為 Control Hub 建立和更新 SAML 自動帳戶

在 Control Hub 中修改單一登入驗證

準備工作

確保滿足下列先決條件：

SSO已配置。有關使用 SSO 設定精靈的信息，請參閱 Control Hub 中的單一登入整合。
這些網域已經過驗證。
域名已認領並啟用。此功能可確保您網域中的使用者每次透過您的身分提供者進行身份驗證時都會建立並更新一次。
如果啟用了 DirSync 或 Entra ID，則 SAML JIT 建立或更新將無法運作。
已啟用封鎖使用者設定檔更新功能。允許 SAML 更新對圖，因為此配置控制使用者編輯屬性的能力。仍支援由管理員控制的建立和更新方法。
必須啟用「阻止使用者使用您的網域自行註冊」功能。如果停用此設置，則 SAML JIT 帳戶建立將無法正常運作。有關更多信息，請參閱防止用戶使用您的網域自行註冊。

新建立的使用者不會自動獲得授權，除非組織已設定自動授權範本。

SAML JIT 使用者群組配置僅限於單一群組。

設定即時 (JIT) 和 SAML 映射

登入 Control Hub。

前往管理 > 安全 > 驗證。

轉到 “身份提供者 ”選項卡。

前往身分識別提供者 (IdP) 並點選「更多」功能表。

選擇編輯 SAML 映射。

配置即時 (JIT) 設定。

建立或啟用使用者：如果未找到活躍用戶，則 Webex Identity 會在使用者透過 IdP 進行驗證後建立使用者並更新屬性。
使用 SAML 屬性更新使用者：如果找到具有電子郵件地址的使用者，則 Webex 身份識別會使用 SAML 聲明中對應的屬性來更新使用者。

確認使用者可以使用其他無法辨識的電子郵件地址登入。

配置 SAML 映射所需屬性。

表 1. 必要屬性
Webex 身分屬性名稱	SAML 屬性名稱	屬性說明
使用者名稱/主要電子郵件地址	範例：uid	將 UID 屬性對應至已佈建使用者的電子郵件、UPN 或 edupersonprincipalname。

配置連結屬性。

這應該是用戶獨有的。它用於查找用戶，以便 Webex 可以更新用戶的所有個人資料屬性，包括電子郵件。

表格 2. 連結屬性
Webex 身分屬性名稱	SAML 屬性名稱	屬性說明
externalId	範例：user.objectid	從其他個人設定檔中識別該使用者。在目錄之間對應或變更其他設定檔屬性時，這是必需步驟。
延伸屬性 1	範例：user.extensionattribute1	將這些自訂屬性對應到 Entra ID 或您的目錄中的擴充屬性，以產生追蹤程式碼。
延伸屬性 2	範例：user.extensionattribute2
延伸屬性 3	範例：user.extensionattribute3
延伸屬性 4	範例：使用者.擴充屬性4
延伸屬性 5	範例：user.extensionattribute5

配置設定檔屬性。

表格 3. 設定檔屬性
Webex 身分屬性名稱	SAML 屬性名稱	屬性說明
externalId	範例：user.objectid	從其他個人設定檔中識別該使用者。在目錄之間對應或變更其他設定檔屬性時，這是必需步驟。
preferredLanguage	範例：user.preferredlanguage	使用者偏好的語言。
locale	範例：user.locale	使用者的主要工作位置。
timezone	範例：user.timezone	使用者的主要時區。
displayName	範例：user.displayname	Webex 中的使用者顯示名稱。
name.givenName	範例：user.givenname	使用者的名字。
name.familyName	範例：user.姓氏	使用者的姓氏。
addresses.streetAddress	範例：user.streetaddress	使用者主要工作位置的街道地址。
地址.位置	範例：使用者位置	使用者主要工作位置的所在地。
addresses.region	範例：user.region	使用者主要工作位置的地區。
addresses.postalCode	範例：user.postalcode	使用者主要工作位置的郵遞區號。
address.country	範例：user.country	使用者主要工作位置的國家。
phoneNumbers.work	範例：公司電話號碼	使用者主要工作位置的工作電話號碼。僅使用國際 E.164 格式（最多 15 位）。
phoneNumbers.extension	範例：分機號碼	使用者主要工作電話號碼的工作分機號。僅使用國際 E.164 格式（最多 15 位）。
phoneNumbers.mobile	範例：行動電話號碼	他們的主要工作位置的行動電話號碼。僅使用國際 E.164 格式（最多 15 位）。
title	範例：user.jobtitle	使用者的職稱。
department	範例：user.department	使用者的工作部門或團隊。
郵件工作	範例：工作郵件	使用者的工作電子郵件。
組織	範例：用戶.組織	使用者的組織 ID

配置組屬性。

在 Control Hub 中建立一個群組，並記下 Webex 群組 ID。
前往您的使用者目錄或身分提供者 (IdP)，並為將指派給 Webex 群組 ID 的使用者設定屬性。
更新您的 IdP 配置，以包含一個聲明，該聲明帶有此屬性名稱以及 Webex 群組 ID（例如 c65f7d85-b691-42b8-a20b-12345xxxx）。您也可以使用外部 ID 來管理群組名稱的變更或用於未來的整合方案。例如，與 Entra ID 同步或實作 SCIM 群組同步。
指定要與群組 ID 一起在 SAML 斷言中傳送的屬性的確切名稱。此命令用於將使用者新增至群組。
如果您使用目錄中的群組來向 SAML 斷言傳送成員，請指定群組物件的外部 ID 的確切名稱。

如果使用者 A 與 groupID 1234 相關聯，使用者 B 與 groupID 4567 相關聯，則他們將被指派到不同的群組。這種情況表明，單一屬性允許使用者關聯多個群組 ID。雖然這種情況不常見，但並非不可能，並且可以被視為一種附加變化。例如，如果使用者 A 最初使用 groupID 1234 登錄，則他們將成為對應群組的成員。如果使用者 A 稍後使用 groupID 4567 登錄，則也會被加入到第二個群組。

SAML JIT 配置不支援從群組中移除使用者或刪除任何使用者。

表 4. 組屬性
Webex 身分屬性名稱	SAML 屬性名稱	屬性說明
組 ID	範例：組 ID	將 IdP 中的群組屬性對應至 Webex 身份識別群組屬性，以便將該使用者對應至某個群組進行授權或設定服務。
groupexternalId	範例：groupexternalId	將 IdP 中的群組屬性對應至 Webex 身份識別群組屬性，以便將該使用者對應至某個群組進行授權或設定服務。

有關 Webex Meetings 的 SAML 斷言屬性列表，請參閱 Webex Meetings 和 Jabber 的 SAML 斷言屬性。

Cisco AI Assistant

感謝您的意見回饋。

為 Control Hub 建立和更新 SAML 自動帳戶

在 Control Hub 中修改單一登入驗證

準備工作

設定即時 (JIT) 和 SAML 映射

小型企業

企業

裝置

解決方案，適用於

資源

公司