Control Hub 的 SAML 自动创建和更新帐户

在 Control Hub 中修改单点登录验证

准备工作

确保满足以下前提条件：

SSO 已配置。有关使用 SSO 配置向导的信息，请参阅此处的“SSO 设置”部分： https://help.webex.com/article/lfu88u/。
域已经过验证。
域已被申领并开启。此功能可确保您域中的用户在每次通过 IDP 进行身份验证时都可以创建并更新一次。
如果 DirSync 或 AzureAD 已启用，则 SAML JIT create 或 update 将不起作用。
“阻止用户配置文件更新”已启用。允许使用 SAML 更新映射，因为此配置控制用户编辑属性的能力。仍支持管理员控制的创建和更新方法。

新创建的用户不会自动获得分配的许可证，除非组织拥有自动许可证模板已设置。

组的SAML JIT预配置的用户预配置仅限于一个组。

配置即时(JIT)和SAML映射

从中的客户视图https://admin.webex.com，转至管理层>组织设置，滚动到验证并单击管理 SSO 和 IdP 。

转至身份提供程序标签页。

转至IdP并单击。

选择编辑 SAML 映射。

配置即时(JIT)设置。

创建或激活用户：如果找不到活动用户，Webex Identity 将创建用户并在用户通过 IDP 验证后更新属性。
使用 SAML 属性更新用户：如果找到具有电子邮件地址的用户，Webex 标识将使用 SAML 断言中映射的属性更新用户。

确认用户可以使用其他无法识别的电子邮件地址登录。

配置 <UNK> L映射所需属性。

表 1. 必需属性
Webex 身份属性名称	SAML 属性名称	属性说明
用户名/主电子邮件地址	例如： uid	将 UID 属性映射到预配置的用户的电子邮件、upn 或 edupersonprincipalname。

配置链接属性。

这对用户应该是唯一的。它用于查找用户，以便 Webex 可以更新所有档案属性，包括用户的电子邮件属性。

表 2. 链接属性
Webex 身份属性名称	SAML 属性名称	属性说明
externalId	例如：用户.objectid	为了将该用户与其他各个档案区分开。在目录之间映射或更改其他档案属性时，这是必要的。
员工人数	例如：用户.employeeid	用户的员工号码或其 HR 系统中的标识号码。请注意，这不适用于 `externalid` ，因为您可以重复使用或回收 `employeenumber` 为其他用户。
分机属性 1	例如： user.extensionattribute1	将这些自定义属性映射到Active Directory、Azure 或您的目录中的扩展属性，以获取跟踪代码。
分机属性 2	例如： user.extensionattribute2
分机属性 3	例如： user.extensionattribute3
分机属性 4	例如： user.extensionlattribute4
分机属性 5	例如： user.extensionattribute5

配置文件属性。

表 3. 配置文件属性
Webex 身份属性名称	SAML 属性名称	属性说明
externalId	例如：用户.objectid	为了将该用户与其他各个档案区分开。在目录之间映射或更改其他档案属性时，这是必要的。
员工人数	例如：用户.employeeid	该用户的员工号码或其 HR 系统中的标识号。请注意，这不适用于“externalid”，因为您可以为其他用户重复使用或回收“employeenumber”。
preferredLanguage	例如：用户首选语言	用户的首选语言。
locale	例如：用户区域设置	用户的主要工作地点
timezone	例如：用户时区	用户的主要时区。
displayName	例如：用户.显示名	用户在 Webex 中的显示名称。
name.givenName	例如：用户名	用户的名。
name.familyName	例如：用户姓氏	用户的姓。
地址.streetAddress	例如：用户街道地址	其主要工作地点的街道地址。
地址.state	例如：用户状态	其主要工作地点的状态。
地址.region	例如：用户区域	其主要工作地点的区域。
地址.邮编	例如：用户.邮编	其主要工作地点的邮政编码。
地址.country	例如：用户.country	其主要工作地点的国家或地区。
phoneNumbers.work	例如：工作电话号码	其主要工作地点的工作电话号码。请仅使用国际 E.164 格式（最多 15 位）。
phoneNumbers.extension	例如：移动电话号码	其主要工作电话号码的工作分机号。请仅使用国际 E.164 格式（最多 15 位）。
代词	例如：用户代词	用户的代词。这是可选属性，用户或管理员可以将其显示在其档案中。
标题	例如：用户.jobtitle	用户的职位。
部门	例如：用户.部门	用户的工作部门或团队。
代词	例如：用户代词	这是用户的代词。此属性的可见性由管理员和用户控制
Manager	例如： Manager	用户的经理或其团队负责人。
成本中心	例如：成本中心	这是用户的姓氏，也称为 surname 或 familyname
email.alternate1	例如：用户.邮件昵称	用户的备用电子邮件地址。如果您希望用户能够使用它进行登录，请将其映射到 uid。
email.alternate2	例如： user.primaryauthoritativemail	用户的备用电子邮件地址。如果您希望用户能够使用它进行登录，请将其映射到 uid。
email.alternate3	例如： user.alternativeauthoritativemail	用户的备用电子邮件地址。如果您希望用户能够使用它进行登录，请将其映射到 uid。
email.alternate4	例如：用户.othermail	用户的备用电子邮件地址。如果您希望用户能够使用它进行登录，请将其映射到 uid。
email.alternate5	例如：用户.othermail	用户的备用电子邮件地址。如果您希望用户能够使用它进行登录，请将其映射到 uid。

配置机属性。

将这些属性映射到Active Directory、Azure 或您的目录中的扩展属性，以获取跟踪代码。

表 4. 分机属性
Webex 身份属性名称	SAML 属性名称
分机属性 1	例如： user.extensionattribute1
分机属性 2	例如： user.extensionattribute2
分机属性 3	例如： user.extensionattribute3
分机属性 4	例如： user.extensionattribute4
分机属性 5	例如： user.extensionattribute5
分机属性 6	例如： user.extensionattribute6
分机属性 7	例如： user.extensionattribute7
分机属性 8	例如： user.extensionattribute8
分机属性 9	例如： user.extensionattribute9
分机属性 10	例如： user.extensionattribute10

配置属性。

在Control Hub中创建组并记下Webex组标识。
转至用户目录或IdP并为将分配到Webex组标识的用户设置属性。
更新您的IdP配置以包含带有此属性名称的声明以及Webex组标识（例如c65f7d85-b691-42b8-a20b-12345xxxx）。您还可以使用外部ID管理组名称的更改或用于未来的集成场景。例如，与Azure AD同步或实施SCIM组同步。
使用组ID指定将在SAML断言中发送的属性的确切名称。这用于将用户添加到组。
如果在SAML断言中使用目录中的组发送成员，指定组对象外部ID的确切名称。

如果用户A与 groupID 1234和用户B groupID 4567，它们被分配到不同的组。此场景表示单个属性允许用户与多个组ID关联。虽然这种情况不常见，但它是可能的，并且可以被视为一种额外的更改。例如，如果用户A最初使用 groupID 1234年，他们成为相应团体的一员。如果用户A稍后登录使用 groupID 4567，它们也被添加到第二组。

SAML JIT设置不支持从组中删除用户或删除任何用户。

表 5. 组属性
Webex 身份属性名称	SAML 属性名称	属性说明
组Id	例如：组Id	将组属性从 IdP 映射到 Webex 身份组属性，以用于将该用户映射到组进行许可或设置服务。
组外部Id	例如：组外部Id	将组属性从 IdP 映射到 Webex 身份组属性，以用于将该用户映射到组进行许可或设置服务。

有关Webex Meetings的 SAML 断言属性列表，请参阅https://help.webex.com/article/WBX67566。