SAML 自動建立和更新控制中心帳戶
在此文章中
意見回饋？您可以使用 SAML 將使用者屬性從 IdP 對應至 Webex 身分屬性，並使用 SAML 宣告啟用即時 (JIT) 自動帳戶更新。
在 Control Hub 中修改單一登入驗證
在開始之前
確保滿足下列先決條件：
-
SSO已配置。有關使用 SSO 設定精靈的信息，請參閱 Control Hub 中的單一登入整合。
-
這些網域已經過驗證。
-
域名已認領並啟用。此功能可確保您網域中的使用者每次透過您的身分提供者進行身份驗證時都會建立並更新一次。
-
如果啟用了 DirSync 或 Entra ID，則 SAML JIT 建立或更新將無法運作。
-
已啟用封鎖使用者設定檔更新 功能。允許 SAML 更新對圖，因為此配置控制使用者編輯屬性的能力。仍支援由管理員控制的建立和更新方法。
-
必須啟用自助註冊功能，否則 SAML JIT 帳戶建立將無法運作。有關更多信息，請參閱 防止用戶使用您的網域自行註冊。
新建立的使用者不會自動獲得授權，除非組織 已設定自動授權 範本。
SAML JIT 使用者群組配置僅限於單一群組。
設定即時 (JIT) 和 SAML 映射
| 1 |
登入 Control Hub。
|
| 2 |
前往 。
|
| 3 |
轉到 “身份提供者 ”選項卡。
|
| 4 |
前往身分識別提供者 (IdP) 並點選  .
|
| 5 |
選擇 編輯 SAML 映射。
|
| 6 |
配置 即時 (JIT) 設定。
- 建立或啟用使用者：如果未找到活躍用戶，則 Webex Identity 會在使用者透過 IdP 進行驗證後建立使用者並更新屬性。
- 使用 SAML 屬性更新使用者：如果找到具有電子郵件地址的使用者，則 Webex 身份識別會使用 SAML 聲明中對應的屬性來更新使用者。
確認使用者可以使用其他無法辨識的電子郵件地址登入。
|
| 7 |
配置 SAML 映射所需屬性。
表 1. 必要屬性|
Webex 身分屬性名稱
|
SAML 屬性名稱
|
屬性說明
|
|---|
|
使用者名稱/主要電子郵件地址
|
範例：uid
|
將 UID 屬性對應至已佈建使用者的電子郵件、UPN 或 edupersonprincipalname。
|
|
| 8 |
配置 連結屬性。
這應該是用戶獨有的。它用於查找用戶，以便 Webex 可以更新用戶的所有個人資料屬性，包括電子郵件。 表格 2. 連結屬性|
Webex 身分屬性名稱
|
SAML 屬性名稱
|
屬性說明
|
|---|
|
externalId
|
範例：user.objectid
|
從其他個人設定檔中識別該使用者。在目錄之間對應或變更其他設定檔屬性時，這是必需步驟。
| |
延伸屬性 1
|
範例：user.extensionattribute1
|
將這些自訂屬性對應到 Entra ID 或您的目錄中的擴充屬性，以產生追蹤程式碼。
| |
延伸屬性 2
|
範例：user.extensionattribute2
| |
延伸屬性 3
|
範例：user.extensionattribute3
| |
延伸屬性 4
|
範例：使用者.擴充屬性4
| |
延伸屬性 5
|
範例：user.extensionattribute5
|
|
| 9 |
配置 設定檔屬性。
表格 3. 設定檔屬性|
Webex 身分屬性名稱
|
SAML 屬性名稱
|
屬性說明
|
|---|
|
externalId
|
範例：user.objectid
|
從其他個人設定檔中識別該使用者。在目錄之間對應或變更其他設定檔屬性時，這是必需步驟。
| |
preferredLanguage
|
範例：user.preferredlanguage
|
使用者偏好的語言。
| |
locale
|
範例：user.locale
|
使用者的主要工作位置。
| |
timezone
|
範例：user.timezone
|
使用者的主要時區。
| |
displayName
|
範例：user.displayname
|
Webex 中的使用者顯示名稱。
| |
name.givenName
|
範例：user.givenname
|
使用者的名字。
| |
姓名.姓氏
|
範例：user.姓氏
|
使用者的姓氏。
| |
addresses.streetAddress
|
範例：user.streetaddress
|
使用者主要工作位置的街道地址。
| |
地址.位置
| 範例：使用者位置 | 使用者主要工作位置的所在地。 | |
addresses.region
|
範例：user.region
|
使用者主要工作位置的地區。
| |
addresses.postalCode
|
範例：user.postalcode
|
使用者主要工作位置的郵遞區號。
| |
address.country
|
範例：user.country
|
使用者主要工作位置的國家。
| |
phoneNumbers.work
|
範例：公司電話號碼
|
使用者主要工作位置的工作電話號碼。僅使用國際 E.164 格式（最多 15 位）。
| |
phoneNumbers.extension
|
範例：分機號碼
|
使用者主要工作電話號碼的工作分機號。僅使用國際 E.164 格式（最多 15 位）。
| |
電話號碼.手機
| 範例：行動電話號碼 | 他們的主要工作位置的行動電話號碼。僅使用國際 E.164 格式（最多 15 位）。 | |
title
|
範例：user.jobtitle
|
使用者的職稱。
| |
department
|
範例：user.department
|
使用者的工作部門或團隊。
| | 郵件工作 | 範例：工作郵件 | 使用者的工作電子郵件。 | | 組織 | 範例：用戶.組織 | 使用者的組織 ID |
|
| 10 |
配置 組屬性。
- 在 Control Hub 中建立一個群組，並記下 Webex 群組 ID。
- 前往您的使用者目錄或身分提供者 (IdP)，並為將指派給 Webex 群組 ID 的使用者設定屬性。
- 更新您的 IdP 配置，以包含一個聲明，該聲明帶有此屬性名稱以及 Webex 群組 ID（例如 c65f7d85-b691-42b8-a20b-12345xxxx）。您也可以使用外部 ID 來管理群組名稱的變更或用於未來的整合方案。例如，與 Entra ID 同步或實作 SCIM 群組同步。
- 指定要與群組 ID 一起在 SAML 斷言中傳送的屬性的確切名稱。此命令用於將使用者新增至群組。
- 如果您使用目錄中的群組來向 SAML 斷言傳送成員，請指定群組物件的外部 ID 的確切名稱。
如果使用者 A 與 groupID 1234 相關聯，使用者 B 與 groupID 4567 相關聯，則他們將被指派到不同的群組。這種情況表明，單一屬性允許使用者關聯多個群組 ID。雖然這種情況不常見，但並非不可能，並且可以被視為一種附加變化。例如，如果使用者 A 最初使用 groupID 1234 登錄，則他們將成為對應群組的成員。如果使用者 A 稍後使用 groupID 4567 登錄，則也會被加入到第二個群組。
SAML JIT 配置不支援從群組中移除使用者或刪除任何使用者。
表 4. 組屬性|
Webex 身分屬性名稱
|
SAML 屬性名稱
|
屬性說明
|
|---|
|
組 ID
|
範例：組 ID
|
將 IdP 中的群組屬性對應至 Webex 身份識別群組屬性，以便將該使用者對應至某個群組進行授權或設定服務。
| |
groupexternalId
|
範例：groupexternalId
|
將 IdP 中的群組屬性對應至 Webex 身份識別群組屬性，以便將該使用者對應至某個群組進行授權或設定服務。
|
有關 Webex Meetings 的 SAML 斷言屬性列表，請參閱 Webex Meetings 和 Jabber 的 SAML 斷言屬性。
|
