- Start
- /
- Artikel
Tack för din feedback.
I den här artikeln
Har du feedback?Du kan konfigurera en SSO (Single Sign-on) -integration mellan Control Hub och en distribution som använder Active Directory Federation Services (ADFS 2.x och senare) som identitetsleverantör (IdP).
Enkel inloggning och kontrollnav
Single sign-on (SSO) är en session eller användarautentiseringsprocess som tillåter en användare att ange autentiseringsuppgifter för att komma åt ett eller flera program. Processen autentiserar användare för alla applikationer som de ges rättigheter till. Det eliminerar ytterligare uppmaningar när användare byter program under en viss session.
Federationsprotokollet SAML 2.0 (Security Assertion Markup Language) används för att tillhandahålla SSO-autentisering mellan Webex-molnet och din identitetsleverantör (IdP).
Profiler
Webex-appen stöder endast webbläsarens SSO-profil. I webbläsarens SSO-profil stöder Webex App följande bindningar:
-
SP initierade POST -> POST-bindning
-
SP initierade OMDIRIGERING -> POST-bindning
NamnID-format
SAML 2.0-protokollet stöder flera NameID-format för kommunikation om en specifik användare. Webex App stöder följande NameID-format.
-
Urn:oasis:namn:tc:saml:2.0:nameID-format:Transient -
urn:oasis:namn:tc:saml:1.1:namnID-format:ospecificerat -
Urn:oasis:namn:tc:saml:1.1:namnID-format:e-postadress
I metadata som du laddar från din IdP konfigureras den första posten för användning i Webex.
SingelLogga ut
Webex-appen stöder den enda utloggningsprofilen. I Webex-appen kan en användare logga ut från programmet, som använder SAML-protokollet för enkel utloggning för att avsluta sessionen och bekräfta att du loggar ut med din IdP. Se till att din IdP är konfigurerad för SingleLogout.
Integrera Control Hub med ADFS
Konfigurationsguiderna visar ett specifikt exempel på SSO-integration men ger inte uttömmande konfiguration för alla möjligheter. Till exempel dokumenteras integrationsstegen för nameid-format URN:oasis:names:tc:saml:2.0:nameID-format:Transient. Andra format som urn:oasis:names:tc:saml:1.1:nameID-format:unspecified eller urn:oasis:names:tc:saml:1.1:nameID-format:emailAddress fungerar för SSO integration men ligger utanför vår dokumentation.
Ställ in den här integrationen för användare i din Webex-organisation (inklusive Webex-appen och andra tjänster som administreras i Control Hub). Webex Meetings Om din Webex-webbplats är integrerad i Control Hub ärver Webex-webbplatsen användarhanteringen. Om du inte kan komma Webex Meetings åt på det här sättet och det inte hanteras i Control Hub måste du göra en separat integration för att aktivera SSO förWebex Meetings.
Beroende på vad som är konfigurerat i autentiseringsmekanismerna i ADFS kan integrerad Windows-autentisering (IWA) aktiveras som standard. Om det är aktiverat autentiseras program som startas via Windows (t.ex. Webex App och Cisco Directory Connector) som den användare som är inloggad, oavsett vilken e-postadress som anges under den första e-postprompten.
Ladda ner Webex-metadata till ditt lokala system
Ladda ner Webex-metadata innan du konfigurerar din identitetsleverantör. Den här filen innehåller inställningarna för Webex-tjänsteleverantören för din organisation, och din identitetsleverantör använder dessa inställningar för att känna igen Webex och skicka SAML-inloggningssvar tillbaka till rätt plats. Använd den här metadatafilen när du konfigurerar SAML-programmet i identitetsleverantören.
| 1 |
Logga in på Control Hub. |
| 2 |
Gå till Han . |
| 3 |
Gå till fliken Identitetsleverant ör och klicka på Aktivera SSO. |
| 4 |
Välj en IdP. |
| 5 |
Välj certifikattyp för din organisation:
|
| 6 |
Ladda ner metadatafilen. <org-ID>Filnamnet för Webex metadata är idb-meta- -SP.xml. |
Installera Webex-metadata i ADFS
Innan du börjar
Control Hub stöder ADFS 2.x eller senare.
Windows 2008 R2 innehåller endast ADFS 1.0. Du måste installera minst ADFS 2.x från Microsoft.
För SSO- och Webex-tjänster måste identitetsleverantörer (IDP) uppfylla följande SAML 2.0-specifikation:
-
Ställ in attributet nameID Format till URN:oasis:names:tc:saml:2.0:nameID-format: transient
-
Konfigurera ett anspråk på IdP för att inkludera attributnamnet uid med ett värde som mappas till attributet som väljs i Cisco Directory Connector eller användarattributet som matchar det som väljs i Webex identitetstjänst. (Det här attributet kan till exempel vara E-postadresser eller User-Huvudnamn.) Se informationen om anpassade attribut på https://www.cisco.com/go/hybrid-services-directory för vägledning.
| 1 |
Logga in på ADFS-servern med administratörsbehörighet. |
| 2 |
Öppna ADFS-hanteringskonsolen och bläddra till Förtroende . |
| 3 |
Välj Start i fönstret Add Relying Party Trust Wizard. |
| 4 |
För Välj datakälla väljer du Importera data om den förlitande parten från en fil, bläddra till Metadatafilen för kontrollhubben som du hämtade och välj Nästa. |
| 5 |
För Ange visningsnamn skapar du ett visningsnamn för den förlitande partens förtroende, t.ex. Webex, och väljer Nästa. |
| 6 |
Välj Tillåt alla användare att komma åt den förlitande parten vid Välj utfärdande auktoriseringsregler och välj Nästa. |
| 7 |
För Redo att lägga till förtroende väljer du Nästa och slut för att lägga till det förlitande förtroendet i ADFS. |
Skapa anspråk regler för Webex-autentisering
| 1 |
Markera förtroenderelationen som du skapade i ADFS-huvudfönstret och välj sedan Redigera anspråksregler. Välj Lägg till regel på fliken Utgivningstransformerings regler. |
| 2 |
I steget Välj regeltyp väljer du Skicka LDAP-attribut som anspråk och väljer sedan Nästa.  |
| 3 |
Välj Lägg till regel igen, välj Skicka anspråk med en anpassad regel och välj sedan Nästa. Den här regeln ger ADFS attributet ”spname qualifier” som Webex inte tillhandahåller på annat sätt.
|
| 4 |
Välj Förtroende för förlitande part i huvudfönstret och välj sedan Egenskaper i den högra rutan. |
| 5 |
När fönstret Egenskaper visas bläddrar du till fliken Avancerat, SHA-256 och väljer sedan OK för att spara ändringarna. |
| 6 |
Bläddra till följande URL på den interna ADFS-servern för att ladda ner filen: https: //< AD_FS_Server >/FederationMetadata/2007-06/FederationMetadata.xml Du kan behöva högerklicka på sidan och visa sidkällan för att få den korrekt formaterade XML-filen. |
| 7 |
Spara filen på din lokala dator. |
Vad du ska göra härnäst
Du är redo att importera ADFS-metadata tillbaka till Webex från hanteringsportalen.
Importera IdP-metadata och aktivera enkel inloggning efter ett test
När du har exporterat Webex-metadata, konfigurerat din IdP och hämtat IdP-metadata till ditt lokala system är du redo att importera det till din Webex-organisation från Control Hub.
Innan du börjar
Testa inte SSO-integrationen från IdP-gränssnittet (Identity Provider). Vi stöder endast Service Provider-initierade (SP-initierade) flöden, så du måste använda Control Hub SSO-testet för denna integrering.
| 1 |
Välj en:
|
| 2 |
På sidan Importera IdP-metadata kan du antingen dra och släppa IdP-metadatafilen på sidan eller använda alternativet för filbläddrare för att hitta och ladda upp metadat afilen. Klicka på Nästa.
Du bör använda alternativet Säkr are, om du kan. Detta är bara möjligt om din IdP använde en offentlig certifikatutfärdare för att signera sina metadata. I alla andra fall måste du använda alternativet Mindre säkert. Detta gäller även om metadata inte är signerade, självsignerade eller signerade av en privat certifikatutfärdare. Okta signerar inte metadata, så du måste välja Mindre säker för en Okta SSO-integration. |
| 3 |
Välj Test SSO setup och när en ny webbläsarflik öppnas autentiserar du med IdP genom att logga in. Om du får ett autentiseringsfel kan det vara ett problem med autenti seringsuppgifterna. Kontrollera användarnamnet och lösenordet och försök igen. Ett Webex-appfel innebär vanligtvis ett problem med SSO-installationen. I det här fallet går du igenom stegen igen, särskilt stegen där du kopierar och kli strar in Control Hub-metadata i IdP-inställningen. För att se SSO-inloggningsupplevelsen direkt kan du också klicka på Kopiera URL till Urklipp från den här skärmen och kli stra in den i ett privat webbläsarfönster. Därifrån kan du gå igenom inlogg ningen med SSO. Det här steget stoppar falska positiva resultat på grund av en åtkomsttoken som kan finnas i en befintlig session från att du är inloggad. |
| 4 |
Återgå till webbläsarfliken Control Hub.
SSO-konfigurationen träder inte i kraft i organisationen om du inte väljer första alternativknappen och aktiverar SSO. |
Vad du ska göra härnäst
Använd procedurerna i Synkronisera Okta-användare till Control Hub om du vill göra användarprovisionering från Okta till Webex-molnet.
Använd procedurerna i Synkronisera Microsoft Entra ID-användare till Control Hub om du vill göra användarprovisionering från Entra ID till Webex-molnet.
Du kan följa proceduren i Undertryck automatiska e-postmeddelanden för att inaktivera e-postmeddelanden som skickas till nya Webex App-användare i din organisation. Dokumentet innehåller också bästa praxis för att skicka ut kommunikation till användare i organisationen.
Uppdatera Webex förlitande parts förtroende i ADFS
Innan du börjar
Du måste exportera SAML-metadatafilen från Control Hub innan du kan uppdatera Webex Relying Party Trust i ADFS.
| 1 |
Logga in på ADFS-servern med administratörsbehörighet. |
| 2 |
Ladda upp SAML-metadatafilen från Webex till en tillfällig lokal mapp på ADFS-servern, t.ex.
|
| 3 |
Öppna Powershell. |
| 4 |
Kör Observera parametern |
| 5 |
<org-ID>Kör Se till att ersätta filnamnet och målnamnet med rätt värden från din miljö. Se https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust.Om du har laddat ner Webex SP-5-årscertifikatet och har Signerings- eller Krypteringscertifikatåterkallande aktiverat måste du köra dessa två kommandon: |
| 6 |
Logga in på Control Hub och testa sedan SSO-integrationen:
|
.ADFS felsökning
ADFS-fel i Windows-loggar
I Windows-loggarna kan du se en ADFS-händelseloggfelkod 364. Händelsedetaljerna identifierar ett ogiltigt certifikat. I dessa fall tillåts inte ADFS-värden genom brandväggen på port 80 för att validera certifikatet.
Ett fel uppstod under ett försök att bygga certifikat kedjan för den förlitande partens förtroende
När du uppdaterar SSO-certifikatet kan det här felet visas när du loggar in: Ogil
tig statuskod som svar.
Om du ser det felet kontrollerar du händelsevisarens loggar på
ADFS-servern och letar efter följande fel: Ett fel inträffade under ett försök att
bygga certifikatkedjan för certifikatet
”https://idbroker.webex.com/” som identifierats med fingeravtryck 754B9208F1F75C5CC122740F3675C5D129471
D80<org-ID>. Möjliga orsaker är att
certifikatet återkallades, certifikatkedjan inte kunde verifieras enligt vad som anges i förtroendepartens inställningar
för återkallande av krypteringscertifikat eller att certifikatet inte är
inom giltighetstiden.
<orgID>Om det här felet inträffar måste du köra kommandona
Set-AdfsRely ingPartyTrust -TargetIdentifier https://idbroker.webex.com/ -EncryptionCertificateRevocationCheck None
Federations-ID
Federations-ID:t är skiftlägeskänsligt. Om det här är din organisations e-postadress anger du den exakt som ADFS skickar den, annars kan Webex inte hitta den matchande användaren.
En anpassad anspråksregel kan inte skrivas för att normalisera LDAP-attributet innan det skickas.
Importera metadata från ADFS-servern som du har konfigurerat i din miljö.
Du kan verifiera webbadressen om det behövs genom att navigera till .
Tidssynkronisering
Se till att ADFS-serverns systemklocka synkroniseras med en pålitlig Internet-tidskälla som använder NTP (Network Time Protocol). Använd följande PowerShell-kommando för att skeva klockan endast för Webex Relying Party Trust-relationen.
Set-AdfsRelyingPartyTrust -TargetIdentifier "https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE" -NotBeforeSkew 3
Det hexadecimala värdet är unikt för din miljö. Ersätt värdet från SP EntityDescriptor ID-värdet i Webex-metadatafilen. Till exempel:
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
