单点登录和 Control Hub

从https://admin.webex.com中的客户视图，转至管理 > 组织设置，然后滚动至身份验证，然后打开单点登录设置以启动设置向导。

选择组织的证书类型：

• 由 Cisco 自签名 — 我们推荐此选择。 我们在证书上签名，您只需每五年续订一次。
• 由公共认证中心签名 — 安全性更高，但需要经常更新元数据（除非 IdP 供应商支持信任锚）。

信任锚是充当验证数字签名证书的认证中心的公共密钥。 有关更多信息，请参阅 IdP 文档。

下载元数据文件。

使用具有管理员权限的凭证登录 ADFS 服务器。

打开 ADFS 管理控制台，浏览至信任关系 > 信赖方信任 > 添加信赖方信任。

从“添加依赖方信任向导”窗口中选择“开始”。

在选择数据源步骤中，选择通过文件导入信赖方数据，然后浏览至您下载的 Control Hub 元数据文件，选择下一步。

在指定显示名称步骤中，为该信赖方信任创建显示名称，例如 Webex，然后选择下一步。

在选择颁发授权规则步骤中，选择允许所有用户访问该依赖方，然后选择下一步。

在可以添加信任步骤中，选择下一步，完成向 ADFS 添加信赖方信任的操作。

在 ADFS 主面板中，选择您创建的信任关系，然后选择编辑声明规则。 从“颁发转换规则”标签页中，选择“添加规则”。

在“选择规则类型”步骤中，选择“以声明形式发送 LDAP 属性”，然后选择“下一步”。

1. 输入“声明规则名称”。

2. 选择 Active Directory 作为“属性存储库”。

3. 将 LDAP 属性“电子邮件地址”映射到“uid”出站声明类型。

   此规则告诉 ADFS 将哪些字段映射到 Webex 以识别用户。 出站声明类型的拼写要与显示的完全相同。

4. 保存更改。

再次选择添加规则，选择使用自定义规则发送声明，然后选择下一步。

1. 打开您的文本编辑器，复制下列内容。

   c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "URL1", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "URL2");

   按如下所示替换这段文本中的 URL1 和 URL2：

   • URL1 是您下载的 ADFS 元数据文件中的 entityID。

     例如，以下就是您看到的内容示例： <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://ad0a.identitylab20.ciscolabs.com/adfs/services/trust" ID="_55515dde-8147-4183-8a85-b704d26b5dba">

     仅复制 ADFS 元数据文件中的 entityID，将它粘贴到文本文件中以替换 URL1

   • URL2 出现在您下载的 Webex 元数据文件的第一行。

     例如，以下就是您看到的内容示例： <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/35a15b0a-0eg1-4029-9f63-a8c54df5df59">

     仅复制 Webex 元数据文件中的 entityID，将其粘贴到文本文件中以替换 URL2。

2. 完成 URL 的更新后，从文本编辑器中复制该规则（从“c:”处开始），然后将它粘贴到 ADFS 服务器上的自定义规则框中。

   完整的规则应类似以下示例：

   

3. 选择“完成”以创建该规则，然后退出“编辑声明规则”窗口。

选择主窗口中的“依赖方信任”，然后选择右侧面板中的“属性”。

当“属性”窗口显示时，浏览至高级标签页，选择 SHA-256，然后选择确定保存更改。

在内部 ADFS 服务器上浏览至以下 URL 来下载文件： https://<AD_FS_Server>/FederationMetadata/2007-06/FederationMetadata.xml

您可能需要右键单击该页面并查看页面源代码，才能得到正确格式的 XML 文件。

在本地计算机上保存文件。

选择一种：

• 返回 Control Hub — 浏览器的证书选择页面，然后单击下一步。
• 如果在浏览器选项卡中不再打开 Control Hub，从https://admin.webex.com中的客户视图转至管理 > 组织设置，滚动至身份验证，然后选择操作 > 导入元数据。

在“导入 IdP 元数据”页面中，将 IdP 元数据文件拖放到该页面，或使用文件浏览器选项来找到和上传该元数据文件。 单击下一步。

选择测试 SSO 设置，当新的浏览器选项卡打开时，登录并使用 IdP 进行身份验证。

如果您收到验证错误，可能是凭证有问题。 请检查用户名和密码并重试。 Webex 应用程序错误往往意味着 SSO 设置有问题。 在此情况下，请再检查一遍操作步骤，特别是将 Control Hub 元数据复制粘贴到 IdP 设置中的步骤。

若要直接查看 SSO 登录体验，您还可以从此屏幕单击将 URL 复制到剪贴板，并将其粘贴到私密浏览器窗口中。 在此处，您可以使用 SSO 登录。 由于您登录的现有会话中可能存在的访问令牌，此步骤会阻止误报结果。

返回到 Control Hub 浏览器标签页。

• 成功完成测试后，选择测试成功。 打开 SSO，然后单击下一步。
• 如果未成功完成测试，选择测试未成功。 关闭 SSO 并单击下一步。

除非您选择第一个单选按钮并激活 SSO，否则 SSO 配置在组织中不起作用。

使用具有管理员权限的凭证登录 AD FS 服务器。

将 SAML 元数据文件从 Webex 上传到 AD FS 服务器上的临时本地文件夹中，例如 //ADFS_servername/temp/idb-meta-<org-ID>-SP.xml 。

打开 Powershell。

运行 Get-AdfsRelyingPartyTrust 来读取所有信赖方信任。

运行 Update-AdfsRelyingPartyTrust -MetadataFile "//ADFS_servername/temp/idb-meta-<org-ID>-SP.xml" -TargetName "Cisco Webex" 。

确保用环境中正确的值替换文件名和目标名称。

请参阅 https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust。

如果您下载了 Webex SP 5 年期证书，并打开了签名或加密证书吊销功能，则需要运行这两个命令： Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None 。

登录 Control Hub，然后测试 SSO 集成：

1. 转至管理 > 组织设置，然后滚动至身份验证，然后打开单点登录设置，以启动设置向导。

2. 单击下一步跳过导入 IdP 元数据页。

   您之前已导入 IdP 元数据，因此无需重复该步骤。

3. 请在启用之前对 SSO 连接进行测试。 此步骤就像试运行，在下一步启用 SSO 之前不会影响您的组织设置。

   若要直接查看 SSO 登录体验，您还可以从此屏幕单击将 URL 复制到剪贴板，并将其粘贴到私密浏览器窗口中。 在此处，您可以使用 SSO 登录。 这有助于删除在 Web 浏览器中缓存的任何信息，这些信息可能会在测试 SSO 配置时提供误报结果。

4. 登录完成测试。