如果貴組織的憑證使用方式設定為「無」,但您仍然收到警示,我們建議您繼續升級。 您的 SSO 部署目前未使用憑證,但可能需要憑證才能進行未來的變更。


 

有時,您可能會收到電子郵件通知或在 Control Hub 中看到警示,指出 Webex 單一登入 (SSO) 憑證即將到期。 請遵循本文中的程序以向我們 (SP) 擷取 SSO 雲端憑證中繼資料,然後將其新增回您的 IdP;否則使用者將無法使用 Webex 服務。

如果您在 Webex 組織中使用 SAML Cisco (SP) SSO 憑證,必須計劃儘快於定期排定的維護時段期間更新您的雲端憑證。

屬於 Webex 組織訂閱的所有服務都會受到影響,包括但不限於:

  • Webex 應用程式(所有平台的新登入: 桌上型電腦、行動裝置及 Web)

  • Webex 服務(位於 Control Hub 中),包括呼叫

  • Webex Meetings 網站(透過 Control Hub 管理)

  • Cisco Jabber(如果已與 SSO 整合)

準備工作


 

請在開始之前閱讀所有指示。 在您變更憑證或執行精靈以更新憑證後,新使用者可能無法成功登入。

如果您的 IdP 不支援多個憑證(市場中的大多數 IdP 都不支援此功能),我們還建議您在 Webex 應用程式使用者不受影響的維護時段內排定此升級。 這些升級任務在作業時間和活動後驗證應該大約需要 30 分鐘。

1

若要檢查 SAML Cisco (SP) SSO 憑證是否即將過期:

  • 您可能已收到我們寄出的電子郵件或 Webex 應用程式訊息,但您應簽入 Control Hub 以進行確定。
  • 登入 https://admin.webex.com,並查看您的警示中心。 可能有關於更新 SSO 服務提供者憑證的通知。

  • 登入 https://admin.webex.com,前往 管理 > 組織設定 > 驗證,然後注意 Cisco SAML 憑證表格中的憑證狀態(已過期或即將過期)。 按一下續訂憑證以繼續。

您也可以直接進入 SSO 精靈以更新憑證。 如果您決定在精靈完成之前退出,您可隨時從 管理 > 組織設定 > 驗證(在 https://admin.webex.com 中)再次存取精靈。

2

選擇續訂的憑證類型:

  • 由 Cisco 自我簽署 — 我們建議選擇此選項。 讓我們簽署憑證,這樣您只需要每隔五年續訂一次。
  • 由公用憑證授權單位簽署 — 較安全,但您需要經常更新中繼資料(除非 IdP 廠商支援信賴起點)。

     

    信賴起點是公開金鑰,用作驗證數位簽章憑證的授權單位。 如需更多資訊,請參閱您的 IdP 文件。

3

按一下下載中繼資料檔案,以從 Webex 雲端下載具有新憑證的已更新中繼資料副本。 保持此螢幕開啟。

4

導覽至您的 IdP 管理介面,以上傳新的 Webex 中繼資料檔案。

5

回到您登入 Control Hub 的標籤,然後按下一步。

6

按一下測試 SSO 更新以確認新的中繼資料檔案已上傳並由您的 IdP 正確解譯。 確認在快顯視窗中出現預期的結果,如果測試成功,請按一下切換到新的中繼資料


 

若要直接查看 SSO 登入體驗,您還可以從此螢幕按一下將 URL 複製到剪貼簿,並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 這有助於移除 Web 瀏覽器中快取的任何資訊,當您測驗 SSO 設定時,這些資訊可能導致提供誤判結果。

結果: 您已完成,貴組織的 SAML Cisco (SP) SSO 憑證現已續訂。 您隨時都可以檢查憑證狀態,方法是開啟 管理 > 組織設定 > 驗證下的 SAML 憑證狀態表格。


 

有時,您可能會收到電子郵件通知或在 Control Hub 中看到警示,指出 IdP 憑證即將到期。 因為 IdP 廠商具有其自己的特定續訂憑證文件,我們會涵蓋 Control Hub 中所需的內容,以及用於擷取更新的 IdP 中繼資料,並將其上傳至 Control Hub 以續訂憑證的通用步驟。

1

若要檢查 IdP SAML 憑證是否即將過期:

  • 您可能已收到我們寄出的電子郵件或 Webex 應用程式訊息,但您應簽入 Control Hub 以進行確定。
  • 登入 https://admin.webex.com,並查看您的警示中心。 可能有關於更新 IdP SAML 憑證的通知:

  • 登入 https://admin.webex.com,前往 管理 > 組織設定 > 驗證,然後注意 SAML 憑證表格中的憑證狀態(已過期或即將過期)。 按一下續訂憑證以繼續。
  • 您也可以直接進入 SSO 精靈以更新憑證。 如果您決定在精靈完成之前退出,您可隨時從 管理 > 組織設定 > 驗證(在 https://admin.webex.com 中)再次存取精靈。

2

導覽至您的 IdP 管理介面,以擷取新的中繼資料檔案。

  • 可透過瀏覽器標籤、遠端桌面通訊協定 (RDP),或透過特定的雲端提供者支援來完成此步驟,取決於您的 IdP 設定,以及是否由您或單獨的 IdP 管理員負責此步驟。
  • 如需參考,請參閱我們的 SSO 整合指南,或聯絡您的 IdP 管理員以獲得支援。
3

回到 管理 > 組織設定 > 驗證(在 https://admin.webex.com 中),然後選擇 動作 > 匯入中繼資料

4

將 IdP 中繼資料檔案拖放到視窗中,或按一下選擇中繼資料檔案,然後以該方式上傳。

5

根據您 IdP 中繼資料的簽署方式,選擇較不安全(自我簽署)或較安全(由公用 CA 簽署)。

6

按一下測試 SSO 更新以確認新的中繼資料檔案已上傳,並為您的 Control Hub 組織正確翻譯。 確認在快顯視窗中出現預期的結果,如果測試成功,請按一下切換到新的中繼資料


 

若要直接查看 SSO 登入體驗,您還可以從此螢幕按一下將 URL 複製到剪貼簿,並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 這有助於移除 Web 瀏覽器中快取的任何資訊,當您測驗 SSO 設定時,這些資訊可能導致提供誤判結果。

結果: 您已完成,貴組織的 IdP 憑證現已續訂。 您隨時都可以檢查憑證狀態,方法是開啟 管理 > 組織設定 > 驗證下的 SAML 憑證狀態表格。

每當您需要將最新的 Webex SP 中繼資料新增回 IdP 時,可以將其匯出。 當所匯入的 IdP SAML 中繼資料即將過期或已過期時,您將看到一則通知。

此步驟在一般 IdP SAML 憑證管理情境中很有用,例如支援多個先前未完成匯出憑證的 IdP、中繼資料因 IdP 管理員無法使用而未匯入至 IdP,或者您的 IdP 支援僅更新憑證的功能。 此選項可以協助最大限度減少變更,只需更新您 SSO 設定和事件後驗證中的憑證。

1

https://admin.webex.com 中的客戶檢視中,前往 管理 > 組織設定,捲動至驗證,然後選擇 動作 > 匯出中繼資料

Webex 應用程式中繼資料檔名為 idb-meta--SP.xml。<org-ID>

2

將中繼資料匯入您的 IdP。

遵循 IdP 的文件以匯入 Webex SP 中繼資料。 您可以使用我們的 IdP 整合指南,或(若未列出)查閱特定 IdP 的文件。

3

當您完成時,請使用本文中「續訂 Webex 憑證 (Sp)」的步驟來執行 SSO 測試。

當 IdP 環境變更或 IdP 憑證即將過期時,您隨時都可以將更新的中繼資料匯入 Webex。

準備工作

收集 IdP 中繼資料,通常是匯出的 xml 檔案。

1

https://admin.webex.com 中的客戶檢視中,前往 管理 > 組織設定,捲動至驗證,然後選擇 動作 > 匯入中繼資料

2

將 IdP 中繼資料檔案拖放到視窗中,或按一下選擇中繼資料檔案,然後以該方式上傳。

3

根據您 IdP 中繼資料的簽署方式,選擇較不安全(自我簽署)或較安全(由公用 CA 簽署)。

在憑證設定到期之前,您將在 Control Hub 中收到警示,但您也可以主動設定警示規則。 這些規則會提前告知您 SP 或 IdP 憑證即將過期。 我們可以透過電子郵件、Webex 應用程式中的空間(或兩者)將其傳送給您。


 

無論設定哪種傳遞通道,所有警示一律會出現在 Control Hub 中。 如需相關資訊,請參閱 Control Hub 中的警示中心

1

https://admin.webex.com 的客戶檢視中,前往警示中心

2

選擇管理,然後選擇所有規則

3

從規則清單中,選擇您想要建立的任何 SSO 規則:

  • SSO IdP 憑證過期
  • SSO SP 憑證過期
4

在傳遞通道區段中,勾選電子郵件方塊、Webex 空間方塊或兩個方塊。

如果您選擇電子郵件,請輸入應接收通知的電子郵件地址。


 

如果您選擇 Webex 空間選項,系統將自動將您新增至 Webex 應用程式內部的空間,且我們會在那裡傳送通知。

5

儲存變更。

下一步

從過期前 60 天開始,我們每隔 15 天會傳送一次憑證到期警示。 (您可以預期在第 60、45、30 和 15 天收到警示。) 續訂憑證時,警示隨即停止。

您可能會看到通知,指出未設定單一登出 URL:


 

我們建議您將 IdP 設定成支援單一登出(也稱為 SLO)。 Webex 支援重新導向和 post 方法,可從 Control Hub 下載的中繼資料中提供。 並非所有 IdP 都支援 SLO;請聯絡您的 IdP 團隊以尋求協助。 在某些情況下,對於支援 SLO 的主要 IdP 供應商(例如 AzureAD、Ping Federate、ForgeRock 和 Oracle),我們記載了設定整合的方法。 請向您的身分識別與安全性團隊諮詢關於 IDP 的特定內容及正確設定的方法。

若未設定單一登出 URL:

  • 現有的 IdP 階段作業會維持有效。 使用者在下次登入時,可能不會被 IdP 要求重新驗證。

  • 我們在登出時會顯示警告訊息,因此無法順暢登出 Webex 應用程式。

您可以停用 Webex 組織(在 Control Hub 中管理)的單一登入 (SSO)。 您可能想要停用您要變更身分識別提供者 (IdP) 的 SSO。


 

如果已啟用貴組織的單一登入但是失敗,您可以讓可存取 Webex 組織的 Cisco 合作夥伴來為您將其停用。

1

https://admin.webex.com 的客戶檢視中,移至 管理 > 組織設定,然後捲動至驗證

2

若要關閉 SSO,請關閉單一登入設定。

會出現一個快顯視窗顯示關於停用 SSO 的警告:

如果您停用 SSO,則密碼由雲端管理,而不是由您的整合 IdP 設定管理。

3

如果您瞭解停用 SSO 造成的影響且想要繼續,請按一下停用

在 Control Hub 中,您將看到 SSO 設定已關閉,且會移除所有 SAML 憑證清單。

如果停用 SSO,則必須驗證的使用者將在登入過程中看到密碼輸入欄位。

  • 在 Webex 應用程式中沒有密碼的使用者必須重設其密碼,或是您必須傳送電子郵件給他們才能設定密碼。

  • 具有有效 OAuth 權杖的現有已驗證使用者將繼續具有 Webex 應用程式的存取權。

  • 在停用 SSO 時建立的新使用者會收到電子郵件,要求他們建立密碼。

下一步

如果您或客戶為客戶組織重新設定 SSO,則使用者帳戶將重新使用與 Webex 組織整合之 IdP 設定的密碼策略。

如果您在SSO登入時遇到問題,可以使用SSO自我恢復選項以存取在 Control Hub 中管理的Webex組織。 自我複原選項可讓您在 Control Hub 中更新或停用SSO 。