Instalar y configurar el proveedor de identidad F5 (IdP) para Cisco Identity Service (IdS) para habilitar el inicio de sesión único

Introducción

Este documento describe la configuración del proveedor de identidad (IdP) F5 BIG-IP para habilitar el inicio de sesión único (SSO).

Modelos de implementación de Cisco IdS

Producto	Implementación
UCCX	Copresidente
PCCE	Coresidente con CUIC (Cisco Unified Intelligence Center) y LD (Live Data)
UCCE	Coresidente con CUIC y LD para implementaciones 2k. Independiente para implementaciones de 4000 y 12 000.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco Unified Contact Center Express (UCCX) versión 11.6 o Cisco Unified Contact Center Enterprise versión 11.6 o Packaged Contact Center Enterprise (PCCE) versión 11.6, según corresponda.

Nota: Este documento hace referencia a la configuración con respecto a Cisco Identity Service (IdS) y el Identity Provider (IdP). El documento hace referencia a UCCX en las capturas de pantalla y los ejemplos, sin embargo la configuración es similar con respecto a Cisco Identity Service (UCCX/UCCE/PCCE) y el IdP.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Instalar

Big-IP es una solución empaquetada que cuenta con varias funciones. Administrador de políticas de acceso (APM) que se relaciona con el servicio del proveedor de identidad.

Big-IP como APM:

Descargue la imagen de la edición virtual del sitio web de Big-IP e implemente el OVA para crear una máquina virtual (VM) preinstalada. Obtenga la licencia e instálela con los requisitos básicos.

Nota: Para obtener información sobre la instalación, consulte la Guía de instalación de Big-IP.

Configurar

• Navegue hasta aprovisionamiento de recursos y active Política de acceso, establezca aprovisionamiento en Nominal

• Cree una nueva VLAN en Red -> VLANs.

• Cree una nueva entrada para la IP que se utiliza para el IdP en Red -> IP propias

• Cree un perfil en Acceso -> Perfil/Políticas -> Perfiles de acceso

• Crear un servidor virtual

• Agregue los detalles de Active Directory (AD) en Acceso -> Autenticación -> Active Directory

• Cree un nuevo servicio IdP en Access -> Federation -> SAML Identity Provider -> Local IdP Services.

Nota: Si se utiliza una Common Access Card (CAC) para la autenticación, estos atributos deben agregarse en la sección de configuración SAML Attributes:

Paso 1. Crear el atributo uid.

Nombre: uid
Valor: %{session.ldap.last.attr.sAMAccountName}


Paso 2. Cree el atributo user_principal.

Nombre: user_principal
Valor: %{session.ldap.last.attr.userPrincipalName}

Nota: Una vez creado el servicio IdP, existe la opción de descargar los metadatos con un botón Export Metadata bajo Access -> Federation -> SAML Identity Provider -> Local IdP Services

Creación del lenguaje de marcado de aserción de seguridad (SAML)

Recursos de SAML

• Navegue hasta Access -> Federation -> SAML Resources y cree un recurso pequeño para asociarlo con el servicio IdP que se creó anteriormente

Webtops

• Cree un webtop en Access -> Webtops

Editor de políticas virtuales

• Desplácese hasta la política creada anteriormente y haga clic en el enlace de edición

• Se abre el editor de políticas virtuales

• Haga clic en el  icono y agregar elementos como se describe

Paso 1. Elemento de página de inicio de sesión: deje todos los elementos en el valor predeterminado.

Paso 2. AD Auth -> Elija la configuración de ADFS creada anteriormente.

Paso 3. Elemento de consulta AD: asigne los detalles necesarios.

Paso 4. Asignación avanzada de recursos: Asocie el recurso pequeño y el webtop creado anteriormente.

Intercambio de metadatos del proveedor de servicios (SP)

• Importar manualmente el certificado de los IdS a Big-IP a través de System -> Certificate Management -> Traffic Management

Nota: Asegúrese de que el certificado consta de etiquetas BEGIN CERTIFICATE y END CERTIFICATE.

• Cree una nueva entrada desde sp.xml bajo Access -> Federation -> SAML Identity Provider -> External SP Connectors
• Enlace el conector SP al servicio IdP en Access -> Federation -> SAML Identity Provider -> Local IdP Services.

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Error de autenticación de la tarjeta de acceso común (CAC)

Si la autenticación SSO falla para los usuarios de CAC, verifique el archivo ids.log de UCCX para verificar que los atributos SAML se hayan configurado correctamente.

Si hay un problema de configuración, ocurre una falla SAML. Por ejemplo, en este fragmento de registro, el atributo SAML user_principal no está configurado en el IdP.

AAAA-MM-DD hh:mm:SS.sss GMT(-0000) [IdSEndPoints-SAML-59] ERROR com.cisco.ccbu.ids IdSSAMLAsyncServlet.java:465 - No se pudo recuperar del mapa de atributos: user_principal

AAAA-MM-DD hh:mm:SS.sss GMT(-0000) [IdSEndPoints-SAML-59] ERROR com.cisco.ccbu.ids IdSSAMLAsyncServlet.java:298 - Error en el procesamiento de la respuesta SAML con la excepción com.sun.identity.saml.common.SAMLException: No se pudo recuperar user_principal de la respuesta saml

en com.cisco.ccbu.ids.auth.api.IdSSAMLAsyncServlet.getAttributeFromAttributesMap(IdSSAMLAsyncServlet.java:466)

en com.cisco.ccbu.ids.auth.api.IdSSAMLAsyncServlet.processSamlPostResponse(IdSSAMLAsyncServlet.java:263)

en com.cisco.ccbu.ids.auth.api.IdSSAMLAsyncServlet.processIdSEndPointRequest(IdSSAMLAsyncServlet.java:176)

en com.cisco.ccbu.ids.auth.api.IdSEndPoint$1.run(IdSEndPoint.java:269)

en java.util.concurrente.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1145)

at java.util.concurrente.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:615)

en java.lang.Thread.run(Thread.java:745)

Información Relacionada

• Soporte Técnico y Documentación - Cisco Systems