从https://admin.webex.com中的客户视图，转至管理 > 组织设置，然后滚动至身份验证，然后打开单点登录设置以启动设置向导。

选择组织的证书类型：

• 由 Cisco 自签名 — 我们推荐此选择。 我们在证书上签名，您只需每五年续订一次。
• 由公共认证中心签名 — 安全性更高，但需要经常更新元数据（除非 IdP 供应商支持信任锚）。

信任锚是充当验证数字签名证书的认证中心的公共密钥。 有关更多信息，请参阅 IdP 文档。

下载元数据文件。

转至 /opt/shibboleth-idp/conf 目录以访问这些示例文件。

决定要使用的授权方法，例如“将 LDAP 绑定到 Active Directory”。

按如下所示编辑 handler.xml 文件：

    <!--  Username/password login handler -->
    <ph:LoginHandler xsi:type="ph:UsernamePassword"
                  jaasConfigurationLocation="file:///opt/shibboleth-idp/conf/login.config">  
  <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
</ph:AuthenticationMethod>
    </ph:LoginHandler>

<ph:LoginHandler xsi:type="ph:RemoteUser"> 
<ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</ph:AuthenticationMethod>
    </ph:LoginHandler>

填写 Active Directory 的详细信息以允许验证。 将该配置信息添加到 login.config 文件。

ShibUserPassAuth {
   edu.vt.middleware.ldap.jaas.LdapLoginModule required
      ldapUrl="ldap://ad0a.cisco.net:389"
      ssl="false"
      tls="false"
      baseDn="cn=Users,dc=cisco,dc=net"
      subtreeSearch="true"
      userFilter="sAMAccountName={0}"
      bindDn="cn=Administrator,cn=Users,dc=cisco,dc=net"
      bindCredential="ThePassword";
};

将从 Webex SP 下载的文件添加到 /opt/shibboleth-idp/metadata 目录。

编辑 relying-party.xml 文件；在 DefaultRelyingParty 标记后面，添加 Webex 的 SAML 断言的详细信息。

 <rp:RelyingParty id="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-
22de53230d1e"
              provider="https://shib9a.cisco.net/idp/shibboleth"
              defaultSigningCredentialRef="IdPCredential">
            <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
                includeAttributeStatement="true"
                assertionLifetime="PT5M" assertionProxyCount="0"
                signResponses="never" signAssertions="always"
                encryptAssertions="conditional" encryptNameIds="never"
                includeConditionsNotBefore="true"/>
        </rp:RelyingParty>

在 metadata:MetadataProvider 标记内部，添加文件的位置：

 <metadata:MetadataProvider id="ShibbolethMetadata" xsi:type="metadata:Chaini
ngMetadataProvider">
        <metadata:MetadataProvider id="IdPMD" xsi:type="metadata:FilesystemMetad
ataProvider" metadataFile="/opt/shibboleth-idp/metadata/idp-metadata.xml" maxRefreshDelay="P1D" />
    <!--     Cisco UCXN Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="ucxn9a" metadataFile="/opt/shibboleth-idp/metad
ata/ucxn9a-single-agreement.xml" />
    <!--     Cisco CUCM Configuration               -->
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="cucm9a" metadataFile="/opt/shibboleth-idp/metad
ata/cucm9a.cisco.net-single-agreement.xml" />
    <!--     Cisco CI Configuration               
   <metadata:MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:m
ace:shibboleth:2.0:metadata" id="CI" metadataFile="/opt/shibboleth-idp/metadata/
idb-meta-ea7c1420-711d-4916-95f8-22de53230d1e-SP.xml" />
    </metadata:MetadataProvider>

在 Data Connector 节中，指定从中检索用户属性的位置。

id 为 MyLDAP 的 Active Directory。

<resolver:DataConnector id="MyLDAP" xsi:type="dc:LDAPDirectory"
      ldapURL="ldap://ad0a.cisco.net:389"
      baseDN="cn=Users,dc=cisco,dc=net"
      principal="Administrator@cisco.net"
      principalCredential="ThePassword">
        <dc:FilterTemplate>
            <![CDATA[
                (sAMAccountName=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
    </resolver:DataConnector>

在 Attribute Definition 节中，保留 transientID 配置的现有值。

添加 SP 预期的额外属性，并定义它将映射到属性源中的哪个属性。

<resolver:AttributeDefinition id="mail-attr" xsi:type="ad:Simple" 
sourceAttributeID="mail">
        <resolver:Dependency ref="MyLDAP" />
        <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="uid" />
     </resolver:AttributeDefinition>

在 attribute-filter.xml 文件中定义提供给每个 SP 协议的属性。

使用 Webex 将属性 uid 发放给 SP 协议。

<!--  Release the attributes to cisco CI Cloud  -->
    <afp:AttributeFilterPolicy id="ReleaseToCI">
        <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" 
value="https://idbroker.webex.com/ea7c1420-711d-4916-95f8-22de53230d1e" />
        <afp:AttributeRule attributeID="transientId">
            <afp:PermitValueRule xsi:type="basic:ANY"/>
        </afp:AttributeRule>
        <afp:AttributeRule attributeID="mail-attr">
            <afp:PermitValueRule xsi:type="basic:ANY" />
        </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

您在 attribute-resolver.xml 中创建的规则应包含一个策略，用于将 mail-attr 属性发布到与 Webex 匹配的 EntityID。

从 Shibboleth 服务器的 /opt/shibboleth-idp/metadata 中下载元数据文件。 该文件名为 idp-metadata.xml。

选择一种：

• 返回 Control Hub — 浏览器的证书选择页面，然后单击下一步。
• 如果在浏览器选项卡中不再打开 Control Hub，从中的客户视图转至管理 > 组织设置，滚动至身份验证，然后选择操作 > 导入元数据。https://admin.webex.com

在“导入 IdP 元数据”页面中，将 IdP 元数据文件拖放到该页面，或使用文件浏览器选项来找到和上传该元数据文件。 单击下一步。

如果可以，请使用安全性较高选项。 只有当您的 IdP 使用公共 CA 签署元数据时，这才有可能。

在所有其他情况下，则必须使用安全性较低选项。 这包括元数据未签名、自签名或由私有 CA 签名。

Okta 不会签署元数据，因此您必须为 Okta SSO 集成选择安全级别较低。

选择测试 SSO 设置，当新的浏览器选项卡打开时，登录并使用 IdP 进行身份验证。

如果您收到验证错误，可能是凭证有问题。 请检查用户名和密码并重试。 Webex 应用程序错误往往意味着 SSO 设置有问题。 在此情况下，请再检查一遍操作步骤，特别是将 Control Hub 元数据复制粘贴到 IdP 设置中的步骤。

若要直接查看 SSO 登录体验，您还可以从此屏幕单击将 URL 复制到剪贴板，并将其粘贴到私密浏览器窗口中。 在此处，您可以使用 SSO 登录。 由于您登录的现有会话中可能存在的访问令牌，此步骤会阻止误报结果。

返回到 Control Hub 浏览器标签页。

• 成功完成测试后，选择测试成功。 打开 SSO，然后单击下一步。
• 如果未成功完成测试，选择测试未成功。 关闭 SSO 并单击下一步。

除非您选择第一个单选按钮并激活 SSO，否则 SSO 配置在组织中不起作用。