Du kan konfigurera en enkel inloggningsintegrering (SSO) mellan kontrollhubben och en distribution som använder Shibboleth som identitetsleverantör (IdP).
Enkel inloggning och Control Hub
Enkel inloggning (SSO) är en session eller användarautentiseringsprocess som gör det möjligt för en användare att ange autentiseringsuppgifter för att få åtkomst till ett eller flera program. Processen autentiserar användare för alla program som de har behörighet till. Den eliminerar ytterligare uppmaningar när användare byter program under en viss session.
Saml 2.0 Federation Protocol (Security Assertion Markup Language) används för att tillhandahålla SSO verifiering mellan Webex-molnet och din identitetsleverantör (IdP).
Profiler
Webex-appen har endast stöd för SSO webbläsarprofil. I webbläsarens profil SSO stödjer Webex-appen följande bindningar:
SP-initierad POST -> POST-bindning
SP–initierad OMDIRIGERING -> POST-bindning
NameID-format
SAML 2.0-protokollet stöder flera NameID-format för kommunikation om en specifik användare. Webex-appen har stöd för följande NameID-format.
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
I metadatan som du laddar från din IdP är den första posten konfigurerad för användning i Webex.
Enkel utloggning
Webex-appen har stöd för profilen för enkel utloggning. I Webex-appenkan en användare logga ut från programmet som använder SAML-protokollet för enkel utloggning för att avsluta sessionen och bekräfta att logga ut med din IdP. Se till att din IdP har konfigurerats för enskild utloggning.
Integrera control hub med Shibboleth
Konfigurationsguiderna visar ett specifikt exempel för SSO-integrering, men tillhandahåller inte uttömmande konfiguration för alla möjligheter. Integrationsstegen för exempelvis nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient dokumenteras. Andra format, t.ex. urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress fungerar för SSO-integrering men omfattas inte av dokumentation. |
Konfigurera den här integreringen för användare i din Webex-organisation ( inklusive Webex-appen, Webex Meetingsoch andra tjänster som administreras i Control Hub). Om din Webex-webbplats är integrerad i Control Hubärver Webex-webbplatsen användarhanteringen. Om du inte kan komma Webex Meetingsåtkomst på detta sätt och den inte hanteras i Control Hub, måste du göra en separat integrering för att aktivera SSO för Webex Meetings. (Se Konfigurera enkel inloggning för Webex för mer information i SSO-integrering i webbplatsadministration.)
Integreringsstegen hänvisar till Shibboleth 2.4.5 i CentOS 7 med Tomcat 7 som webbserver.
Innan du börjar
För SSO och Control Hubmåste IdP:er uppfylla SAML 2.0-specifikationen. Dessutom måste IdPs konfigureras på följande sätt:
Hämta Webex metadata till ditt lokala system
1 | Från kundvyn i https://admin.webex.comgår Organisationsinställningar ochbläddrar sedan till Autentisering och växlar sedan till inställningen enkel inloggning för att starta konfigurationsguiden. |
||
2 | Välj certifikattyp för din organisation:
|
||
3 | Hämta metadatafilen. Webex metadatafilnamn är idb-meta-SP.xml. <org-ID> |
Konfigurera behörighet i Shibboleth-filer
När du har installerat Shibboleth får du konfigurationsfiler med exempel.
1 | Gå till katalogen / opt/shibboleth-idp/conf för att komma åt exempelfilerna. |
2 | Bestäm vilken behörighetsmetod som ska användas, till exempel LDAP-bindning till Active Directory. |
3 | Redigera filen handler.xml enligt följande: Avkommentera
Kommentar
|
4 | Fyll i uppgifterna om ditt Active Directory för att tillåta autentisering. Ange konfigurationen för filen login.config . Exempel:
|
Konfigurera Shibboleth tjänsteleverantörskomponenter för SAML-försäkran
1 | Lägg till filen som du hämtade från Webex SP i katalogen /opt/shibboleth-idp/metadata. |
2 | Redigera filen relying-party.xml . Efter taggen DefaultRelyingParty lägger du till uppgifterna för SAML-försäkran för Webex.
För ID måste du använda EntityID-värdet från Webex metadatafil . Ersätt ID:t för exemplet med din organisations Enhets-ID. |
3 | Lägg till filens plats i metadata:MetadataProvider-taggen:
SP-metadatan kommer från en fil i Shibboleth-filsystemet på platsen där du laddade upp metadatan för din Webex-organisation . |
Konfigurera kontrollattributen
1 | I avsnittet Dataanslutning anger du var attributen om dina användare ska hämtas. Exempel:Active Directory med id:t MyLDAP.
|
2 | I avsnittet Attributdefinition behåller du det som redan finns i konfigurationen för transientID. |
3 | Lägg till det extra attributet som SP väntar och definiera vad det mappar till i attributkällan. Exempel:
|
4 | Definiera vilket attribut som ska tillhandahållas varje SP-avtal i attributet-filter.xml-filen . Förse Webex med UID-attributet som mappar användarens e-postadress. Exempel:Släpp attributet uid till SP-avtalet med Webex.
Regeln som du skapade i attribute-resolver.xml ska ha en princip för att ge ut attributet mail-attr till EntityID som matchar Webex. |
5 | Hämta metadatafilen från Shibboleth-servern i /opt/shibboleth-idp/metadata. Filnamnet är idp-metadata.xml. |
Importera IdP-metadata och aktivera enkel inloggning (SSO) efter ett test
När du har exporterat Webex-metadata , konfigurerat din IdP och hämtat IdP-metadata till ditt lokala system är du redo att importera dem till din Webex-organisation från Control Hub.
Innan du börjar
Testa inte SSO-integrering från gränssnittet för identitetsleverantören (IdP). Vi stöder endast flöden initierade av tjänsteleverantör (SP-initierade), så du måste använda SSO-testet för Control Hub för den här integreringen.
1 | Välj ett alternativ:
|
||||
2 | På sidan Importera IdP-metadata kan du antingen dra och släppa IdP-metadatafilen på sidan eller använda filläsaren för att hitta och läsa in metadatafilen. Klicka på Nästa. Du bör använda alternativet Säkrare , om du kan. Detta är endast möjligt om din IdP använde en offentlig CA för att signera dess metadata. I alla andra fall måste du använda alternativet Mindre säkert. Detta inbegriper om metadatan inte är signerad, själv signerad eller signerad av en privat CA. |
||||
3 | Välj Test SSO ochnär en ny webbläsarflik öppnas autentiseras du med IdP genom att logga in.
|
||||
4 | Återgå till webbläsarfliken Control Hub.
|
Nästa steg
Du kan följa proceduren i Ignorera automatiska e-postmeddelanden för att inaktivera e-postmeddelanden som skickas till nya Webex-appanvändare i din organisation. Dokumentet innehåller även bästa praxis för att skicka ut kommunikation till användare i din organisation.