Єдиний вхід і центр керування

Єдиний вхід (SSO) - це процес аутентифікації сеансу або користувача, який дозволяє користувачеві надати облікові дані для доступу до однієї або декількох програм. Процес аутентифікує користувачів для всіх програм, на які їм надаються права. Вона усуває подальші підказки, коли користувачі перемикають програми під час певного сеансу.

Протокол Федерації мови розмітки тверджень безпеки (SAML 2.0) використовується для забезпечення автентифікації SSO між хмарою Webex і вашим постачальником ідентифікаційних даних (IdP).

Профілі

Програма Webex підтримує лише профіль SSO веб-переглядача. У профілі SSO веб-переглядача застосунок Webex підтримує такі прив 'язки:

SP ініційовано POST -> POST BINDING
SP ініціював ПЕРЕАДРЕСАЦІЮ -> POST BINDING

Формат NameID

Протокол SAML 2.0 підтримує декілька форматів NameID для спілкування про конкретного користувача. Програма Webex підтримує такі формати NameID.

urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

У метаданих, які ви завантажуєте зі свого IdP, перший запис налаштовано для використання в Webex.

Інтегрувати центр керування з Okta

Керівництва з конфігурації показують конкретний приклад інтеграції SSO, але не забезпечують вичерпної конфігурації для всіх можливостей. Наприклад, задокументовано кроки інтеграції для urn:oasis:names:tc:SAML:2.0: nameid-format: transient. Інші формати, такі як urn: oasis: names: tc: SAML: 1.1: nameid-format:unspecified або urn: oasis: names: tc: SAML: 1.1: nameid-format: emailAddress працюватимуть для інтеграції SSO, але виходять за рамки нашої документації.

Налаштуйте цю інтеграцію для користувачів у вашій організації Webex (включаючи додаток Webex, зустрічі Webex та інші служби, адміністрування яких здійснюється в Центрі керування). Якщо ваш сайт Webex інтегрований у Центр керування, сайт Webex успадковує управління користувачами. Якщо ви не можете отримати доступ до зустрічей Webex у такий спосіб, і він не управляється в Control Hub, ви повинні зробити окрему інтеграцію, щоб увімкнути SSO для зустрічей Webex. (Див. Налаштування єдиного входу для Webex для отримання додаткової інформації про інтеграцію SSO в адмініструванні сайту.)

Перш ніж почати

Для SSO та Control Hub IDP повинні відповідати специфікації SAML 2.0. Крім того, IDP повинні бути налаштовані наступним чином:

Завантажте метадані Webex до локальної системи

У перегляді клієнта в розділіhttps://admin.webex.com, перейдіть до Керування > Налаштування організації, а потім перейдіть до автентифікації, а потім увімкніть налаштування єдиного входу, щоб запустити майстер налаштування.

Виберіть тип сертифіката для своєї організації:

Самопідписання компанією Cisco .Рекомендуємо такий вибір. Дозвольте нам підписати сертифікат, тому вам потрібно поновлювати його лише раз на п 'ять років.
Підписано публічним центром сертифікації- більш безпечно, але вам потрібно буде часто оновлювати метадані (якщо ваш постачальник IDP не підтримує прив 'язки довіри).

Якорі довіри - це відкриті ключі, які діють як повноваження для перевірки сертифіката цифрового підпису. Щоб отримати додаткову інформацію, перегляньте документацію IdP.

Завантажте файл метаданих.

Ім 'я файлу метаданих Webex - idb-meta-<org-ID>-SP.xml.

Налаштувати Okta для служб Webex

1.	Увійдіть як адміністратор до клієнта Okta (example.okta.com, де example - це назва вашої компанії або організації), перейдіть до розділу Програми, а потім натисніть Додати програму.
2.	Знайдіть "Cisco Webex" і додайте програму до свого клієнта.
3.	Натисніть Далі, а потім - SAML 2.0.
4.	У своєму веб-переглядачі відкрийте файл метаданих, який ви завантажили з Control Hub. Скопіюйте URL-адреси для ідентифікатора сутності (у верхній частині файлу) та розташування assertionConsumerService (у нижній частині файлу). Малюнок 1. Приклад виділеного ідентифікатора сутності у файлі метаданих Control Hub Малюнок 2. Приклад виділеного ствердженняConsumerService location in Control Hub Metadata File
5.	На вкладці Cisco Webex в Okta перейдіть до розділу "Додаткові налаштування", а потім вставте значення ідентифікатора сутності та споживчої служби твердження, скопійовані з файлу метаданих Control Hub, а потім збережіть зміни.
6	Натисніть Увімкнути, а потім завантажте файл метаданих Okta з. Цей файл буде імпортовано назад до екземпляра Control Hub.
7	Натисніть Призначення, виберіть всіх користувачів і всі відповідні групи, які потрібно пов 'язати з програмами та службами, керованими в Control Hub, натисніть Назначити, а потім натисніть Готово. Ви можете призначити користувача або групу. Не пропустіть цей крок; інакше ваш Центр керування та інтеграція Okta не працюватимуть.

Імпортувати метадані IdP та увімкнути єдиний вхід після тесту

Після експорту метаданих Webex, налаштування IdP та завантаження метаданих IdP до локальної системи, ви можете імпортувати їх до своєї організації Webex з Control Hub.

Перш ніж почати

Не перевіряйте інтеграцію SSO з інтерфейсу постачальника ідентифікаційних даних (IdP). Ми підтримуємо лише потоки, ініційовані Постачальником послуг (SP-ініційовані), тому для цієї інтеграції потрібно використовувати тест SSO Control Hub.

Виберіть один з варіантів:

Поверніться на сторінку Control Hub – вибір сертифіката у веб-переглядачі, а потім натисніть Далі.
Якщо Центр керування більше не відкрито на вкладці веб-переглядача, перейдіть у розділ " https://admin.webex.comКерування" > "Налаштування організації", прокрутіть до розділу "Аутентифікація", а потім виберіть " Дії" > "Імпортувати метадані".

На сторінці Імпорт метаданих IdP перетягніть файл метаданих IdP на сторінку або скористайтеся опцією переглядача файлів, щоб знайти та завантажити файл метаданих. Клацніть Далі.

Ви повинні використовувати опцію «Більш безпечно», якщо це можливо. Це можливо, лише якщо ваш IdP використовує загальнодоступний ЦС для підписання своїх метаданих.

У всіх інших випадках ви повинні використовувати опцію Менш безпечний. Це стосується випадків, коли метадані не підписані, самопідписані або підписані приватним ЦС.

Okta не підписує метадані, тому ви повинні вибрати Менш безпечний для інтеграції Okta SSO.

Виберіть Test SSO setup (Перевірити налаштування SSO), а коли відкриється нова вкладка веб-переглядача, виконайте автентифікацію за допомогою IdP, увійшовши в систему.

Якщо ви отримали помилку автентифікації, можливо, виникла проблема з обліковими даними. Перевірте ім 'я користувача та пароль і спробуйте ще раз.

Помилка програми Webex зазвичай означає проблему з налаштуванням SSO. У цьому випадку перегляньте кроки знову, особливо кроки, на яких ви копіюєте та вставляєте метадані Control Hub у налаштування IdP.

Щоб переглянути безпосередній вхід SSO, натисніть Скопіювати URL-адресу в буфер обміну з цього екрана та вставте її в приватне вікно веб-переглядача. Звідти ви можете пройти через вхід за допомогою SSO. Цей крок зупиняє хибні позитивні результати через маркер доступу, який може знаходитися в існуючому сеансі від входу.

Поверніться на вкладку веб-переглядача Центру керування.

Якщо тест пройшов успішно, виберіть Успішний тест. Увімкніть SSO і натисніть Далі.
Якщо тест пройшов невдало, виберіть Невдалий тест. Вимкніть SSO і натисніть Далі.

Налаштування SSO не набуває чинності у вашій організації, якщо ви не оберете першу перемикальну кнопку та не активуєте SSO.

Що далі

Використовуйте процедури, описані в розділі Синхронізація користувачів Okta з Cisco Webex Control Hub, якщо ви хочете виконати підготовку користувачів з Okta в хмару Webex.

Щоб вимкнути електронні листи, які надсилаються новим користувачам додатка Webex у вашій організації, виконайте вказані нижче дії. Документ також містить рекомендації щодо надсилання повідомлень користувачам у вашій організації.