單一登入與 Control Hub

從 https://admin.webex.com 的客戶檢視中，前往 管理 > 組織設定，然後捲動至驗證，然後開啟單一登入設定以啟動設定精靈。

選擇貴組織的憑證類型：

• 由 Cisco 自我簽署 — 我們建議選擇此選項。 讓我們簽署憑證，這樣您只需要每隔五年續訂一次。
• 由公用憑證授權單位簽署 — 較安全，但您需要經常更新中繼資料（除非 IdP 廠商支援信賴起點）。

信賴起點是公開金鑰，用作驗證數位簽章憑證的授權單位。 如需更多資訊，請參閱您的 IdP 文件。

下載中繼資料檔案。

以管理員權限登入 ADFS 伺服器。

開啟 ADFS 管理主控台並瀏覽至 信任關係 > 依賴方信任 > 新增依賴方信任。

從新增依賴方信任精靈視窗中，選取啟動。

對於選取資料來源，選取從檔案匯入關於依賴方的資料，然後瀏覽至您下載的 Control Hub 中繼資料檔，並選取下一步。

對於指定顯示名稱，給此依賴方信任建立顯示名稱，例如 Webex，然後選取下一步。

對於選擇發行授權規則，選取允許所有使用者存取此依賴方，然後選取下一步。

對於準備新增信任，選取 下一步並完成將依賴信任新增至 ADFS。

在 ADFS 窗格中，選取您所建立的信任關係，然後選取編輯宣告規則。 在「發行轉換規則」標籤上，選取新增規則。

在「選擇規則類型」步驟中，選取將 LDAP 屬性作為宣告傳送，然後選取下一步。

1. 輸入宣告規則名稱。

2. 選取 Active Directory 作為屬性存放區。

3. 將 E-mail-Addresses LDAP 屬性對映至 uid 傳出宣告類型。

   此規則告知 ADFS 哪些欄位要對映至 Webex 以識別使用者。 完全按所示的那樣拼寫傳出的宣告類型。

4. 儲存變更。

再次選取新增規則，選取使用自訂規則來傳送宣告，然後選取下一步。

1. 開啟文字編輯器並複製下列內容。

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   取代下列文字中的 URL1 和 URL2：

   • URL1 是您所下載 ADFS 中繼資料檔案中的 entityID。

     例如，下列是您看到的內容範例： <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     僅複製 ADFS 中繼資料檔中的 entityID 並將其貼到文字檔以取代 URL1

   • URL2 位於您所下載 Webex 中繼資料檔的第一行上。

     例如，下列是您看到的內容範例： <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     僅複製 Webex 中繼資料檔中的 entityID，並將其貼到文字檔以取代 URL2。

2. 藉由更新的 URL，從文字編輯器複製規則（開頭為「c:」），並貼到 ADFS 伺服器上的自訂規則方塊中。

   完成的規則看起來應該類似如下：

   

3. 選取完成以建立規則，然後結束「編輯宣告規則」視窗。

選取主視窗中的依賴方信任，然後選取右面板中的內容。

當「內容」視窗出現時，瀏覽至進階標籤、SHA-256，然後選取確定來儲存變更。

瀏覽至內部 ADFS 伺服器上的下列 URL 以下載檔案： https://<AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

您可能需要用滑鼠右鍵按一下頁面，然後檢視頁面原始碼以取得正確格式化的 XML 檔。

將檔案儲存至本端機器。

選擇一個：

• 返回 Control Hub – 瀏覽器中的憑證選取項目頁面，然後按下一步。
• 如果 Control Hub 不會再於瀏覽器標籤中開啟，請從 https://admin.webex.com 的客戶檢視中，前往 管理 > 組織設定，捲動至驗證，然後選擇 動作 > 匯入中繼資料。

在「匯入 IdP 中繼資料」頁面上，將 IdP 中繼資料檔案拖放到頁面上，或者使用檔案瀏覽器選項來尋找並上傳中繼資料檔。 按一下下一步。

選取 測試 SSO 設定，然後當新的瀏覽器索引標籤開啟時，請透過登入，向 IdP 驗證。

如果您收到驗證錯誤，則憑證可能有問題。 檢查使用者名稱和密碼並再試一次。 Webex 應用程式錯誤通常表示 SSO 設定有問題。 在這種情況下，再次檢查這些步驟，尤其是複製 Control Hub 中繼資料並貼至 IdP 設定的步驟。

若要直接查看 SSO 登入體驗，您還可以從此螢幕按一下將 URL 複製到剪貼簿，並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 此步驟會停止因存取權杖可能位在現有階段作業中而您未進行登入的誤判。

回到 Control Hub 瀏覽器標籤。

• 如果測試成功，請選取測試成功。 開啟 SSO 並按下一步。
• 如果測試不成功，請選取測試不成功。 關閉 SSO 並按下一步。

此 SSO 設定不會在貴組織中生效，除非您先選擇圓鈕並啟動 SSO。

以管理員權限登入 AD FS 伺服器。

將 Webex 的 SAML 中繼資料檔案上傳至 AD FS 伺服器上暫時的本地資料夾，例如： //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml 。

開啟 Powershell。

執行 Get-AdfsRelyingPartyTrust 以讀取所有依賴方信任。

執行 Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex" 。

請確認在您的環境中使用正確的值取代檔案名稱和目標名稱。

請參閱 https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust。

如果您下載 Webex SP 5 年憑證，並且開啟了「簽署」或「加密憑證撤銷」，則需要執行以下兩個指令： Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None 。

請登入 Control Hub，然後測試 SSO 整合：

1. 前往 管理 > 組織設定、捲動至驗證，然後開啟單一登入設定以啟動設定精靈。

2. 按一下下一步以跳過「匯入 IdP 中繼資料」頁面。

   由於您先前已匯入 IdP 中繼資料，因此無需重複此步驟。

3. 測試 SSO 連線，然後再啟用它。 此步驟的執行方式如同演練，不會影響貴組織設定，直到您在下一步啟用 SSO 為止。

   若要直接查看 SSO 登入體驗，您還可以從此螢幕按一下將 URL 複製到剪貼簿，並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 這有助於移除在您測試 SSO 設定時可能產生誤判結果的 web 瀏覽器中所擷取的任何資訊。

4. 請登入以完成測驗。