- Domov
- /
- Članek
Hvala za povratne informacije.
V tem članku
Povratne informacije?Konfigurirate lahko integracijo z eno prijavo (SSO) med nadzornim središčem in uvajanjem, ki uporablja storitve Active Directory Federation Services (ADFS 2.x in novejše različice) kot ponudnika identitete (IDP).
Enojna prijava in krmilno središče
Enojna prijava (SSO) je postopek preverjanja pristnosti seje ali uporabnika, ki uporabniku omogoča, da zagotovi poverilnice za dostop do ene ali več aplikacij. Postopek preverja pristnost uporabnikov za vse aplikacije, do katerih imajo pravice. Odpravlja nadaljnje pozive, ko uporabniki med določeno sejo preklapljajo aplikacije.
Protokol federacije za označevanje varnostnih zahtev (SAML 2.0) se uporablja za zagotavljanje preverjanja pristnosti SSO med oblakom Webex in vašim ponudnikom identitete (IdP).
Profili
Aplikacija Webex podpira samo SSO profil spletnega brskalnika. V profilu SSO spletnega brskalnika Webex App podpira naslednje povezave:
-
SP je sprožil POST -> POST vezavo
-
SP je sprožil PREUSMERITEV -> POST vezavo
NameID format
Protokol SAML 2.0 podpira več formatov NameID za komunikacijo o določenem uporabniku. Aplikacija Webex podpira naslednje formate NameID.
-
urn:oasis:imena:tc:saml:2.0:imenski oblika:prehodni -
URL:oasis:imena:tc:saml:1.1:NameId-format:nedoločeno -
URL:oasis:imena:tc:saml:1.1:imenski oblika:e-poštni naslov
V metapodatkih, ki jih naložite iz vašega IdP, je prvi vnos konfiguriran za uporabo v Webexu.
SingleLogout
Aplikacija Webex podpira enotni profil odjave. V aplikaciji Webex se lahko uporabnik odjavi iz aplikacije, ki uporablja protokol za enotno odjavo SAML, da konča sejo in potrdi odjavo z vašim IDP. Prepričajte se, da je vaš IDP konfiguriran za SingleLogout.
Vključite nadzorno središče z ADFS
Konfiguracijski vodniki prikazujejo poseben primer integracije SSO, vendar ne zagotavljajo izčrpne konfiguracije za vse možnosti. Na primer, dokumentirani so koraki integracije za nameid-format urn:oasis:names:tc:saml:2.0:nameid-format:Transient. Drugi formati, kot so urn:oasis:names:tc:saml:1.1:nameid-format:undefined ali urn:oasis:names:tc:saml:1.1:nameid-format:emailAddress, bodo delovali za integracijo SSO, vendar niso v obsegu naše dokumentacije.
Nastavite to integracijo za uporabnike v vaši organizaciji Webex (vključno z aplikacijo Webex in drugimi storitvamiWebex Meetings, ki se upravljajo v nadzornem središču). Če je vaše spletno mesto Webex integrirano v Control Hub, spletno mesto Webex podeduje upravljanje uporabnikov. Če ne morete dostop Webex Meetings ati na ta način in se ne upravlja v nadzornem središču, morate opraviti ločeno integracijo, da omogočite SSO zaWebex Meetings.
Glede na to, kaj je konfigurirano v mehanizmih za preverjanje pristnosti v ADFS, lahko privzeto omogočite integrirano preverjanje pristnosti sistema Windows (IWA). Če je omogočeno, se aplikacije, ki se zaženejo prek sistema Windows (na primer Webex App in Cisco Directory Connector), preverjajo pristnost kot uporabnik, ki je vpisan, ne glede na to, kateri e-poštni naslov je vnesen med začetnim e-poštnim pozivom.
Prenesite Webex metapodatke v lokalni sistem
Prenesite Webexove metapodatke, preden konfigurirate ponudnika identitete. Ta datoteka vsebuje nastavitve ponudnika storitev Webex za vašo organizacijo, vaš ponudnik identitete pa uporablja te nastavitve za prepoznavanje Webexa in pošiljanje odgovorov za prijavo v SAML nazaj na pravo mesto. To datoteko metapodatkov uporabite, ko konfigurirate aplikacijo SAML v svojem ponudniku identitete.
| 1 |
Prijavite se v Control Hub. |
| 2 |
Pojdite na U . |
| 3 |
Pojdite na zavihek Ponudnik identi tete in kliknite Aktiviraj SSO. |
| 4 |
Izberite IDP. |
| 5 |
Izberite vrsto potrdila za svojo organizacijo:
|
| 6 |
Prenesite datoteko metapodatkov. <org-ID>Ime datoteke metapodatkov Webex je id b-meta- -SP.xml. |
Namestite metapodatke Webex v ADFS
Preden začnete
Control Hub podpira ADFS 2.x ali novejšo različico.
Windows 2008 R2 vključuje samo ADFS 1.0. Namestiti morate najmanj ADFS 2.x iz Microsofta.
Za storitve SSO in Webex morajo ponudniki identitete izpolnjevati naslednjo specifikacijo SAML 2.0:
-
Nastavite atribut NameID Format na urn:Oasis:Names:tc:saml:2.0:NameID-format: prehodni
-
Konfigurirajte zahtevek na IDP tako, da vključuje ime atributa uid z vrednostjo, ki je preslikana na atribut, ki je izbran v Cisco Directory Connector, ali uporabniški atribut, ki se ujema s tistim, ki je izbran v storitvi identitete Webex. (Ta atribut je lahko na primer e-poštni naslov ali uporabniško glavno ime.) Za navodila si oglejte informacije o atributih po meri na https://www.cisco.com/go/hybrid-services-directory.
| 1 |
Prijavite se v strežnik ADFS s skrbniškimi dovoljenji. |
| 2 |
Odprite konzolo za upravljanje ADFS in poiščite možnosti Odnosi z . |
| 3 |
V oknu Add Releasing Partner Trust Wizard izberite Začni. |
| 4 |
Za Izberi vir podatkov izberite Uvoz podatkov o odvisni osebi iz datoteke, poiščite datote ko metapodatkov nadzornega središča, ki ste jo prenesli, in izberite Naprej. |
| 5 |
Če želite Določite prikazno ime, ustvarite prikazno ime za to zaupanje stranke, ki se zanaša, na primer Webex, in izberite Naprej. |
| 6 |
V razdel ku Izberi pravila za dovoljenje za izdajo izberite Dovoli vsem uporabnikom dostop do te odvisne stranke in izberite Naprej. |
| 7 |
Za možnost Pri pravljen za dodajanje zaupanja izberite Nap rej in končajte z dodajanjem zaupanja, ki se zanaša v ADFS. |
Ustvarjanje pravil zahtevkov za preverjanje pristnosti Webex
| 1 |
V glavnem podoknu ADFS izberite odnos zaupanja, ki ste ga ustvarili, in nato izberite Uredi pravila zahtevka. Na zavihku Pravila za preoblikovanje izdaje izberite Dodaj pravilo. |
| 2 |
V koraku Izberi vrsto pravila izberite Pošlji atribute LDAP kot zahtevke in nato izberite Naprej.  |
| 3 |
Ponovno izberite Dodaj pravilo, izberite Pošlji zahtevke s pravilom po meri in nato izberite Naprej. To pravilo zagotavlja ADFS atribut »spname qualifier«, ki ga Webex sicer ne zagotavlja.
|
| 4 |
V glav nem oknu izberite Zau panje stranke, nato pa v desnem podoknu izberite Last nosti. |
| 5 |
Ko se prikaže okno Lastnosti, poiščite zavihek Nap redno, SHA-256 in nato izberite V redu, da shranite spremembe. |
| 6 |
Če želite prenesti datoteko, poiščite naslednji URL na notranjem strežniku ADFS: https: //< ad_fs_server >/FederationMetadata/2007-06/FederationMetadata.xml Morda boste morali z desno miškino tipko klikniti stran in si ogledati vir strani, da dobite pravilno oblikovano datoteko XML. |
| 7 |
Shranite datoteko v lokalni računalnik. |
Kaj storiti naprej
Pripravljeni ste uvoziti metapodatke ADFS nazaj v Webex s portala za upravljanje.
Uvozite metapodatke IDP in omogočite enkratno prijavo po preizkusu
Ko izvozite metapodatke Webex, konfigurirate svoj IdP in prenesete metapodatke IdP v lokalni sistem, ste jih pripravljeni uvoziti v svojo organizacijo Webex iz nadzornega središča.
Preden začnete
Ne testirajte integracije SSO iz vmesnika ponudnika identitete (iDP). Podpiramo samo tokove, ki jih je sprožil ponudnik storitev (SP-Initiated), zato morate za to integracijo uporabiti test SSO Control Hub.
| 1 |
Izberite enega:
|
| 2 |
Na strani Uvoz metapodatkov IdP povlecite in spustite datoteko metapodatkov IdP na stran ali uporabite možnost brskalnika datotek, da poiščete in naložite datoteko z meta podatki. Kliknite Naprej.
Če lahko, uporabite možnost Varnejša. To je mogoče le, če je vaš IDP uporabil javni CA za podpis svojih metapodatkov. V vseh drugih primerih morate uporabiti možnost Manj varna. To vključuje tudi, če metapodatki niso podpisani, samopodpisani ali podpisani s strani zasebnega certifikata. Okta ne podpiše metapodatkov, zato morate izbrati Manj var no za integr acijo Okta SSO. |
| 3 |
Izberite Preizkusite nastavitev SSO in ko se odpre nov zavihek brskalnika, preverite pristnost z IdP tako, da se prijavite. Če prejmete napako pri preverjanju pristnosti, lahko pride do težave s poverilnicami. Preverite uporabniško ime in geslo ter poskusite znova. Napaka aplikacije Webex običajno pomeni težavo z nastavitvijo SSO. V tem primeru ponovno preidite skozi korake, zlasti korake, v katerih kopirate in prilep ite metapodatke Control Hub v nastavitev IDP. Če si želite neposredno ogledati izkušnjo vpisa v SSO, lahko s tega zaslona kliknete tudi Kopiraj URL v odlo žišče in ga prilepite v zasebno okno brskalnika. Od tam se lahko sprehodite skozi prijavo s SSO. Ta korak ustavi lažne pozitivne rezultate zaradi žetona za dostop, ki je morda v obstoječi seji, ko ste prijav ljeni. |
| 4 |
Vrnite se na zavihek brskalnika Control Hub.
Konfiguracija SSO ne začne veljati v vaši organizaciji, razen če izbere te prvi radijski gumb in aktivirate SSO. |
Kaj storiti naprej
Uporabite postopke v razdelku Sinhroniziraj uporabnike Okta v nadzorno sredi šče, če želite omogočiti zagotavljanje uporabnikov iz Okte v oblak Webex.
Uporabite postopke v razdelku Sinhronizacija uporabnikov Microsoft Entra ID v nadzorno sredi šče, če želite omogočiti uporabniško dodelitev iz Entra ID v oblak Webex.
Če želite onemogočiti e-poštna sporočila, ki so poslana novim uporabnikom aplikacije Webex v vaši organizaciji, lahko sledite postopku v razdelku Z ati ranje samodejnih e-poštnih sporočil. Dokument vsebuje tudi najboljše prakse za pošiljanje komunikacij uporabnikom v vaši organizaciji.
Posodobite zaupanje strank, ki se zanašajo na Webex v ADFS
Preden začnete
Datoteko metapodatkov SAML morate izvoziti iz nadzornega središča, preden lahko posodobite Webex Relasting Party Trust v ADFS.
| 1 |
Prijavite se v strežnik ADFS s skrbniškimi dovoljenji. |
| 2 |
Naložite datoteko metapodatkov SAML iz Webexa v začasno lokalno mapo na strežniku ADFS, npr.
|
| 3 |
Odprite Powershell. |
| 4 |
Zaženite Upoštevajte parameter |
| 5 |
<org-ID>Zaženite poso Poskrbite, da boste ime datoteke in ciljno ime zamenjali s pravilnimi vrednostmi iz vašega okolja. Gle j https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.Če ste prenesli 5-letno potrdilo Webex SP in imate vklopljeno podpisovanje ali preklic certifikata za šifriranje, morate zagnati ta dva ukaza: |
| 6 |
Prijavite se v Control Hub in preizkusite integracijo SSO:
|
.Odpravljanje težav z ADFS
Napake ADFS v dnevnikih sistema Windows
V dnevnikih sistema Windows se lahko prikaže koda napake v dnevniku dogodkov ADFS 364. Podrobnosti o dogodku identificirajo neveljavno potrdilo. V teh primerih gostitelju ADFS ni dovoljeno preveriti potrdila prek požarnega zidu na vratih 80.
Med poskusom izgradnje verige certifikatov za zaupanje stranke, ki se zanaša, je prišlo do napake
Pri posodabljanju potrdila SSO se lahko ob prijavi pojavi ta napaka: Neveljav
na koda stanja kot odgovor.
Če opazite to napako, preverite dnevnike pregledovalnika dogodkov na strežniku
ADFS in poiščite naslednjo napako: Prišlo je do napake med poskusom
izdelave verige certifikatov za potrdilo zaupanja zaupanja
'https://idbroker.webex.com/', ki ga je identificiral s palčnim tiskom »754B9208F1F75C5CC122740F3675C5D129471D80
«<org-ID>. Možni vzroki so, da je bilo
potrdilo preklicano, verige certifikatov ni bilo mogoče preveriti, kot je določeno v nastavit
vah preklica potrdila za šifriranje zaupanja vrednostne stranke, ali da potrdilo ni
v roku veljavnosti.
<orgID>Če pride do te napake, morate zagnati ukaze
Set-ADFSRely ingPartyTrust -TargetIdentifier https://idbroker.webex.com/ -EncryptionCertificateRevocationCheck None
ID federacije
ID federacije je občutljiv na velike in male črke. Če je to vaš organizacijski e-poštni naslov, ga vnesite točno tako, kot ga pošlje ADFS, sicer Webex ne more najti ustreznega uporabnika.
Pravila zahtevka po meri ni mogoče napisati za normalizacijo atributa LDAP, preden je poslan.
Uvozite metapodatke iz strežnika ADFS , ki ste ga nastavili v okolju.
URL lahko po potrebi preverite tako, da v upravljanju ADFS pomaknete na
Časovna sinhronizacija
Prepričajte se, da je sistemska ura strežnika ADFS sinhronizirana z zanesljivim internetnim virom časa, ki uporablja omrežni časovni protokol (NTP). Uporabite naslednji ukaz PowerShell, da nakrivite uro samo za razmerje Webex Releasing Party Trust.
Set-ADFSRelyingPartyTrust -TargetIdentifier "https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE" -NotBeforesKew 3
Šestnajstna vrednost je edinstvena za vaše okolje. Prosimo, zamenjajte vrednost iz vrednosti ID SP EntityDescriptor v datoteki metapodatkov Webex. Na primer:
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
