如果貴組織的憑證使用方式設定為「無」，但您仍然收到警示，我們建議您繼續升級。 您的 SSO 部署目前未使用憑證，但可能需要憑證才能進行未來的變更。

Webex 服務提供者 (SP) 憑證


有時，您可能會收到電子郵件通知或在 Control Hub 中看到警示，指出 Webex 單一登入 (SSO) 憑證即將到期。 請遵循本文中的程序以向我們 (SP) 擷取 SSO 雲端憑證中繼資料，然後將其新增回您的 IdP；否則使用者將無法使用 Webex 服務。

如果您在 Webex 組織中使用 SAML Cisco (SP) SSO 憑證，必須計劃儘快於定期排定的維護時段期間更新您的雲端憑證。

屬於 Webex 組織訂閱的所有服務都會受到影響，包括但不限於：

  • Webex 應用程式（所有平台的新登入： 桌上型電腦、行動裝置及 Web）

  • Webex 服務（位於　Control Hub 中），包括呼叫

  • Webex Meetings 網站（透過 Control Hub 管理）

  • Cisco Jabber（如果已與 SSO 整合）

在開始之前

請在開始之前閱讀所有指示。 在您變更憑證或執行精靈以更新憑證後，新使用者可能無法成功登入。

如果您的 IdP 不支援多個憑證（市場中的大多數 IdP 都不支援此功能），我們還建議您在 Webex 應用程式使用者不受影響的維護時段內排定此升級。 這些升級任務在作業時間和活動後驗證應該大約需要 30 分鐘。

1

若要檢查 SAML Cisco (SP) SSO 憑證是否即將過期：

  • 您可能已收到我們寄出的電子郵件或　Webex 應用程式訊息，但您應簽入 Control Hub 以進行確定。

  • 登入 https://admin.webex.com，並查看您的警示中心。 可能有關於更新 SSO 服務提供者憑證的通知。

  • 登入 https://admin.webex.com，前往管理 > 組織設定 > 驗證，然後注意 Cisco SAML 憑證表格中的憑證狀態（已過期或即將過期）。 按一下續訂憑證以繼續。

您也可以直接進入　SSO　精靈以更新憑證。 如果您決定在精靈完成之前退出，您可隨時從管理 > 組織設定 > 驗證（在 https://admin.webex.com 中）再次存取精靈。
2

選擇續訂的憑證類型：

  • 由 Cisco 自我簽署 — 我們建議選擇此選項。 讓我們簽署憑證，這樣您只需要每隔五年續訂一次。
  • 由公用憑證授權單位簽署　—　較安全，但您需要經常更新中繼資料（除非 IdP 廠商支援信賴起點）。

     

    信賴起點是公開金鑰，用作驗證數位簽章憑證的授權單位。 如需更多資訊，請參閱您的 IdP 文件。
3

按一下下載中繼資料檔案，以從 Webex 雲端下載具有新憑證的已更新中繼資料副本。 保持此螢幕開啟。
4

導覽至您的 IdP 管理介面，以上傳新的 Webex 中繼資料檔案。
5

回到您登入 Control Hub 的標籤，然後按下一步。
6

按一下測試 SSO 更新以確認新的中繼資料檔案已上傳並由您的 IdP 正確解譯。 確認在快顯視窗中出現預期的結果，如果測試成功，請按一下切換到新的中繼資料。


 

若要直接查看 SSO 登入體驗，您還可以從此螢幕按一下將 URL 複製到剪貼簿，並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 這有助於移除在測試您的 SSO 設定時，在您 Web 瀏覽器中快取到可能提供誤判結果的任何資訊。

結果： 您已完成，貴組織的 SAML Cisco (SP) SSO 憑證現已續訂。 您隨時都可以檢查憑證狀態，方法是開啟管理 > 組織設定 > 驗證下的 SAML 憑證狀態表格。

身分識別提供者 (IdP) 憑證

有時，您可能會收到電子郵件通知或在 Control Hub 中看到警示，指出 IdP 憑證即將到期。 因為 IdP 廠商具有其自己的特定續訂憑證文件，我們會涵蓋 Control Hub 中所需的內容，以及用於擷取更新的 IdP 中繼資料，並將其上傳至 Control Hub 以續訂憑證的通用步驟。

1

若要檢查 IdP SAML 憑證是否即將過期：

  • 您可能已收到我們寄出的電子郵件或　Webex 應用程式訊息，但您應簽入 Control Hub 以進行確定。
  • 登入 https://admin.webex.com，並查看您的警示中心。 可能有關於更新 IdP SAML 憑證的通知：

  • 登入 https://admin.webex.com，前往管理 > 組織設定 > 驗證，然後注意 SAML 憑證表格中的憑證狀態（已過期或即將過期）。 按一下續訂憑證以繼續。

  • 您也可以直接進入　SSO　精靈以更新憑證。 如果您決定在精靈完成之前退出，您可隨時從管理 > 組織設定 > 驗證（在 https://admin.webex.com 中）再次存取精靈。
2

導覽至您的 IdP 管理介面，以擷取新的中繼資料檔案。

  • 可透過瀏覽器標籤、遠端桌面通訊協定 (RDP)，或透過特定的雲端提供者支援來完成此步驟，取決於您的 IdP 設定，以及是否由您或單獨的 IdP 管理員負責此步驟。
  • 如需參考，請參閱我們的　SSO　整合指南，或聯絡您的 IdP 管理員以獲得支援。
3

回到管理 > 組織設定 > 驗證（在 https://admin.webex.com 中），然後選擇動作 > 匯入中繼資料。
4

將 IdP 中繼資料檔案拖放到視窗中，或按一下選擇中繼資料檔案，然後以該方式上傳。
5

根據您 IdP 中繼資料的簽署方式，選擇較不安全（自我簽署）或較安全（由公用 CA 簽署）。
6

按一下測試 SSO 更新以確認新的中繼資料檔案已上傳，並為您的 Control Hub 組織正確翻譯。 確認在快顯視窗中出現預期的結果，如果測試成功，請按一下切換到新的中繼資料。


 

若要直接查看 SSO 登入體驗，您還可以從此螢幕按一下將 URL 複製到剪貼簿，並將其貼至私人瀏覽器視窗中。 您可以在這裡使用 SSO 進行逐步登入。 這有助於移除在測試您的 SSO 設定時，在您 Web 瀏覽器中快取到可能提供誤判結果的任何資訊。

結果： 您已完成，貴組織的 IdP 憑證現已續訂。 您隨時都可以檢查憑證狀態，方法是開啟管理 > 組織設定 > 驗證下的 SAML 憑證狀態表格。

每當您需要將最新的 Webex SP 中繼資料新增回 IdP 時，可以將其匯出。 當所匯入的 IdP SAML 中繼資料即將過期或已過期時，您將看到一則通知。

此步驟在一般 IdP SAML 憑證管理情境中很有用，例如支援多個先前未完成匯出憑證的 IdP、中繼資料因 IdP 管理員無法使用而未匯入至 IdP，或者您的 IdP 支援僅更新憑證的功能。 此選項可以協助最大限度減少變更，只需更新您 SSO 設定和事件後驗證中的憑證。

1

從 https://admin.webex.com 中的客戶檢視中，前往管理 > 組織設定，捲動至驗證，然後選擇動作 > 匯出中繼資料。

Webex 應用程式中繼資料檔名為 idb-meta-<org-ID>-SP.xml。
2

將中繼資料匯入您的 IdP。

遵循 IdP 的文件以匯入 Webex SP 中繼資料。 您可以使用我們的 IdP 整合指南，或（若未列出）查閱特定 IdP 的文件。
3

當您完成時，請使用本文中「續訂 Webex 憑證 (Sp)」的步驟來執行 SSO 測試。

當 IdP 環境變更或 IdP 憑證即將過期時，您隨時都可以將更新的中繼資料匯入 Webex。

在開始之前

收集 IdP 中繼資料，通常是匯出的 xml 檔案。

1

從 https://admin.webex.com 中的客戶檢視中，前往管理 > 組織設定，捲動至驗證，然後選擇動作 > 匯入中繼資料。
2

將 IdP 中繼資料檔案拖放到視窗中，或按一下選擇中繼資料檔案，然後以該方式上傳。
3

根據您 IdP 中繼資料的簽署方式，選擇較不安全（自我簽署）或較安全（由公用 CA 簽署）。

在憑證設定到期之前，您將在 Control Hub 中收到警示，但您也可以主動設定警示規則。 這些規則會提前告知您 SP 或 IdP 憑證即將過期。 我們可以透過電子郵件、Webex 應用程式中的空間（或兩者）將其傳送給您。

無論設定哪種傳遞通道，所有警示一律會出現在 Control Hub 中。 如需相關資訊，請參閱 Control Hub 中的警示中心。

1

從 https://admin.webex.com 的客戶檢視中，前往警示中心。
2

選擇管理，然後選擇所有規則。
3

從規則清單中，選擇您想要建立的任何 SSO 規則：

  • SSO IdP 憑證過期
  • SSO SP 憑證過期
4

在傳遞通道區段中，勾選電子郵件方塊、Webex 空間方塊或兩個方塊。

如果您選擇電子郵件，請輸入應接收通知的電子郵件地址。


 

如果您選擇 Webex 空間選項，系統將自動將您新增至 Webex 應用程式內部的空間，且我們會在那裡傳送通知。
5

儲存變更。

後續動作

從過期前 60 天開始，我們每隔 15 天會傳送一次憑證到期警示。 （您可以預期在第 60、45、30 和 15 天收到警示。） 續訂憑證時，警示隨即停止。

您可能會看到通知，指出未設定單一登出 URL：

我們建議您將 IdP 設定成支援單一登出（也稱為 SLO）。 Webex 支援重新導向和 post 方法，可從 Control Hub 下載的中繼資料中提供。 並非所有 IdP 都支援 SLO；請聯絡您的 IdP 團隊以尋求協助。 在某些情況下，對於支援 SLO 的主要 IdP 供應商（例如 AzureAD、Ping Federate、ForgeRock 和 Oracle），我們記載了設定整合的方法。 請向您的身分識別與安全性團隊諮詢關於 IDP 的特定內容及正確設定的方法。

若未設定單一登出 URL：

  • 現有的 IdP 階段作業會維持有效。 使用者在下次登入時，可能不會被 IdP 要求重新驗證。

  • 我們在登出時會顯示警告訊息，因此無法順暢登出 Webex 應用程式。

您可以停用 Webex 組織（在 Control Hub 中管理）的單一登入 (SSO)。 您可能想要停用您要變更身分識別提供者 (IdP) 的 SSO。

如果已啟用貴組織的單一登入但是失敗，您可以讓可存取 Webex 組織的 Cisco 合作夥伴來為您將其停用。

1

從 https://admin.webex.com 的客戶檢視中，移至管理 > 組織設定，然後捲動至驗證。
2

若要關閉 SSO，請關閉單一登入設定。

會出現一個快顯視窗顯示關於停用 SSO 的警告：

如果您停用 SSO，則密碼由雲端管理，而不是由您的整合 IdP 設定管理。
3

如果您瞭解停用 SSO 造成的影響且想要繼續，請按一下停用。

在 Control Hub 中，您將看到 SSO 設定已關閉，且會移除所有 SAML 憑證清單。

如果停用 SSO，則必須驗證的使用者將在登入過程中看到密碼輸入欄位。

  • 在 Webex 應用程式中沒有密碼的使用者必須重設其密碼，或是您必須傳送電子郵件給他們才能設定密碼。

  • 具有有效 OAuth 權杖的現有已驗證使用者將繼續具有 Webex 應用程式的存取權。

  • 在停用 SSO 時建立的新使用者會收到電子郵件，要求他們建立密碼。

後續動作

如果您或客戶為客戶組織重新設定 SSO，則使用者帳戶將重新使用與 Webex 組織整合之 IdP 設定的密碼策略。