Дякуємо за відгук.
SSO з декількома ВПО у Webex
Надіслати відгук?Єдиний вхід (SSO) дозволяє користувачам надійно входити в Webex шляхом аутентифікації у загальному постачальнику ідентифікацій вашої організації. Постачальник ідентифікаційних даних (IdP) надійно збері гає та керує цифровими ідентифікаціями ваших користувачів, а також надає службу автентифікації користувачів для ваших користувачів Webex.
Чому вам може знадобитися кілька ВПО
Багато великих компаній зазнають злиття та поглинання, і ці компанії рідко мають однакові І Т-інфраструктури та постачальників ідентифікацій. Державні установи мають під собою різні організації та установи. Часто ці організації мають єдину адресу електронної пошти для власних ІТ-відділів та інфраструктури відповідно. Великі навчальні заклади мають центральний відділ закупівель, але різні університети та коледжі з різними ІТ-організаціями та відділами.
Як правило, переселенці та постачальники послуг об'єднуються один з одним. IdP відповідає за автентифікацію облікових даних ваших користувачів, а SP довіряє автентифікації, зроб леній IdP. Це дозволяє вашим користувачам отримувати доступ до різних програм і служб SaaS, використовуючи одну і ту ж цифрову ідентифікацію. Але якщо з якоїсь причини ваша організація не може об'єднатися між ВПО, тоді Webex надає обхідний шлях для підтримки кількох ВПО. З цих причин ми надаємо вам можливість налаштувати SSO для кількох Ідентифікаторів у Webex та спростити процес автентифікації користувачів.
Обмеження
- Якщо ви використовуєте «З'єднувач каталогів» у вашій організації, усі користувачі повинні мати доступ до катало гового з'єднувача. Для отримання додаткової інформації звер ніться до посібника з розгортання роз'є му каталогів.
- Наразі ми підтримуємо лише SAML, OpenID Connect та Webex Identity як постачальників ідентифікацій.
Поза межами сфери застосування
- Налаштування групових зборів.
- Перевірка домену. Для отримання додаткової інформації зверніться до розділу Керування домен ами.
- Забезпечення користувача. Докладніші відомості див. у розділі Способи додавання користувачів до організації Центру керування.
У цьому розділі описано, як можна інтегрувати постачальників ідентифікаційних даних (IdP) з організацією Webex . Ви можете вибрати переселенців, які найкраще відповідають вимогам вашої організації.
Якщо ви шукаєте інтеграцію Webex Meetings сайту SSO (керованої в Адміністра ції сайту), зверніться до розділу Налаштування єдиного входу для адміністрування Webex.
Перш ніж почати
Переконайтеся в дотриманні наступних умов:
- Ви повинні мати роль повного адміністратора в Центрі керування.
- Файл метаданих з IdP для передачі Webex та файл метаданих з Webex для передачі IdP. Докладніші відомості див. у статті Інте гра ція єдиного входу в Центр керування. Це стосується лише кон фігурації SAML.
- Перед налаштуванням декількох ВПО слід спланувати поведінку правил маршрутизації.
Правило маршрутизації за замовчуванням застосовується після налаштування початкового ідентифікатора. Але ви можете встановити інший IdP за замовчуванням. Див. Додавання або редагування правила маршрути зації на вкладці Правила маршрутизації в цій статті.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації та натисніть Активувати SSO. |
| 4 |
Виберіть SAML як свого IdP та натисніть Далі. |
| 5 |
Виберіть тип сертифіката:
|
| 6 |
Натисніть Завантажити метадані та натисніть Далі. <org-ID>Назва файлу метаданих програми Webex - idb-meta- -SP.xml. |
| 7 |
Завантажте файл метаданих ВПО або заповніть форму конфігурації. Під час завантаження файлу метаданих існує два способи перевірки метаданих з IdP клієнта:
Натисніть кнопку Далі. |
| 8 |
|
| 9 |
(Необов'язково) Налаштуйте параметри Just In Time (JIT) та відповідь відображення SAML. У цій статті див. розділ Налаштування відображення вчасно (JIT) та SAML на вкладці Керування вашими Ідентифікаторами.
|
| 10 |
Натисніть Тестувати налаштування SSO, і коли відкриється нова вкладка браузера, перевірте автентифікацію за допомогою IdP, ввійшовши в систему. Перевірте з'єднання SSO, перш ніж увімкнути його. Цей крок працює як звичайний запуск і не впливає на налаштування вашої організації, доки ви не ввімкнете SSO на наступному кроці. Якщо ви отримуєте помилку автентифікації, може виникнути проблема з обліковими даними. Перевірте ім'я користувача та пароль і повторіть спробу. Помилка програми Webex зазвичай означає проблему з налаштуванням SSO. У цьому випадку виконайте кро ки ще раз, особливо кроки, коли ви копіюєте та вставля єте метадані Центру керування в налаштування IdP. Щоб переглянути режим входу SSO, радимо натиснути Копі ювати URL-адресу в буфер обміну на цьому екрані та вставити її у вікно приватного браузера. Звідти ви можете пройти через в хід за допомогою SSO. Це допомагає видалити будь-яку кешовану у вашому веб-браузері інформацію, яка може дати помилково позитивний результат під час тестування конфігурації SSO. |
| 11 |
Поверніться на вкладку браузера Control Hub.
Налаштування SSO не набирає чинності у вашій організації, якщо ви не виберете першу перемикач і не активуєте SSO. |
Що робити далі
Ви можете налаштувати правило маршрутизації. Див. Додавання або редагування правила маршрути зації на вкладці Правила маршрутизації в цій статті.
Ви можете виконати процедуру в розділі При душення автоматизованих електронних листів, щоб вимкнути електронні листи, надіслані новим користувачам програми Webex у вашій організації. Документ також містить найкращі методи надсил ання повідомлень користувачам у вашій організації.
Під час налаштування OpenID Connect з ідентифікатором Entra ID або IdP, де електронна пошта не є постійним ідентифікатором, ми рекомендуємо використовувати атрибут посилання
externalID для відображення до Унік ального ідентифікатора. Для ідентифікатора Entra ми пропонуємо зіставити OIDC з ExternalId. Якщо ми виявимо, що електронна пошта
не відповідає атрибуту посилання, користувачеві буде запропоновано підтвердити свою особ
у або створити нового користувача з правильною адресою електронної пошти.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації та натисніть Активувати SSO. |
| 4 |
Виберіть OpenID Connect як свого IdP та натисніть Далі. |
| 5 |
Введіть дані вашого IdP.
|
| 6 |
(Необов'язково) Увімк ніть конфігурацію Дозволити перевірку ключа для обміну кодами (PKCE), щоб налаштувати IDP OIDC за допомогою цього розширення безпеки. Це підвищує безпеку клієнтських додатків і забезпечує сумісність з користувачами, які цього потребують. |
| 7 |
Виберіть спосіб додавання кінцевих точок. Це можна зробити автоматично або вручну.
|
| 8 |
(Необов'язково) Налаштуйте параметри Just In Time (JIT). У цій статті див. розділ Налаштування відображення вчасно (JIT) та SAML на вкладці Керування вашими Ідентифікаторами.
|
| 9 |
Натисніть Тестувати налаштування SSO, і коли відкриється нова вкладка браузера, перевірте автентифікацію за допомогою IdP, ввійшовши в систему. Перевірте з'єднання SSO, перш ніж увімкнути його. Цей крок працює як звичайний запуск і не впливає на налаштування вашої організації, доки ви не ввімкнете SSO на наступному кроці. Якщо ви отримуєте помилку автентифікації, може виникнути проблема з обліковими даними. Перевірте ім'я користувача та пароль і повторіть спробу. Помилка програми Webex зазвичай означає проблему з налаштуванням SSO. У цьому випадку виконайте кро ки ще раз, особливо кроки, коли ви копіюєте та вставля єте метадані Центру керування в налаштування IdP. Щоб переглянути режим входу SSO, радимо натиснути Копі ювати URL-адресу в буфер обміну на цьому екрані та вставити її у вікно приватного браузера. Звідти ви можете пройти через в хід за допомогою SSO. Це допомагає видалити будь-яку кешовану у вашому веб-браузері інформацію, яка може дати помилково позитивний результат під час тестування конфігурації SSO. |
| 10 |
Поверніться на вкладку браузера Control Hub.
Налаштування SSO не набирає чинності у вашій організації, якщо ви не виберете першу перемикач і не активуєте SSO. |
Що робити далі
Ви можете налаштувати правило маршрутизації. Див. Додавання або редагування правила маршрути зації на вкладці Правила маршрутизації в цій статті.
Ви можете виконати процедуру в розділі При душення автоматизованих електронних листів, щоб вимкнути електронні листи, надіслані новим користувачам програми Webex у вашій організації. Документ також містить найкращі методи надсил ання повідомлень користувачам у вашій організації.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації та натисніть Активувати SSO. |
| 4 |
Виберіть Webex як свого IdP та натисніть кнопку Далі. |
| 5 |
Перевір те пункт Я прочитав і зрозумів, як працює Webex IdP, і натисніть кнопку Далі. |
| 6 |
Налаштування правила маршрутизації. Див. Додавання або редагування правила маршрути зації на вкладці Правила маршрутизації в цій статті. |
Після додавання правила маршрутизації ваш IdP буде додано і відображається на вкладці Постачальник ідентифікації.
Що робити далі
Ви можете виконати процедуру в розділі При душення автоматизованих електронних лист ів, щоб вимкнути електронні листи, які надсилаються новим користувачам програми Webex у вашій організації. Документ також містить найкращі методи надсил ання повідомлень користувачам у вашій організації.
Правила маршрутизації застосовуються при налаштуванні декількох IdP. Правила маршрутизації дозволяють Webex визначати, якому Ідентифікатора надсилати користувачів, якщо ви налаштували декілька Ідентифікаторів.
При налаштуванні декількох IdP ви можете визначити правила маршрутизації в майстрі конфігура ції SSO. Якщо ви пропустите крок правила маршрутизації, Центр керування додасть IdP, але не активує IdP. Щоб активувати IdP, необхідно додати правило маршрутизації.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Правила маршрути зації. Під час налаштування першого IdP правило маршрутизації автоматично додається і встановлюється як правило за замовчуванням. Ви можете вибрати інший IdP, який буде встановлено як правило за замовчуванням пізніше. |
| 4 |
Натисніть Додати нове правило маршрутизації. |
| 5 |
Введіть дані для правила маршрутизації:
|
| 6 |
Виберіть метод багатофакторної аутентифікації (MFA):
Докладніші відомості про налаштування MFA для організації див. у статті Увімкнення багатофакторної інтеграції автентифікації в Control Hub. |
| 7 |
Натисніть кнопку Дод ати. |
| 8 |
Виберіть нове правило маршрутизації та натисніть кнопку Активувати. |
Ви можете змінити порядок пріоритетності правил маршрутизації, якщо у вас є правила маршрутизації для кількох ВПО.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Правила маршрути зації. |
| 4 |
Виберіть правило маршрутизації. |
| 5 |
Виберіть, чи потрібно деактив увати або видалити правило маршрутизації. Рекомендується мати інше активне правило маршрутизації для IdP. В іншому випадку ви можете зіткнутися з проблемами зі своїм логіном SSO. |
Правило за замовчуванням неможливо вимкнути або видалити, але ви можете змінити маршрутизований IdP.
Перш ніж почати
Час від часу ви можете отримувати сповіщення електронною поштою або бачити сповіщення в Центрі керування про те, що термін дії сертифіката IdP закінчується. Оскільки постачальники IdP мають власну спеціальну документацію для поновлення сертифікатів, ми розглядаємо те, що потрібно в Control Hub, а також загальні кроки для отримання оновлених метаданих IdP та завантаження їх у Control Hub для поновлення сертифіката.
Це стосується лише кон фігурації SAML.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації. |
| 4 |
Заходимо в IdP, натискаємо Щоб завантажити файл метаданих, натисніть
 і виберіть Завантажити метадані Idp. |
| 5 |
Перейдіть до інтерфейсу керування IdP, щоб отримати новий файл метаданих. |
| 6 |
Поверніться до центру керування та перетягніть файл метаданих IdP у область завантаження або натисніть Вибрати файл, щоб завантажити метадані. |
| 7 |
Виберіть Менш захи щений (самопідписаний) або Більш захищений (підписаний загальнодоступною CA) залежно від способу підписання метаданих IdP та натисніть кнопку Зберегти. |
| 8 |
Налаштуйте параметри Just In Time (JIT) та відповідь відображення SAML. У цій статті див. розділ Налаштування відображення вчасно (JIT) та SAML на вкладці Керування вашими Ідентифікаторами.
|
| 9 |
Натисніть Тестувати налаштування SSO, і коли відкриється нова вкладка браузера, перевірте автентифікацію за допомогою IdP, ввійшовши в систему. Перевірте з'єднання SSO, перш ніж увімкнути його. Цей крок працює як звичайний запуск і не впливає на налаштування вашої організації, доки ви не ввімкнете SSO на наступному кроці. Якщо ви отримуєте помилку автентифікації, може виникнути проблема з обліковими даними. Перевірте ім'я користувача та пароль і повторіть спробу. Помилка програми Webex зазвичай означає проблему з налаштуванням SSO. У цьому випадку виконайте кро ки ще раз, особливо кроки, коли ви копіюєте та вставля єте метадані Центру керування в налаштування IdP. Щоб переглянути режим входу SSO, радимо натиснути Копі ювати URL-адресу в буфер обміну на цьому екрані та вставити її у вікно приватного браузера. Звідти ви можете пройти через в хід за допомогою SSO. Це допомагає видалити будь-яку кешовану у вашому веб-браузері інформацію, яка може дати помилково позитивний результат під час тестування конфігурації SSO. |
| 10 |
Натисніть Збере гти. |
і виберіть Перш ніж почати
Рекомендується оновити всіх ВПО у вашій організації під час поновлення сертифіката SP.
Це стосується лише кон фігурації SAML.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації. |
| 4 |
Перейдіть до IdP і натисніть |
| 5 |
Натисніть Переглянути сертифікати та термін придатності. Ви перейдете на сторінку сертифікатів постачальника послуг (SP). Ви можете
натиснути, Якщо ваша організація використовує подвійні сертифікати, ви також можете переключити додатковий сертифікат на основний сертифікат або видалити існуючий вторинний сертифікат. |
| 6 |
Натисніть «По новити сертифікат». |
| 7 |
Виберіть тип ВПО у вашій організації:
|
| 8 |
Виберіть тип сертифіката для продовження:
|
| 9 |
Щоб підтвердити, що ви хочете замінити поточний сертифікат вибраним, позначте пункт Натис нувши Замінити сертифікат, я поміняю поточний сертифікат на вибраний, а потім натисніть Замі нити сертифікат. |
| 10 |
На сторінці по новлення сертифікатів постачальника послуг (SP) натисніть Завантажити метадані або Завантажити сертифікат, щоб завантажити копію онов леного файлу метаданих або сертифіката з хмари Webex. |
| 11 |
Перейдіть до інтерфейсу керування IdP, щоб завантажити новий файл метаданих Webex або сертифікат. Цей крок можна виконати за допомогою вкладки браузера, протоколу віддаленого робочого столу (RDP) або через підтримку конкретного хмарного постачальника, залежно від налаштування вашого IdP та того, чи відповідаєте за цей крок ви чи окремий адміністратор IdP. Щоб отримати додаткову інформацію, перегля ньте наші посібники з інтеграції SSO або зверніться до адміністратора IdP за допомогою. Якщо ви використовуєте Слу Active Directory жби федерації (AD FS), ви можете переглянути, як оновити метадані Webex у AD FS |
| 12 |
Поверніться до інтерфейсу Control Hub. На сторінці по новлення сертифікатів постачальника послуг (SP) по значте пункт Я вже оновив метадані для всіх ВПО, а потім натисніть кнопку Далі. |
| 13 |
Натисніть Готов о. |
.
щоб завантажити метадані SP або сертифікат. Перш ніж почати
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації. |
| 4 |
Перейдіть до IdP і натисніть |
| 5 |
Виберіть Тестувати IdP. |
| 6 |
Натисніть Тестувати налаштування SSO, і коли відкриється нова вкладка браузера, перевірте автентифікацію за допомогою IdP, ввійшовши в систему. Якщо ви отримуєте помилку автентифікації, може виникнути проблема з обліковими даними. Перевірте ім'я користувача та пароль і повторіть спробу. Помилка програми Webex зазвичай означає проблему з налаштуванням SSO. У цьому випадку виконайте кро ки ще раз, особливо кроки, коли ви копіюєте та вставля єте метадані Центру керування в налаштування IdP. Щоб переглянути режим входу SSO, радимо натиснути Копі ювати URL-адресу в буфер обміну на цьому екрані та вставити її у вікно приватного браузера. Звідти ви можете пройти через в хід за допомогою SSO. Це допомагає видалити будь-яку кешовану у вашому веб-браузері інформацію, яка може дати помилково позитивний результат під час тестування конфігурації SSO. |
| 7 |
Поверніться на вкладку браузера Control Hub.
Налаштування SSO не набирає чинності у вашій організації, якщо ви не виберете першу перемикач і не активуєте SSO. |
Перш ніж почати
Переконайтеся, що виконуються наступні передумови:
-
SSO вже налаштовано.
-
Домени вже перевірені.
-
Домени заявляються і включаються. Ця функція гарантує, що користувачі з вашого домену створюються та оновлюються один раз, коли вони перевіряються за допомогою вашого IdP.
-
Якщо увімкнено DirSync або Entra ID, створення або оновлення SAML JIT не працюватиме.
-
Включено «Блокувати оновлення профілю користувача». Зображення оновлень SAML дозволено, оскільки ця конфігурація керує можливістю користувача редагувати атрибути. Методи створення та оновлення, ке ровані адміністратором, все ще підтримуються.
Під час налаштування SAML JIT з ідентифікатором Entra ID або IdP, де електронна пошта не є постійним ідентифікатором, ми рекомендуємо використовувати атрибут посилання
externalId для відображення унікального іденти фікатора. Якщо ми виявимо,
що електронна пошта не відповідає атрибуту посилання, користувачеві буде запропоновано підтвердити
свою особу або створити нового користувача з правильною адресою електронної пошти.
Нещодавно створені користувачі не отримуватимуть автоматично призначені ліцензії, якщо організація не налаштувала шаблон автоматичної ліцензії.
| 1 |
Увійдіть до центру керування. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 2 |
Перейдіть до меню . | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 3 |
Перейдіть на вкладку Постачальник іденти фікації. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 4 |
Перейдіть до IdP і натисніть | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 5 |
Виберіть Ре дагувати зіставлення SAML. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 6 |
Налашту йте налаштування JIT (Just-in-Time).
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 7 |
Налашту йте необхідні атрибути відображення SAML.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 8 |
Налаштуйте атрибути зв'язування. Це має бути унікальним для користувача. Він використовується для пошуку користувача, щоб Webex міг
оновити всі атрибути профілю, включаючи електронну пошту для користувача.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 9 |
Налаштування атрибутів профі лю.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 10 |
Налаштування атрибутів групи.
Якщо користувач A пов'язаний з Іденти Забезпечення SAML JIT не підтримує видалення користувачів із груп або видалення користувачів.
Список атрибутів твердження SAML для див. Атрибути Webex Meetings твердження SAML для і Jabber. Webex Meetings |
Перш ніж почати
Рекомендується спочатку деактивувати або видалити правила маршрутизації IdP перед видаленням I dP.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації. |
| 4 |
Перейдіть до IdP і натисніть |
| 5 |
Виберіть Видал ити. |
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до меню . |
| 3 |
Перейдіть на вкладку Постачальник іденти фікації. |
| 4 |
Натисніть Де активувати SSO. Підтвердіть деактивацію SSO. |
Після підтвердження SSO деактивується для всіх ВПО у вашій організації.
Ви отримуватимете сповіщення в Центрі керування перед тим, як термін дії сертифікатів закінчиться, але ви також можете попередньо налаштувати правила сповіщень. Ці правила заздалегідь повідомляють, що термін дії сертифікатів SP або IdP закінчується. Ми можемо надіслати їх вам електронною поштою, пробілом у програмі Webex або обома.
Незалежно від налаштованого каналу доставки, всі сповіщення завжди відображаються в Контрольному центрі. Для отримання додаткової інформації див. розділ Центр спові щень у Центрі керування.
| 1 |
Увійдіть до центру керування. |
| 2 |
Перейдіть до центру сповіщень. |
| 3 |
Виберіть Керувати, а потім Усі правила. |
| 4 |
У списку Правила виберіть будь-яке з правил SSO, які ви хочете створити:
|
| 5 |
У розділі Канал доставки встановіть прапорець Електронна пош та, простір Webex або обидва. Якщо ви вибрали «Електронна пошта», введіть адресу електронної пошти, на яку має надходити с повіщення. Якщо ви виберете параметр «Простір Webex», вас автоматично додадуть до простору всередині програми Webex, і ми доставляємо сповіщення туди. |
| 6 |
Збережіть зміни. |
Що робити далі
Ми надсилаємо сповіщення про закінчення терміну дії сертифіката раз на 15 днів, починаючи з 60 днів до закінчення терміну дії. (Ви можете очікувати сповіщень на 60, 45, 30 та 15 день.) Сповіщення припиняються, коли ви поновлюєте сертифікат.
Якщо у вас виникли проблеми з логіном SSO, ви можете скористатися опцією самостійного відновлення SSO, щоб отримати доступ до організації Webex, керованої в Центрі керування. Параметр самостійного відновлення дозволяє оновити або вимкнути SS O в Контрольному центрі.
