單一登入與 Control Hub

從 https://admin.webex.com 的客戶檢視中，前往管理 > 組織設定，然後捲動至驗證，然後開啟單一登入設定以啟動設定精靈。

選擇貴組織的憑證類型：

• 由 Cisco 自我簽署 — 我們建議選擇此選項。 讓我們簽署憑證，這樣您只需要每隔五年續訂一次。
• 由公用憑證授權單位簽署 — 較安全，但您需要經常更新中繼資料（除非 IdP 廠商支援信賴起點）。

信賴起點是公開金鑰，用作驗證數位簽章憑證的授權單位。 如需更多資訊，請參閱您的 IdP 文件。

下載中繼資料檔案。

從您的 BIG-IP F5 管理介面中，轉至存取原則 > SAML > BIG-IP 即 IdP。

從外部 SP 連接器中，選取建立 > 從中繼資料。

輸入一個有意義的名稱作為服務提供者名稱，例如 <yourorganizationname>.ciscowebex.com。

在安全性設定下，勾選下列勾選方塊：

• 必須簽署回應
• 必須簽署聲明

回到存取原則 > SAML > BIG-IP 即 IdP，然後建立一個新的身分識別提供者 (IdP) 服務。

輸入一個有意義的名稱作為 IdP 服務名稱，例如 CI。

對於 IdP 實體 ID，請使用 Big-IP 伺服器的 FQDN，其前面有增添項，例如 https://bigip0a.uc8sevtlab13.com/CI。

在聲明設定下，選取聲明主體類型的暫時識別碼。

對於聲明主體值，傳回使用者電子郵件的值 %{session.ad.last.attr.mail}。

傳回屬性 mail 和 uid 以及值 %{session.ad.last.attr.mail}。

在安全性設定下，挑選憑證來簽署聲明。

儲存變更，然後連結您建立的服務提供者及身分識別提供者。

選取匯出 IDP 服務。

確保簽署中繼資料值為是。

將中繼資料檔下載至桌面或者您可以輕鬆找到的位置。

移至存取原則 > 存取設定檔 > SAML，然後為您建立的 IdP 建立 SAML 資源。

移至「存取設定檔」並編輯您用於 WebEx Messenger CAS 的存取原則。

在登入標籤中新增名稱為登入頁面的項目，並保留預設值。

在驗證標籤中新增名稱為 AD 驗證的項目，並將 Active Directory 指定為伺服器。

在成功的分支上，從驗證標籤新增「AD 查詢」

移至分支規則，並將其變更為 AD 查詢已通過。

在「AD 查詢」的成功分支上，從指定標籤新增進階資源指定。

按一下新增/刪除並新增兩個資源 SAML，其含有所有 SAML 資源及您建立的 Webtop。

對於選取結束，選取允許。

存取原則應該類似於此快照：

轉至本地流量 > 虛擬伺服器。

開啟「存取設定檔」以確認設定檔沒有關聯的虛擬伺服器。

選取進階資源指定。

選取新增/刪除以新增 SAML 資源。

關閉「存取原則設計」視窗並套用新的存取原則。

選擇一個：

• 返回 Control Hub – 瀏覽器中的憑證選取項目頁面，然後按下一步。
• 如果 Control Hub 不會再於瀏覽器標籤中開啟，請從 https://admin.webex.com 的客戶檢視中，前往管理 > 組織設定，捲動至驗證，然後選擇動作 > 匯入中繼資料。

在「匯入 IdP 中繼資料」頁面上，將 IdP 中繼資料檔案拖放到頁面上，或者使用檔案瀏覽器選項來尋找並上傳中繼資料檔。 按一下下一步。

選取測試 SSO 設定，然後當新的瀏覽器索引標籤開啟時，請透過登入，向 IdP 驗證。

如果您收到驗證錯誤，則憑證可能有問題。 檢查使用者名稱和密碼並再試一次。 Webex 應用程式錯誤通常表示 SSO 設定有問題。 在這種情況下，再次檢查這些步驟，尤其是複製 Control Hub 中繼資料並貼至 IdP 設定的步驟。

若要直接查看 SSO 登入體驗，您還可以從此螢幕按一下將 URL 複製到剪貼簿，並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 此步驟會停止因存取權杖可能位在現有階段作業中而您未進行登入的誤判。

回到 Control Hub 瀏覽器標籤。

• 如果測試成功，請選取測試成功。 開啟 SSO 並按下一步。
• 如果測試不成功，請選取測試不成功。 關閉 SSO 並按下一步。

此 SSO 設定不會在貴組織中生效，除非您先選擇圓鈕並啟動 SSO。