Možete da konfigurišete integraciju jedinstvenog prijavljivanja (SSO) između kontrolnog čvorišta i primene koja koristi Shibboleth kao dobavljača identiteta (IdP).
Jedno prijavljivanje i kontrolno čvorište
Jedinstveno prijavljivanje (SSO) je proces sesije ili potvrde identiteta korisnika koji omogućava korisniku da obezbedi akreditive za pristup jednoj ili više aplikacija. Proces daje potvrdu identiteta korisnicima za sve aplikacije kojima su data prava. Ona eliminiše dodatna odziva kada korisnici zamene aplikacije tokom određene sesije.
Protokol Federacije bezbednosnih oznaka (SAML 2.0) koristi se za obezbeđivanje SSO potvrde identiteta između Webex cloud-a i dobavljača identiteta (IdP).
Profili
Webex aplikacija podržava samo SSO profil Veb pregledača. U SSO profilu Veb pregledača, Webex Aplikacija podržava sledeće poveze:
SP inicirala post -> POST binding
SP pokrenuo REDIRECT -> POST binding
ID format imena
SAML 2.0 protokol podržava nekoliko NameID formata za komunikaciju o određenom korisniku. Webex aplikacija podržava sledeće ID formate imena.
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
U metapodacima koje učitavate iz IdP-a, prva stavka je konfigurisana za korišćenje u webexu .
Jednostrukilog
Webex aplikacija podržava profil za jedinstveno odjavljivanje. U aplikaciji Webexkorisnik može da se odjavi iz aplikacije, koja koristi SAML protokol za jedinstveno odjavljivanje da bi završio sesiju i potvrdio to odjavljivanje pomoću IdP-a. Uverite se da je vaš IdP konfigurisan za singleLogout.
Integrišite kontrolno čvorište sa Šibolitom
Vodiči za konfiguraciju prikazuju određeni primer za SSO integraciju, ali ne obezbeđuju iscrpnu konfiguraciju za sve mogućnosti. Na primer, koraci integracije za urnu urne urnije u imenom:oaza:names:tc:SAML:2.0:nameid-format:transient su dokumentovani. Ostali formati kao što su urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress će raditi za SSO integraciju ali su izvan opsega naše dokumentacije. |
Podesite ovu integraciju za korisnike u Vašoj Webex organizaciji (uključujući Webex App, Webex meetingsi druge usluge administrirane u kontrolnom čvorištu). Ako je Vaša Webex lokacija integrisana u kontrolno čvorište , Webex lokacija nasleđuje upravljanje korisnicima. Ako ne možete da pristupite Webex sastancima na ovaj način, a njime se ne upravlja u kontrolnom čvorištu, morate da uradite posebnu integraciju da biste omogućili SSO za Webex sastanke. (Vidite Konfigurišite jedinstveno prijavljivanje za Webex za više informacija u SSO integraciji u administraciji lokacije.)
Koraci integracije se odnose na Shibboleth 2.4.5 u CentOS 7 sa Tomcat 7 kao web serverom.
Pre nego što počneš
Za SSO i kontrolno čvorište, IDP-ovi moraju biti u skladu sa SAML 2.0 specifikacijom. Pored toga, IDP-ovi moraju biti konfigurisani na sledeći način:
Preuzimanje Webex metapodataka na lokalni sistem
1 | Iz prikaza klijenta u programu https://admin.webex.com, idite potvrde identiteta, a zatim se prebacite na postavku jedinstvenog prijavljivanja da biste pokrenuli čarobnjak za instalaciju. |
||
2 | Odaberite tip certifikata za vašu organizaciju:
|
||
3 | Preuzmite datoteku metapodataka. Ime datoteke Webex metapodataka je idb-meta-SP<org-ID>.xml. |
Konfigurisanje autorizacije u Shibboleth datotekama
Kada instalirate Shibboleth, obezbeđuju vam se datoteke za konfiguraciju sa primerima.
1 | Idite u direktorijum /opt /shibboleth-idp/conf da biste pristupili datotekama sa primerima. |
2 | Odlučite koji metod autorizacije ćete koristiti – na primer, LDAP se vezuje za aktivni direktorijum. |
3 | Uredite datoteku .xml na sledeći način: Dekommentuj
Komentar
|
4 | Popunite detalje aktivnog direktorijuma da biste dozvolili potvrdu identiteta. Obezbedite konfiguraciju datoteke login.config . Primer:
|
Konfigurisanje komponenti shibboleth dobavljača usluga za SAML tvrdnju
1 | Dodajte datoteku koju ste preuzeli sa Webex SP u direktorijum /opt/shibboleth-idp/metapodaci. |
2 | Uredite datoteku sa .xml strane; nakon oznake DefaultRelyingParty dodajte detalje SAML tvrdnje za Webex.
Za ID morate da koristite ID vrednost entiteta iz Webex datoteke metapodataka. Zamenite ID primera ID-om entiteta vaše organizacije. |
3 | Unutar metapodataka:MetapodatakaProvider oznaka, dodajte lokaciju datoteke:
SP metapodaci potiиu iz datoteke u Shibboleth sistemu datoteka, na lokaciji na koju ste otpremili metapodatke za Webex organizaciju . |
Konfigurisanje atributa tvrdnje
1 | U odeljku Linija spajanja podataka navedite gde da preuzmete atribute o svojim korisnicima. Primer:Aktivni direktorijum, sa ID-om myLDAP-a.
|
2 | U odeljku Definicija atributa zadržite ono što se već nalazi u konfiguraciji za ID prolaza. |
3 | Dodajte dodatni atribut koji SP očekuje i definišite na šta se mapira u izvoru atributa. Primer:
|
4 | Definišite koji atribut treba obezbediti svakom SP sporazumu u datoteci .xml filtera . Obezbedite atribut Uid webexu koji se mapira na e-adresu korisnika. Primer:Objavite atribut uid sp sporazuma sa Webex-om .
Pravilo koje ste kreirali u razrešivaču atributa.xml trebalo bi da ima smernice za objavljivanje atributa "Attr" pošte ID-a entiteta koji se podudara sa Webex-om. |
5 | Preuzmite datoteku metapodataka sa Shibboleth servera u /opt/shibboleth-idp/metapodacima. Ime datoteke su idp-metapodaci.xml. |
Uvoz IdP metapodataka i omogućavanje jedinstvenog prijavljivanja nakon testa
Kada izvezete Webex metapodatke, konfigurišete IdP i preuzmete IdP metapodatke u lokalni sistem, spremni ste da ga uvezete u Webex organizaciju iz kontrolnog čvorišta.
Pre nego što počneš
Nemojte testirati SSO integraciju iz interfejsa dobavljača identiteta (IdP). Mi podržavamo samo tokove koje je pokrenuo dobavljač usluga (SP) tako da za ovu integraciju morate da koristite SSO test kontrolnog čvorišta.
1 | Odaberite jednu:
|
||||
2 | Na stranici "Uvoz IdP metapodataka" prevucite i otpustite datoteku IdP metapodataka na stranicu ili koristite opciju pregledača datoteka da biste pronašli i otpremili datoteku metapodataka. Kliknite na dugme Dalje. Trebalo bi da koristite bezbedniju opciju, ako možete. Ovo je moguće samo ako je vaš IDP koristio javni CA za potpisivanje metapodataka. U svim ostalim slučajevima morate da koristite opciju "Manje bezbedno ". To uključuje ako metapodaci nisu potpisani, samopotpisani ili potpisani od strane privatnog CA. |
||||
3 | Izaberite Test SSO instalacijui kada se otvori nova kartica pregledača, potvrdite verodostojnost IDP-a prijavljivanjem.
|
||||
4 | Vratite se na karticu pregledača kontrolnog čvorišta.
|
Šta dalje
Proceduru možete da sledite u fascikli " Spreči automatizovane e-poruke " da biste onemogućili e-poruke koje se šalju novim korisnicima Webex aplikacija u vašoj organizaciji. Dokument takođe sadrži najbolje prakse za slanje komunikacije korisnicima u vašoj organizaciji.