Control Hub中的SSO

如果要为组织中的多个身份提供程序设置SSO,请参阅 在Webex中使用多个IdP的SSO


 

如果组织的证书使用率设置为“零”,但您仍然收到警报,我们建议您继续进行升级。 SSO 部署目前没有使用该证书,但今后的更改可能会需要该证书。


 

有时,您可能会收到电子邮件通知,或者会在 Control Hub 中看到 Webex 单点登录 (SSO) 证书即将过期的警报。 请按照本文中的流程通过我们(服务商)检索 SSO 云证书元数据,并重新添加到您的 IdP,否则用户将无法使用 Webex 服务。

如果您在Webex组织中使用SAML Cisco (SP) SSO证书,则必须尽快计划在定期安排的维护时段更新云证书。

所有属于您的 Webex 组织订阅的服务都将受影响,包括但不限于:

  • Webex 应用程序(所有平台的全新登录: 桌面、移动和 Web)

  • Webex 服务(在 Control Hub 中),包括呼叫

  • Webex Meetings 站点(通过 Control Hub 管理)

  • Cisco Jabber(如果它与 SSO 集成)

准备工作


 

请在开始之前阅读所有的说明。 在更改证书或通过向导更新证书后,新用户可能无法成功登录。

如果您的IdP不支持多个证书(市场上的大多数IdP不支持此功能),我们建议您在不影响Webex应用程序用户的维护时段安排此升级。 这些升级任务在操作和活动后验证中大约需要30分钟。

1

要查看 SAML Cisco (SP) SSO 证书是否即将过期,请执行以下操作:

  • 您可能已收到我们发送的电子邮件或 Webex 应用程序消息,但应该在 Control Hub 中查看确认。
  • 登录https://admin.webex.com,并检查警报中心。 可能会发布有关 SSO 服务商证书更新的通知。

  • 登录 https://admin.webex.com,转至 > 设置 > 点登录,然后单击 SSO和IdP
  • 转至 提供程序 选项卡,并注意Cisco SP证书状态和到期日期。

您也可以直接进入 SSO 向导,以更新证书。 如果您决定在完成之前退出向导,您可以从 随时再次访问 > 组织设置 > 点登录https://admin.webex.com

2

转至IdP并单击

3

单击审查证书和到期日期

4

单击续订证书

5

选择您的组织使用的IdP类型。

  • 支持多个证书的IdP
  • 支持单个证书的IdP

 

如果您的 IdP 支持一个证书,我们建议您等到已安排的停机时间再执行这些步骤。 在更新 Webex 证书时,新发起的用户登录操作将暂时失效,现有的登录状态则会保留。

6

选择续订的证书类型:

  • 由 Cisco 自签名 — 我们推荐此选择。 我们在证书上签名,您只需每五年续订一次。
  • 由公共认证中心签名 — 安全性更高,但需要经常更新元数据(除非 IdP 供应商支持信任锚)。

     

    信任锚是充当验证数字签名证书的认证中心的公共密钥。 有关更多信息,请参阅 IdP 文档。

7

单击下载元数据文件从 Webex 云下载新证书的已更新元数据副本。 保持此屏幕处于打开状态。

8

导航至 IdP 管理界面以上传新的 Webex 元数据文件。

  • 此步骤可以通过浏览器选项卡、远程桌面协议 (RDP) 或通过特定的云提供商支持来完成,具体取决于您的 IdP 设置以及此步骤由您还是单独的 IdP 管理员负责。
  • 如需参考,请参阅我们的 SSO 集成指南或联系您的 IdP 管理员寻求支持。 如果在 Active Directory 联合服务 (AD FS) 上,您可以参阅如何更新 AD FS 中的 Webex 元数据
9

返回到登录 Control Hub 的选项卡,然后单击下一步。

10

使用新的SP证书和元数据更新IdP,然后单击下一步

  • 已更新所有 IdP
  • 如果您需要更多时间来更新,请将续订的证书保存为辅助选项
11

单击完成续订


 

有时,您可能会收到电子邮件通知,或者会在 Control Hub 中看到 IdP 证书即将过期的警报。 因为 IdP 供应商有自己特定的证书续订文档,我们涵盖 Control Hub 中所要求的内容,以及检索更新后 IdP 元数据并将其上传至 Control Hub 以续订证书的通用步骤。

1

要查看 IdP SAML 证书是否即将过期,请执行以下操作:

  • 您可能已收到我们发送的电子邮件或 Webex 应用程序消息,但应该在 Control Hub 中查看确认。
  • 登录https://admin.webex.com,并检查警报中心。 可能会发布有关 IdP SAML 证书更新的通知:

  • 登录 https://admin.webex.com,转至 > 设置 > 点登录,然后单击 SSO和IdP
  • 转至身份提供程序选项卡,并注意IdP证书状态(已过期或即将到期)和到期日期。
  • 您也可以直接进入 SSO 向导,以更新证书。 如果您决定在完成之前退出向导,您可以从 随时再次访问 > 组织设置 > 点登录https://admin.webex.com

2

导航至 IdP 管理界面以检索新的元数据文件。

  • 此步骤可以通过浏览器选项卡、远程桌面协议 (RDP) 或通过特定的云提供商支持来完成,具体取决于您的 IdP 设置以及此步骤由您还是单独的 IdP 管理员负责。
  • 如需参考,请参阅我们的 SSO 集成指南或联系您的 IdP 管理员寻求支持。
3

返回到 提供程序 选项卡。

4

转至IdP,单击upload并选择 IdP元数据

5

将您的IdP元数据文件拖放到窗口中,或单击选择文件并以该方式上传。

6

选择安全性较低(自签名)或安全性较高(由公用证书认证中心签名),具体取决于 IdP 元数据的签名方式。

7

单击测试 SSO 更新以确认新的元数据文件已上传并且正确地解析至您的 Control Hub 组织。 在弹出窗口中确认预期的结果,如果测试成功,选择测试成功: 激活SSO和Id P,然后单击


 

要直接查看SSO登录体验,我们建议您从此屏幕单击将URL复制到剪贴板,并将其粘贴到私人浏览器窗口中。 在此处,您可以使用 SSO 登录。 这有助于删除在 Web 浏览器中缓存的任何信息,这些信息可能会在测试 SSO 配置时提供误报结果。

结果: 您已经完成,组织的 IdP 证书现已续订。 您可以随时在身份提供程序选项卡下检查证书状态。

当您需要重新将最新 Webex SP 元数据添加到 IdP 时,可随时将其导出。 当导入的 IdP SAML 元数据即将过期或已经过期时,您将收到通知。

此步骤在常见的 IdP SAML 证书管理场景中非常有用,例如支持之前未完成导出的多个证书的 IdP,如果由于 IdP 管理员不可用而未将元数据导入 IdP,或您的 IdP 只支持更新该证书。 此选项只需通过更新 SSO 配置和活动后验证中的证书即可最大限度地减少更改。

1

https://admin.webex.com 中的客户视图,转至 > 设置,滚动到 点登录,然后单击 SSO和IdP

2

转至身份提供程序选项卡。

3

转至IdP,单击Download并选择下载SP元数据

Webex 应用程序元数据文件名是 idb-meta--SP.xml。<org-ID>

4

将元数据导入您的 IdP。

按照 IdP 文档导入 Webex SP 元数据。 您可以使用我们的 IdP 集成指南,或者如果未列出,参考特定 IdP 的文档。

5

完成后,使用本文中“续订 Webex 证书 (SP)”中的步骤运行中的步骤运行 SSO 测试。

当 IdP 环境发生变化或 IdP 证书即将过期时,您随时可以将更新后的元数据导入 Webex。

准备工作

收集 IdP 元数据,一般作为导出的 xml 文件。

1

https://admin.webex.com 中的客户视图,转至 > 设置,滚动到 点登录,然后单击 SSO和IdP

2

转至身份提供程序选项卡。

3

转至IdP,单击upload并选择 IdP元数据

4

将 IdP 元数据文件拖放到该窗口或单击选择元数据文件,并按该方式上传。

5

选择安全性较低(自签名)或安全性较高(由公用证书认证中心签名),具体取决于 IdP 元数据的签名方式。

6

单击测试SSO设置,当新的浏览器选项卡打开时,登录并使用IdP进行身份验证。

在证书设置为过期之前,您将在 Control Hub 中收到警报,但您还可以主动设置警报规则。 这些规则会让您提前知道,您的 SP 或 IdP 证书即将过期。 我们可以通过电子邮件、Webex 应用程序的空间或二者结合将这些消息发送给您。


 

无论配置的传递通道是什么,所有警报始终都会显示在 Control Hub 中。 请参阅 Control Hub 中的警报中心了解更多信息。

1

登录到 Control Hub。

2

转至警报中心

3

选择管理,然后选择所有规则

4

从“规则”列表中,选择要创建的任何 SSO 规则:

  • SSO IDP 证书过期
  • SSO SP 证书过期
5

在传递通道部分,选中电子邮件Webex 空间或者二者结合的对话框。

如果选择电子邮件,则输入接收通知的电子邮件地址。


 

如果选择 Webex 空间选项,会自动将您添加到 Webex 应用程序内的空间中,我们将把通知发送到此处。

6

保存更改。

下一步

从到期前 60 天开始,我们会每隔 15 天发送一次证书到期警报。 (您会在到期前第 60 天、第 45 天、第 30 天和第 15 天收到警报。) 您续订证书后,会立即停止发送警报。

您可能会看到未配置单点注销URL的通知:


 

我们建议您对 IdP 进行配置,以支持单点注销(亦称为“SLO”)。 Webex 支持重定向和 post 方法,在我们从 Control Hub 下载的元数据中提供。 并非所有 IdP 都支持 SLO;请联系 IdP 团队寻求帮助。 有时,对于支持SLO的主要IdP供应商,例如AzureAD、Ping Federate、ForgeRock和Oracle, 会记录集成的配置方式。 有关IDP的详细信息以及如何正确配置IDP,请咨询您的身份和安全团队。

如果未配置单点注销URL:

  • 现有 IdP 会话仍然有效。 用户下次登录时,IdP 可能不会要求他们重新进行身份验证。

  • 注销时我们会显示警告消息,因此 Webex 应用程序注销不会无缝发生。

您可以禁用 Webex 组织(在 Control Hub 中管理)的单点登录 (SSO) 功能。 如果要更改身份提供程序(IdP),可能要禁用SSO。


 

如果您的组织启用了单点登录功能,但失败了,则可以让可以访问您 Webex 组织的 Cisco 合作伙伴为您禁用。

1

https://admin.webex.com 中的客户视图,转至 > 设置,滚动到 点登录,然后单击 SSO和IdP

2

转至身份提供程序选项卡。

3

单击停用SSO

将显示警告您禁用 SSO 的弹出窗口:

停用 SSO

如果您禁用 SSO,则密码将由云而不是您的集成 IdP 配置管理。

4

如果您了解禁用 SSO 的影响,仍要继续操作,请单击停用

SSO已停用,并删除所有SAML证书列表。

如果SSO被禁用,必须进行身份验证的用户将在登录过程中看到密码输入字段。

  • 在Webex应用程序中没有密码的用户必须重设密码,或者您必须向其发送电子邮件以设置密码。

  • 拥有有效 OAuth 令牌、经过身份验证的现有用户将继续拥有 Webex 应用程序访问权限。

  • 在禁用 SSO 时创建的新用户会收到一封电子邮件,要求他们创建密码。

下一步

如果您或客户为客户组织重新配置SSO,用户帐户将返回使用与Webex组织集成的IdP设置的密码策略。

如果您在SSO登录时遇到问题,可以使用 SSO自我恢复选项访问在Control Hub中管理的Webex组织。 “自我恢复”选项允许您在Control Hub中更新或禁用SSO。