- 主页
- /
- 文章
感谢您的反馈。
在此文章中
反馈？使用 Control Hub 中的单点登录 (SSO) 管理功能进行证书管理和一般 SSO 维护活动，例如更新即将到期的证书或检查现有 SSO 配置。本文的各个选项卡中介绍了每个 SSO 管理功能。
如果您要为组织中的多个身份提供商设置 SSO，请参阅 Webex 中具有多个 IdP 的 SSO。
Cisco 安全与信任团队发现 Cisco Webex Services 的单点登录 (SSO) 证书验证流程存在漏洞。因此，SSO 信任锚将于 2026 年 5 月 22 日移除。为确保能不间断地访问 Webex，请在此日期前将新的证书模板上传至 Control Hub。
如果您未能及时上传新证书，用户将无法登录 Webex。在这种情况下，您可以使用 SSO 自助恢复 选项暂时禁用 SSO 并重新获得对 Webex 组织的访问权限。要上传新证书，请参阅本文中的 身份提供商 (IdP) 证书 部分。
续订过期证书
保持您的 SSO 证书处于最新状态，以避免登录中断。 如果 SSO 证书过期，用户可能会失去对 Webex 服务的访问权限。 以下任务将引导您完成 Webex 服务提供商证书和 IdP 证书的续订流程。
续订 Webex 服务提供商 (SP) 证书
当 Webex 单点登录 (SSO) 证书即将到期时，您可能会在 Control Hub 中收到电子邮件、Webex 应用程序消息或通知。 您还可以随时在 Control Hub 中查看 Cisco SP 证书状态，方法是转到，然后选择身份提供商选项卡。
按照本文中的流程检索 SSO 云证书元数据 并将其重新添加到您的 IdP 中；否则，用户可能无法使用 Webex 服务。
如果 Control Hub 将证书使用显示为无，但您仍收到到期提醒，请继续续订。 您的 SSO 部署今天可能不使用该证书，但将来的 SSO 更改可能需要证书。
如果您在 Webex 组织中使用 SAML Cisco (SP) SSO 证书，则必须计划在定期计划的维护窗口期间尽快更新云证书。
所有属于您的 Webex 组织订阅的服务都将受影响，包括但不限于：
-
Webex 应用程序（所有平台的全新登录：桌面、移动和 Web）
-
Webex 服务（在 Control Hub 中），包括呼叫
-
Webex Meetings 站点（通过 Control Hub 管理）
-
Cisco Jabber（如果它与 SSO 集成）
准备工作
请在开始之前阅读所有的说明。在更改证书或通过向导更新证书后，新用户可能无法成功登录。
如果您的身份提供商不支持多个证书（市场上大多数身份提供商都不支持此功能），我们建议您在维护窗口期间安排此升级，以免影响 Webex App 用户。这些升级任务的操作时间和事后验证大约需要 30 分钟。
| 1 |
登录 Control Hub，然后转到。 您可以从此页面启动 SSO 向导来更新证书。 如果您在完成向 导之前退出该向导，则可以随时返回此页面。 |
| 2 |
转到身份提供商选项卡，转到 IdP，然后单击 |
| 3 |
点击 查看证书和到期日期。 这将带您进入 服务提供商（SP）证书 页面。您可以点击 如果您的组织使用双证书，您还可以选择将辅助证书切换为主证书或删除现有的辅助证书。 |
| 4 |
点击 续订证书。 |
| 5 |
选择贵组织使用的身份提供商类型。
如果您的 IdP 支持一个证书，我们建议您等到已安排的停机时间再执行这些步骤。在更新 Webex 证书时，新发起的用户登录操作将暂时失效，现有的登录状态则会保留。 |
| 6 |
选择续订的证书类型：
|
| 7 |
要确认是否要将当前证书替换为所选证书，请勾选 单击“替换证书” 我将用所选证书替换当前证书，然后单击 替换证书。 |
| 8 |
在 续订服务提供商 (SP) 证书 页面中，单击 下载元数据 或 下载证书 从 Webex 云下载更新后的元数据文件或证书副本。 |
| 9 |
导航至 IdP 管理界面以上传新的 Webex 元数据文件。
|
| 10 |
返回控制中心界面。在 “续订服务提供商 (SP) 证书 ”页面上，选中 “我已经更新了所有 IdP 的元数据” ，然后单击 “下一步” 。 |
| 11 |
单击完成。 |
.
下载 SP 元数据或证书。 续订 IdP 证书
当 IdP 证书即将到期时，您可能会在 Control Hub 中收到电子邮件、Webex 应用程序消息或通知。 您还可以随时在 Control Hub 中检查 IdP 证书状态，方法是前往 “”，然后选择 “身份提供商” 选项卡。
由于 IdP 供应商有自己的证书续订流程，因此此任务涵盖了 Control Hub 中所需的步骤，以及检索更新后的 IdP 元数据并将其上传到 Control Hub 的通用指南。
您可以启动 SSO 向导从 “身份提供商” 选项卡更新证书。 如果您在完成向导之前退出该向导，则可以随时返回到同一页面。
| 1 | |
| 2 |
前往 。 |
| 3 |
转到身份提供商选项卡，记下 IdP 证书状态和到期日期。 |
| 4 |
导航至 IdP 管理界面以检索新的元数据文件。 此步骤可以通过浏览器选项卡、远程桌面协议 (RDP) 或通过特定的云提供商支持来完成，具体取决于您的 IdP 设置以及此步骤由您还是单独的 IdP 管理员负责。 如需参考，请参阅我们的 SSO 集成指南或联系您的 IdP 管理员寻求支持。 |
| 5 |
返回到 身份提供商 选项卡。 |
| 6 |
前往 IdP，点击 |
| 7 |
将您的 IdP 元数据文件拖放到窗口中，或者单击 选择文件 并以这种方式上传。 |
| 8 |
选择安全性较低（自签名）或安全性较高（由公用证书认证中心签名），具体取决于 IdP 元数据的签名方式。 |
| 9 |
单击 “测试 SSO 更新” 以确认您的 Control Hub 组织已上传和正确解释了新的元数据文件。 在弹出窗口中确认预期结果。 如果测试成功，请选择 “成功测试：激活 SSO 和 IdP”，然后单击 “保存”。 要直接查看 SSO 登录体验，我们建议您从此屏幕点击 复制 URL 到剪贴板 并将其粘贴到隐私浏览器窗口中。在此处，您可以使用 SSO 登录。这有助于删除在 Web 浏览器中缓存的任何信息，这些信息可能会在测试 SSO 配置时提供误报结果。 上传新证书后，更改可能需要最多 24 小时才能生效。 您的组织的 IdP 证书已续订。 您可以随时在 身份提供程序 选项卡下查看证书状态。 |
并选择 管理 SSO 元数据
当您需要在 Webex 和您的 IdP 之间交换 SSO 元数据时，请使用这些任务。 当您的 IdP 需要最新的 Webex 配置时，请下载 Webex SP 元数据。 当您的 IdP 证书或 IdP 配置发生更改且 Webex 需要更新的元数据时，上传 IdP 元数据。
下载您的 IdP 的 Webex SP 元数据
当您需要重新将最新 Webex SP 元数据添加到 IdP 时，可随时将其导出。当导入的 IdP SAML 元数据即将过期或已经过期时，您将收到通知。
此步骤在常见的 IdP SAML 证书管理场景中非常有用，例如支持之前未完成导出的多个证书的 IdP，如果由于 IdP 管理员不可用而未将元数据导入 IdP，或您的 IdP 只支持更新该证书。此选项只需通过更新 SSO 配置和活动后验证中的证书即可最大限度地减少更改。
| 1 | |
| 2 |
前往 。 |
| 3 |
转到 “身份提供商 ”选项卡。 |
| 4 |
前往 IdP，点击 <org-ID>Webex 应用程序元数据文件名是 idb-meta--SP.xml。 |
| 5 |
将元数据导入您的 IdP。 按照 IdP 文档导入 Webex SP 元数据。您可以使用我们的 IdP 集成指南，或者如果未列出，参考特定 IdP 的文档。 |
| 6 |
完成后，按照续订 Webex 服务提供商 (SP) 证书中的步骤运行 SSO 测试。 |
并选择 将 IdP 元数据上传到 Webex
当 IdP 环境发生变化或 IdP 证书即将过期时，您随时可以将更新后的元数据导入 Webex。
准备工作
从 IdP 管理界面导出最新的 IdP 元数据，通常作为 XML 文件 。
| 1 | |
| 2 |
前往 。 |
| 3 |
单击 “身份提供商” 选项卡。 |
| 4 |
转到你的 IdP，点击 |
| 5 |
将 IdP 元数据文件拖放到该窗口或单击选择元数据文件，并按该方式上传。 |
| 6 |
选择安全性较低（自签名）或安全性较高（由公用证书认证中心签名），具体取决于 IdP 元数据的签名方式。 |
| 7 |
点击 测试 SSO 设置，当打开一个新的浏览器标签页时，通过登录向 IdP 进行身份验证。 |
管理单点登录警报
设置 SSO 警报规则，以便管理员知道 IdP 或 SP 证书何时接近到 期日期。 证书到期警报可帮助您在 用户受到影响之前续订证书。
仅当您的组织使用 SP 证书时，Control Hub 才会发送 SP 证书到期通知。 如果 SP 证书使用情况显示为 “无”，则 Control Hub 不会 发送该证书的到期通知。
您可以通过电子邮件向 Webex 空间发送警报，或两者都发送警报。 警报始终显示在 Control Hub 中。
有关警报的更多信息，请参阅 Control Hub 中的通知。
准备工作
确保为组织配置了 SSO。
| 1 | |
| 2 |
前往 通知。 |
| 3 |
选择 “。 |
| 4 |
从 “规则” 列表中选择以下 SSO 警报规则之一：
|
| 5 |
在交付渠道部分中，选择电子邮件、 Webex 空间或两者。 如果选择电子邮件，则输入接收通知的电子邮件地址。 如果您选择 Webex 空间选项，Control Hub 会将您添加到 Webex 空间并在那里发送通知。 |
| 6 |
单击保存。 |
下一步
证书到期提醒每 15 天发送一次，从 到期前 60 天开始。 您预计会在第 60、45、30 和第 15 天收到警报。 当您续订证书时，警报 会停止。
了解单点注销
单点注销 (SLO) 允许用户通过相同的 SSO 注销流程注销其 Webex 会话和 IdP 会话。 SLO 需要您的 IdP 的支持和配置的单一注销 URL。
您可能会看到一条通知，指出未配置单一注销 URL。
我们建议您将您的 IdP 配置为支持单点注销 (SLO)。 Webex 支持重定向和 POST 方法，这些方法可在您从 Control Hub 下载的元数据中找到。
并非所有 IdP 都支持 SLO。 请联系您的 IdP 团队寻求帮助。 对于支持 SLO 的主要 IdP 供应商，例如 Azure AD、PingFederate、ForgeRock 和 Oracle，请参阅 SSO 集成指南。 请向您的身份和安全团队咨询您的 IdP 的细节以及如何正确配置它。
如果未配置单一注销 URL：
-
现有的 IdP 会话仍然有效。 用户下次登录时，IdP 可能不会要求他们重新进行身份验证。
-
用户注销 Webex 时会显示一条警告消息。
禁用单点登录
当您需要停止使用当前 IdP 配置时，例如将组织移至其他 IdP 时，您可以在 Control Hub 中禁用 Webex 组织的单点登录 (SSO)。 禁用 SSO 会将身份验证返回到 Webex 云管理的密码，并删除该组织的 SAML 证书清单。
如果启用了 SSO 但用户无法登录，请联系您的思科合作伙伴。 合作伙伴可以访问您的 Webex 组织并为您禁用 SSO。
| 1 | |
| 2 |
前往 。 |
| 3 |
转到身份提供商选项卡，然后单击停用 SSO。 |
| 4 |
在确认对话框中单击 “停用” 以禁用 SSO。 单点登录已停用，所有 SAML 证书列表均已删除。 禁用 SSO 后，必须进行身份验证的用户将在登录过程中看到一个密码输入 字段。
|
下一步
要使用相同的 IdP 或不同的 IdP 重新启用 SSO，请再次完成设置流程。 重新配置 SSO 后，用户身份验证将 遵循与 Webex 组织集成的 IdP 的密码策略。
SSO 自我恢复
如果您在使用 SSO 登录时遇到问题，可以使用 SSO 自助恢复选项 来访问您在 Control Hub 中管理的 Webex 组织。自助恢复选项允许您在控制中心更新或禁用 SSO。
