Ha saját identitásszolgáltatóval (IdP) rendelkezik a szervezetben, integrálhatja az SAML idP-t a szervezettel a Control Hubban az egyszeri bejelentkezéshez (SSO).Az SSO lehetővé teszi a felhasználók számára, hogy egyetlen, közös hitelesítő adatot használjanak a Webex App alkalmazásokhoz és a szervezet egyéb alkalmazásaihoz.
A következő webes hozzáférés-kezelési és összevonási megoldásokat tesztelték a Webex szervezetek számára.Az alább hivatkozott dokumentumok végigvezetik Önt azon, hogyan integrálhatja az adott identitásszolgáltatót (IdP) a Webex szervezetével.
 | Ezek az útmutatók a Control Hubban ( ) https://admin.webex.comkezelt Webex-szolgáltatások egyszeri bejelentkezéses integrációját fedik le.Ha egy Webex Meetings webhely egyszeri bejelentkezéses integrációját keresi (a Webhelyfelügyeletben kezelt), olvassa el az Egyszeri bejelentkezés konfigurálása Cisco Webex webhelyhezcímű témakört . |
Ha nem látja az alább felsorolt idP-t, kövesse a cikk SSO-beállítás lapján található magas szintű lépéseket.
Az egyszeri bejelentkezés (SSO) lehetővé teszi a felhasználók számára, hogy biztonságosan bejelentkezzenek a Webexbe azáltal, hogy hitelesítik magukat a szervezet közös identitásszolgáltatója (IdP) számára.A Webex alkalmazás a Webex szolgáltatást használja a Webex platform identitásszolgáltatással való kommunikációhoz.Az identitásszolgáltatás hitelesíti magát az identitásszolgáltatóval (IdP).
A konfigurációt a Control Hubban kezdheti meg.Ez a szakasz a harmadik féltől származó idP integrálásának magas szintű, általános lépéseit rögzíti.
| Amikor az SSO-t az idP-vel konfigurálja, bármilyen attribútumot leképezhet az uid-re.Például képezze le a userPrincipalName nevet, egy e-mail-aliast, egy alternatív e-mail-címet vagy bármely más megfelelő attribútumot az uid-re.Az idP-nek bejelentkezéskor meg kell egyeznie a felhasználó egyik e-mail-címével az uid-vel.A Webex legfeljebb 5 e-mail cím leképezését támogatja az uid-hez. |
Az SSO és a Control Hub esetében az idP-knek meg kell felelniük az SAML 2.0 specifikációnak.Ezenkívül az idP-ket a következő módon kell konfigurálni:
Állítsa a NameID Format attribútumot a következőre: urn:oasis:names:tc:SAML:2.0:nameid-format:transient
Konfiguráljon egy jogcímet az idP-n az üzembe helyezett SSO típusának megfelelően:
SSO (szervezet számára) – Ha egy szervezet nevében konfigurálja az SSO-t, konfigurálja úgy az idP-jogcímet, hogy tartalmazza az uid attribútum nevét egy olyan értékkel, amely a Címtár-összekötőben kiválasztott attribútumra van leképezve, vagy a Webex identitásszolgáltatásban kiválasztott attribútumnak megfelelő felhasználói attribútumra.(Ez az attribútum lehet például E-mail Addresses vagy User-Principal-Name.)
Partner egyszeri bejelentkezés (csak szolgáltatók számára) – Ha Ön olyan szolgáltatói rendszergazda, aki a partner SSO-t a szolgáltató által kezelt ügyfélszervezetek általi használatra konfigurálja, konfigurálja úgy az idP jogcímet, hogy tartalmazza a mail attribútumot (és ne az uid-t).Az értéknek a Címtár-összekötőben kiválasztott attribútumra kell leképeznie, vagy arra a felhasználói attribútumra, amely megegyezik a Webex identitásszolgáltatásban kiválasztottal.
Az egyéni attribútumok SSO- vagy partneri SSO-hoz való leképezésével kapcsolatos további információkért lásd: https://www.cisco.com/go/hybrid-services-directory.
Csak partner egyszeri bejelentkezés.Az identitásszolgáltatónak több helyességifeltétel-fogyasztói szolgáltatás (ACS) URL-címét is támogatnia kell.Példák arra, hogyan konfigurálhat több ACS URL-címet egy identitásszolgáltatón:
Használjon támogatott böngészőt:javasoljuk a Mozilla Firefox vagy a Google Chrome legújabb verzióját.
Tiltsa le a felugró ablakok blokkolását a böngészőben.
| A konfigurációs útmutatók egy konkrét példát mutatnak be az SSO-integrációra, de nem biztosítanak kimerítő konfigurációt az összes lehetőséghez.Például az integrációs lépések |
SAML-megállapodást kell létrehoznia a Webex platform identitásszolgáltatása és az idP között.
A sikeres SAML-szerződés eléréséhez két fájlra van szükség:
Egy metaadatfájl az IdP-ből, amelyet a Webexnek kell adni.
Egy metaadatfájl a Webex-től, amelyet az IdP-nek kell adni.
Ez egy példa egy PingFederate metaadatfájlra, amely az idP metaadatait tartalmazza.
Metaadatfájl az identitásszolgáltatásból.
Az alábbiakban várhatóan látni fogja az identitásszolgáltatás metaadatfájljában.
EntityID – Ez az SAML-szerződés azonosítására szolgál az idP-konfigurációban
Nincs szükség aláírt AuthN-kérésre vagy bármilyen aláírási állításra, az megfelel annak, amit az idP kér a metaadatfájlban.
Egy aláírt metaadatfájl az idP számára annak ellenőrzésére, hogy a metaadatok az identitásszolgáltatáshoz tartoznak-e.
| 1 | A Control Hub ( https://admin.webex.com) ügyfélnézetéből lépjen a Felügyeleti , görgessen a Hitelesítés részhez, és kapcsolja be az Egyszeri bejelentkezés beállítást a konfigurációs varázsló elindításához. | ||
| 2 | Válassza ki a tanúsítvány típusát:
| ||
| 3 | Kattintson a Metaadatok letöltése elemre, majd a Továbbgombra . | ||
| 4 | A Webex Platform Identity szolgáltatás ellenőrzi a metaadatfájlt az IdP-ből. Az ügyfél-idP metaadatainak érvényesítésének két lehetséges módja van:
| ||
| 5 | Az engedélyezés előtt tesztelje az SSO-kapcsolatot.Ez a lépés úgy működik, mint egy száraz futtatás, és nem befolyásolja a szervezeti beállításokat, amíg a következő lépésben nem engedélyezi az SSO-t.
| ||
| 6 | Ha a teszt sikeres, kapcsolja be az SSO-t, és mentse a módosításokat. Mentenie kell a módosításokat, hogy az SSO érvénybe lépjen a szervezetben. |
Akár értesítést kapott egy lejáró tanúsítványról, akár ellenőrizni szeretné a meglévő SSO-konfigurációt, használhatja a Control Hub egyszeri bejelentkezés (SSO) felügyeleti funkcióit a tanúsítványkezeléshez és az általános SSO-karbantartási tevékenységekhez.
Ha problémákba ütközik az SSO-integrációval kapcsolatban, az ebben a szakaszban található követelményekkel és eljárással háríthatja el az idP és a Webex közötti SAML-folyamatot.
Használja az SAML nyomkövetési bővítményt Firefoxhoz vagy Chrome-hoz .
A hibaelhárításhoz használja azt a webböngészőt, ahová az SAML nyomkövetési hibakeresési eszközt telepítette, és lépjen a Webex webes verziójára a következő címen https://web.webex.com: .
Az alábbiakban bemutatjuk a Webex alkalmazás, a Webex-szolgáltatások, a Webex Platform Identity Service és az identitásszolgáltató (IdP) közötti üzenetek áramlását.
| 1 | Nyissa meg és https://admin.webex.com ha az SSO engedélyezve van, az alkalmazás e-mail-címet kér.
 Az alkalmazás elküldi az információkat a Webex szolgáltatásnak, amely ellenőrzi az e-mail címet.
|
| 2 | Az alkalmazás get kérést küld az OAuth engedélyezési kiszolgálónak egy jogkivonatért.A rendszer átirányítja a kérést az identitásszolgáltatásba az SSO-ba vagy a felhasználónév és jelszó folyamatba.A rendszer visszaadja a hitelesítési kiszolgáló URL-címét.  A GET kérést a nyomkövetési fájlban láthatja.
A paraméterek szakaszban a szolgáltatás OAuth-kódot, a kérést küldő felhasználó e-mail-címét és egyéb OAuth-adatokat, például ügyfél-azonosítót, redirectURI-t és hatókört keres.
|
| 3 | A Webex alkalmazás SAML-állítást kér az idP-től egy SAML HTTP-bejegyzés használatával.
Ha az SSO engedélyezve van, az identitásszolgáltatás hitelesítési motorja átirányítja az SSO idP URL-címére.A metaadatok cseréjekor megadott idP URL-cím.
Ellenőrizze a nyomkövetési eszközben, hogy van-e SAML POST üzenet.Megjelenik egy HTTP POST üzenet az IdPbroker által kért idP-nek.
A RelayState paraméter az idP helyes válaszát jeleníti meg.
Tekintse át az SAML-kérés dekódolási verzióját, nincs AuthN felhatalmazás, és a válasz célhelyének az idP cél-URL-címére kell mennie.Győződjön meg arról, hogy a nameid-formátum megfelelően van konfigurálva az idP-ben a megfelelő entityID (SPNameQualifier) alatt
Az idP nameid-formátuma meg van adva, és a szerződés neve konfigurálva van az SAML-szerződés létrehozásakor. |
| 4 | Az alkalmazás hitelesítése az operációs rendszer webes erőforrásai és az idP között történik.
Az idP-től és az idP-ben konfigurált hitelesítési mechanizmusoktól függően különböző folyamatok indulnak el az idP-ből.
|
| 5 | Az alkalmazás egy HTTP-bejegyzést küld vissza az identitásszolgáltatásnak, és tartalmazza az idP által biztosított és az eredeti szerződésben elfogadott attribútumokat.
Ha a hitelesítés sikeres, az alkalmazás egy SAML POST üzenetben küldi el az információkat az identitásszolgáltatásnak.
A RelayState ugyanaz, mint az előző HTTP POST üzenet, amelyben az alkalmazás közli az idP-vel, hogy melyik EntityID kéri az állítást.
|
| 6 | SAML állítás az idP-től a Webexig.
|
| 7 | Az identitásszolgáltatás egy engedélyezési kódot kap, amely egy OAuth-hozzáférési és frissítési jogkivonatra van lecserélve.Ez a jogkivonat az erőforrásoknak a felhasználó nevében való elérésére szolgál.
Miután az identitásszolgáltatás érvényesíti az idP válaszát, kiadnak egy OAuth-jogkivonatot, amely lehetővé teszi a Webex alkalmazás számára, hogy hozzáférjen a különböző Webex-szolgáltatásokhoz.
|
