol SAML 2.0 podpira več oblik NameID za sporočanje podatkov o določenem uporabniku. Aplikacija Webex podpira naslednje oblike NameID.

  • urn:oasis:names:tc:SAML:2.0:nameid-format:transient

  • urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

  • urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

V metapodatkih, ki jih prenesete iz svojega IdP, je prvi vnos konfiguriran za uporabo v storitvi Webex.

Enotni odjava

Aplikacija Webex App podpira enotni profil odjave. V aplikaciji Webex App se lahko uporabnik odjavi iz aplikacije, ki s protokolom SAML za enkratno odjavo zaključi sejo in potrdi odjavo z vašim IdP. Prepričajte se, da je vaš IdP konfiguriran za enkratno odjavo.

Integracija nadzornega vozlišča s sistemom F5 Big-IP

V priročnikih za konfiguracijo je prikazan poseben primer za integracijo SSO, vendar ne zagotavljajo izčrpne konfiguracije za vse možnosti. Na primer, dokumentirani so koraki integracije za nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient . Drugi formati, kot sta urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified ali urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress , bodo delovali za integracijo SSO, vendar so zunaj obsega naše dokumentacije.

To integracijo nastavite za uporabnike v organizaciji Webex (vključno z aplikacijo Webex App, Webex Meetings in drugimi storitvami, ki jih upravljate v Control Hubu). Če je spletno mesto Webex vključeno v Control Hub, spletno mesto Webex podeduje upravljanje uporabnikov. Če do storitve Webex Meetings ne morete dostopati na ta način in je ne upravljate v vozlišču Control Hub, morate opraviti ločeno integracijo, da omogočite SSO za storitev Webex Meetings. (Za več informacij o integraciji SSO v Upravljanju spletnega mesta glejte Configure Single Sign-On for Webex .)

Preden začnete

Za SSO in nadzorno vozlišče morajo biti ponudniki identitete skladni s specifikacijo SAML 2.0. Poleg tega je treba IdP konfigurirati na naslednji način:

Prenesite metapodatke storitve Webex v lokalni sistem

1

V pogledu stranke v spletnem mestu https://admin.webex.com pojdite na Upravljanje > Nastavitve organizacije, nato pa se pomaknite na Preverjanje pristnosti in preklopite na nastavitev Enotna prijava , da zaženete čarovnika za nastavitev.

2

Izberite vrsto potrdila za svojo organizacijo:

  • Samopodpisano s strani družbe Cisco- Priporočamo to izbiro. Dovolite nam, da potrdilo podpišemo, tako da ga boste morali obnoviti le enkrat na pet let.
  • Podpisan s strani javnega organa za potrdila-Večja varnost, vendar boste morali pogosto posodabljati metapodatke (razen če prodajalec IdP podpira sidra zaupanja).

Sidra zaupanja so javni ključi, ki delujejo kot organ za preverjanje potrdila digitalnega podpisa. Za več informacij glejte dokumentacijo svojega IdP.

3

Prenesite datoteko z metapodatki.

Ime datoteke z metapodatki Webex je idb-meta--SP.xml.

Konfiguracija zunanjega ponudnika storitev in ponudnika identitet

1

V upravljalnem vmesniku BIG-IP F5 pojdite na Access Policy > SAML > BIG-IP as IdP.

2

Na spletnem mestu External SP Connectors, izberite Create > From Metadata.

3

Vnesite smiselno ime za ime ponudnika storitev, na primer .ciscowebex.com.

4

V razdelku Security Settings (Varnostne nastavitve) označite naslednja potrditvena polja:

  • Odgovor mora biti podpisan.
  • Trditev mora biti podpisana
5

Vrnite se na Access Policy > SAML > BIG-IP as IdP, nato pa ustvarite novo storitev ponudnika identitete (IdP).

6

Vnesite smiselno ime za ime storitve IdP, na primer CI.

7

Za ID entitete IdP uporabite FQDN strežnika Big-IP z nečim na začetku, na primer https://bigip0a.uc8sevtlab13.com/CI.

8

V razdelku Assertion Settings (Nastavitve trditev), izberite Transient Identifier (Prehodni identifikator) za Assertion Subject Type (Vrsta predmeta trditve).

9

Za Assertion Subject Value, vrnite vrednost e-pošte uporabnika %{session.ad.last.attr.mail}.

10

Vrnite atributa mail in uid z vrednostjo %{session.ad.last.attr.mail}.

11

V razdelku Varnostne nastavitve, izberite potrdilo za podpisovanje trditve.

12

Shranite spremembe in nato povežite ustvarjena ponudnika storitev in ponudnika identitete.

Prenesite metapodatke F5 Big-IP

1

Izberite Izvoz storitve IDP.

2

Prepričajte se, da je vrednost Podpišite metapodatke Da.

3

Metapodatkovno datoteko prenesite na namizje ali na mesto, ki ga boste zlahka našli.

Dodajanje politike dostopa

1

Pojdite na Access Policy > Access Profiles > SAML in ustvarite vir SAML za IdP, ki ste ga ustvarili.

2

Pojdite v svoj profil dostopa in uredite politiko dostopa, ki jo uporabljate za WebEx Messenger CAS.

3

V zavihek Prijava dodajte nov element z imenom Prijavna stran in pustite privzete vrednosti.

4

Dodajte novo postavko v zavihku Authentication z imenom AD Auth in kot strežnik določite svoj imenik Active Directory.

5

V uspešni veji dodajte poizvedbo AD v zavihku Preverjanje pristnosti .

6

Pojdite na Branch Rules in ga spremenite v AD Query is Passed.

7

V uspešni veji poizvedbe AD dodajte Napredna dodelitev virov v zavihku Dodelitev .

8

Kliknite Add/Delete in dodajte dva vira SAML z vsemi viri SAML in Webtop , ki ste jih ustvarili.

9

Za Izberite Konec, izberite . Dovolite.

Politika dostopa mora biti videti kot ta posnetek zaslona:

Povezovanje profila dostopa z navideznim strežnikom

Profil dostopa morate povezati z ustvarjenim navideznim strežnikom.

1

Pojdite na Lokalni promet > Virtualni strežniki.

2

Odprite profile dostopa in potrdite, da s profilom ni povezan noben navidezni strežnik.

3

Izberite Napredno dodeljevanje virov.

4

Za dodajanje novega vira SAML izberite Add/delete .

5

Zaprite okna za oblikovanje politike dostopa in uporabite novo politiko dostopa.

Uvozite metapodatke IdP in omogočite enotno prijavo po preizkusu

Ko izvozite metapodatke Webex, konfigurirate IdP in prenesete metapodatke IdP v lokalni sistem, jih lahko uvozite v organizacijo Webex iz Control Hub.

Preden začnete

Ne preizkušajte integracije SSO iz vmesnika ponudnika identitete (IdP). Podpiramo samo tokove, ki jih sproži ponudnik storitev (SP), zato morate za to integracijo uporabiti test SSO v vozlišču Control Hub.

1

Izberite eno:

  • Vrnite se na stran Control Hub - izbira potrdila v brskalniku in kliknite Next.
  • Če vozlišče Control Hub ni več odprto v zavihku brskalnika, v pogledu stranke v https://admin.webex.com pojdite na Upravljanje > Nastavitve organizacije, se pomaknite na Preverjanje pristnosti, nato pa izberite Akcije > Uvoz metapodatkov.
2

Na strani Uvozi metapodatke IdP povlecite in spustite datoteko z metapodatki IdP na stran ali uporabite možnost brskalnika datotek, da poiščete in naložite datoteko z metapodatki. Kliknite Next.

Če lahko, uporabite možnost More secure . To je mogoče le, če je IdP za podpisovanje svojih metapodatkov uporabil javni CA.

V vseh drugih primerih morate uporabiti možnost Manj varno . To velja tudi, če metapodatki niso podpisani, so podpisani sami ali jih je podpisal zasebni CA.

Okta metapodatkov ne podpiše, zato morate za integracijo Okta SSO izbrati Manj varno .

3

Izberite Test SSO setup, in ko se odpre nov zavihek brskalnika, se avtentificirajte z IdP tako, da se prijavite.

Če se pri preverjanju pristnosti pojavi napaka, je morda prišlo do težave s poverilnicami. Preverite uporabniško ime in geslo ter poskusite znova.

Napaka aplikacije Webex običajno pomeni težavo z nastavitvijo SSO. V tem primeru še enkrat ponovite korake, zlasti tiste, v katerih kopirate in prilepite metapodatke vozlišča Control Hub v nastavitev IdP.

Če si želite neposredno ogledati izkušnjo prijave SSO, lahko na tem zaslonu kliknete tudi Kopiraj URL v odložišče in ga prilepite v zasebno okno brskalnika. Od tam se lahko prijavite s SSO. S tem korakom preprečite lažno pozitivne rezultate zaradi žetona za dostop, ki je morda v obstoječi seji, v katero ste se prijavili.

4

Vrnite se na zavihek brskalnika Control Hub.

  • Če je bil test uspešen, izberite Uspešen test. Vklopite SSO in kliknite Naprej.
  • Če je bil test neuspešen, izberite Neuspešen test. Izklopite SSO in kliknite Naprej.

Konfiguracija SSO v vaši organizaciji ne začne veljati, dokler ne izberete prvega radijskega gumba in ne aktivirate SSO.

Kaj storiti naprej

Če želite zagotoviti uporabnike iz Okta v oblak Webex, uporabite postopke v poglavju Sinhronizacija uporabnikov Okta v kontrolno vozlišče Cisco Webex .

Če želite zagotoviti uporabnike iz Azure AD v oblak Webex, uporabite postopke v razdelku Sinhronizirajte uporabnike Azure Active Directory v Cisco Webex Control Hub .

Če želite onemogočiti e-poštna sporočila, ki se pošiljajo novim uporabnikom aplikacije Webex App v vaši organizaciji, lahko sledite postopku v razdelku Suppress Automated Eails . Dokument vsebuje tudi najboljše prakse za pošiljanje sporočil uporabnikom v organizaciji.