Configurare il provider di identità per Cisco Identity Service per abilitare SSO

Introduzione

Questo documento descrive la configurazione del provider di identità (IdP) per Cisco Identity Service (IdS) per abilitare Single Sign-On (SSO).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Cisco Unified Contact Center Express (UCCX) versione 11.5 o Cisco Unified Contact Center Enterprise versione 11.5 o Packaged Contact Center Enterprise (PCCE) versione 11.5, a seconda dei casi
• Microsoft Active Directory - AD installato in Windows Server
• Active Directory Federation Service (ADFS) versione 2.0/3.0

Nota: questo documento fa riferimento a UCCX nelle immagini e negli esempi visualizzati sullo schermo, tuttavia la configurazione è simile a quella degli ID Cisco (UCCX/UCCE/PCCE) e dell'IDP.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Modelli di distribuzione Cisco IdS

Prodotto	Implementazione
UCCX	Coresidente
PCCE	Coresidente con CUIC (Cisco Unified Intelligence Center) e LD (Live Data)
UCCE	Coresidenti con CUIC e LD per installazioni 2k. Standalone per installazioni a 4k e 12k.

Panoramica di SSO

Cisco offre molti servizi in forme diverse e, in qualità di utente finale, si desidera accedere solo una volta per poter accedere a tutti i servizi Cisco. Per trovare e gestire i contatti di qualsiasi applicazione e dispositivo Cisco, utilizza tutte le fonti possibili (directory aziendale, Outlook, contatti mobili, Facebook, LinkedIn, cronologia) e ottieni il rendering dei contatti in modo standard e coerente, in modo da ottenere le informazioni necessarie per conoscere la loro disponibilità e come contattarli al meglio.

L'SSO con SAML (Security Assertion Markup Language) soddisfa questo requisito. SAML/SSO consente agli utenti di accedere a più dispositivi e servizi tramite un account e un'identità di autorizzazione comuni denominati IdP. La funzionalità SSO è disponibile in UCCX/UCCE/PCCE a partire dalla versione 11.5.

Panoramica della configurazione

Configurazione

Tipi di autenticazione

Cisco IdS supporta solo l'autenticazione basata su form degli IdP.

Per informazioni su come abilitare l'autenticazione basata su form in ADFS, fare riferimento a questi articoli di MSDN.

• Per ADFS 2.0 fare riferimento a questo articolo di Microsoft TechNet,
  http://social.technet.microsoft.com/wiki/contents/articles/1600.ad-fs-2-0-how-to-change-the-local-authentication-type.aspx.
• Per ADFS 3.0 fare riferimento a questo articolo di Microsoft TechNet,
  https://learn.microsoft.com/en-us/archive/blogs/josrod/enabled-forms-based-authentication-in-adfs-3-0

Nota: Cisco IdS 11.6 e versioni successive supportano sia l'autenticazione basata su form che l'autenticazione Kerberos. Affinché l'autenticazione Kerberos funzioni, è necessario disabilitare l'autenticazione basata su form.

Stabilisci relazione di trust

Per l'onboarding e per consentire alle applicazioni di utilizzare Cisco IdS per SSO, eseguire lo scambio di metadati tra IdS e IdP.

• Scaricare il file dei metadati di SAML SP  sp.xml.
• Da Settings, passare a IdS Trust nella pagina Gestione IdS.

• Scaricare il file di metadati IdP dal provider di identità dall'URL:
  https://<ADFSServer>/federationmetadata/2007-06/federationmetadata.xml

• Nella pagina Gestione IdS, caricare il file di metadati IdP scaricato nel passaggio precedente.

Procedura per caricare i metadati IdS e aggiungere le regole attestazione. Questa procedura è descritta per ADFS 2.0 e 3.0.

ADFS 2.0

Passaggio 1. Nel server ADFS passare a, Start > All Programs > Administrative Tools > ADFS 2.0 Management, come mostrato nell'immagine:

Passaggio 2. Passa a Add ADFS 2.0 > Trust Relationship > Relying Party Trust, come mostrato nell'immagine:

Passaggio 3. Come mostrato nell'immagine, scegliete l'opzione Import data about the relying party from a file.

Passaggio 4. Completare la creazione dell'attendibilità del componente.

Passaggio 5. Nelle proprietà dell'attendibilità componente, scegliere Identifier scheda.

Passaggio 6. Impostare l'identificatore come nome host completo di Cisco Identity Server da cui sp.xml viene scaricato.

Passaggio 7. Fare clic con il pulsante destro del mouse sull'attendibilità componente e quindi scegliere Edit Claim Rules.

È necessario aggiungere due regole attestazione, una quando gli attributi LDAP (Lightweight Directory Access Protocol) vengono abbinati, l'altra tramite regole attestazione personalizzate.

uid - Questo attributo è necessario per le applicazioni per identificare l'utente autenticato.
user_principal: questo attributo è richiesto dagli IdS Cisco per identificare il realm dell'utente autenticato.

Regola attestazione 1:

Aggiungere una regola per nome NameID del tipo (inviare i valori dell'attributo LDAP come attestazioni):

• Scegliere l'archivio attributi come Active Directory
• Mapping attributo LDAP User-Principal-Name a user_principal (minuscolo)
• Scegliere l'attributo LDAP da utilizzare come userId per gli utenti dell'applicazione per eseguire il login e il mapping uid (minuscolo)

Esempio di configurazione quando SamAccountName deve essere utilizzato come ID utente:

• Mappare l'attributo LDAP SamAccountName a uid.
• Mappare l'attributo LDAP User-Principal-Name a user_principal.

Configurazione di esempio quando UPN deve essere utilizzato come ID utente:

• Mappare l'attributo LDAP User-Principal-Name a uid.
• Mappare l'attributo LDAP User-Principal-Name a user_principal.

Esempio di configurazione quando PhoneNumber deve essere utilizzato come ID utente:

• Mappare l'attributo LDAP telephoneNumber su uid .
• Mappare l'attributo LDAP User-Principal-Name a user_principal.

Nota: è necessario verificare che l'attributo LDAP configurato per l'ID utente nella sincronizzazione LDAP CUCM corrisponda a quello configurato come attributo LDAP per uid nella regola attestazione ADFS NameID. Ciò serve al corretto funzionamento del login CUIC e Finesse.

Nota: questo documento fa riferimento a vincoli relativi al nome della regola attestazione e visualizza nomi quali NomeID, Nome di dominio completo (FQDN) di UCCX e così via. Sebbene i campi e i nomi personalizzati possano essere applicabili in varie sezioni, i nomi delle regole attestazione e i nomi visualizzati vengono mantenuti standard in tutto per mantenere la coerenza e per le procedure ottimali nella convenzione di denominazione.

Regola attestazione 2:

• Aggiungere un'altra regola di tipo Regola attestazione personalizzata con il nome Nome host completo di Cisco Identity Server e aggiungere il testo di questa regola.
  
  

  c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "http://<ADFS Server FQDN>/ADFS/services/trust", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "<fully qualified hostname of IdS/UCCX>");

  
  
• Nel cluster Cisco Identity Server, tutti i nomi host completi sono quelli del nodo principale o del nodo del server di pubblicazione Cisco Identity Server.
• Il nome host completo di Cisco Identity Server> fa distinzione tra maiuscole e minuscole, quindi corrisponde esattamente (maiuscole/minuscole incluse) al nome FQDN di Cisco Identity Server.
• L' <FQDN server ADFS> fa distinzione tra maiuscole e minuscole, pertanto corrisponde esattamente (inclusa la distinzione tra maiuscole e minuscole) all'FQDN ADFS.

Passaggio 8. Fare clic con il pulsante destro del mouse sull'attendibilità componente e quindi scegliere Properties e scegliere la scheda avanzate, come illustrato nell'immagine.

Passaggio 9. Come mostrato nell'immagine, scegliere SHA (Secure Hash Algorithm) come SHA-256.

Passaggio 10. Clic OK.

ADFS 3.0

Passaggio 1. Nel server ADFS passare a Server Manager > Tools > ADFS Management.

Passaggio 2. Passa a ADFS > Trust Relationship > Relying Party Trust.

Passaggio 3. Scegliere l'opzione Import data about the relying party from a file.

Passaggio 4. Completare la creazione dell'attendibilità del componente.

Passaggio 5. Nelle proprietà dell'attendibilità componente, scegliere Identifier scheda.

Passaggio 6. Impostare l'identificatore come nome host completo di Cisco Identity Server da cui sp.xml viene scaricato.

Passaggio 7. Fare clic con il pulsante destro del mouse sull'attendibilità componente e quindi scegliere Edit Claim Rules.

È necessario aggiungere due regole attestazione, una quando gli attributi LDAP vengono abbinati, l'altra tramite regole attestazione personalizzate.

uid - Questo attributo è necessario per consentire alle applicazioni di identificare l'utente autenticato.
user_principal: questo attributo è richiesto dagli IdS Cisco per identificare il realm dell'utente autenticato.

Regola attestazione 1:

Aggiungere una regola per nome NameID di tipo (inviare i valori dell'attributo LDAP come attestazioni):

• Scegliere l'archivio attributi come Active Directory
• Mapping attributo LDAP User-Principal-Name a user_principal (minuscolo)
• Scegliere l'attributo LDAP da utilizzare come userId per consentire agli utenti dell'applicazione di eseguire il login e il mapping uid(minuscolo)

Configurazione di esempio quando SamAccountName deve essere utilizzato come ID utente:

• Mappare l'attributo LDAP SamAccountName a uid.
• Mappare l'attributo LDAP User-Principal-Name a user_principal.

Esempio di configurazione in cui l'UPN deve essere utilizzato come ID utente:

• Mappare l'attributo LDAP User-Principal-Name a uid.
• Mappare l'attributo LDAP User-Principal-Name a user_principal.

Configurazione di esempio quando PhoneNumber deve essere utilizzato come ID utente:

• Mappare l'attributo LDAP telephoneNumber a uid.
• Mappare l'attributo LDAP User-Principal-Name a user_principal.

Nota: è necessario verificare che l'attributo LDAP configurato per l'ID utente nella sincronizzazione LDAP CUCM corrisponda a quello configurato come attributo LDAP per uid nella regola di attestazione ADFS NameID. Ciò serve per il corretto funzionamento del login CUIC e Finesse.

Nota: questo documento fa riferimento a vincoli relativi al nome della regola attestazione e ai nomi visualizzati, ad esempio NameID, FQDN di UCCX e così via. Sebbene i campi e i nomi personalizzati possano essere applicabili in varie sezioni, i nomi delle regole attestazione e i nomi visualizzati vengono mantenuti standard in tutto per garantire la coerenza e per ottimizzare le procedure nella convenzione di denominazione.

Regola attestazione 2:

• Aggiungere un'altra regola di tipo Regola attestazione personalizzata con il nome Nome host completo di Cisco Identity Server e aggiungere il testo di questa regola.
                                

  c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "http://<ADFS Server FQDN>/ADFS/services/trust", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "<fully qualified hostname of IdS/UCCX>");

  
  
• Nel cluster Cisco Identity Server, tutti i nomi host completi sono quelli del nodo principale o del nodo del server di pubblicazione Cisco Identity Server.
• Il nome host completo di Cisco Identity Server> fa distinzione tra maiuscole e minuscole, quindi corrisponde esattamente (maiuscole/minuscole incluse) al nome FQDN di Cisco Identity Server.
• L' <FQDN server ADFS> fa distinzione tra maiuscole e minuscole, pertanto corrisponde esattamente (inclusa la distinzione tra maiuscole e minuscole) all'FQDN ADFS.

Passaggio 8. Fare clic con il pulsante destro del mouse sull'attendibilità componente e quindi scegliere Properties e scegliere il advanced scheda.

Passaggio 9. Come mostrato nell'immagine, scegliere SHA come SHA-256.

Passaggio 10. Clic OK.

Questi passaggi sono obbligatori dopo il passaggio 10.

Abilita asserzioni SAML firmate per attendibilità componente (Cisco IdS)

Passaggio 1. Clic Start e accedere a PowerShell per aprire windows powershell.

Passaggio 2. Aggiungere il cmdlet ADFS a PowerShell con il comando Add-PSSnapin Microsoft.Adfs.Powershell.

Passaggio 3. Eseguire il comando, Set-ADFSRelyingPartyTrust -TargetName -SamlResponseSignature "MessageAndAssertion" .

          

Nota: il passaggio 2. non è necessario se si utilizza ADFS 3.0 poiché il cmdlet è già installato come parte dell'aggiunta di ruoli e funzionalità.

Nota: la  rileva la distinzione tra maiuscole e minuscole, pertanto corrisponde (inclusa la distinzione tra maiuscole e minuscole) a quanto impostato nella scheda Identificatore delle proprietà Attendibilità componente.

Nota: da UCCX versione 12.0 Cisco IdS supporta SHA-256. L'attendibilità del componente utilizza SHA-256 per firmare la richiesta SAML e si aspetta la stessa risposta da ADFS.

Per una configurazione multidominio per ADFS federati

Nel caso della federazione in ADFS, in cui un ADFS in un particolare dominio fornisce l'autenticazione SAML federata per gli utenti in altri domini configurati, sono necessarie ulteriori configurazioni.

In questa sezione il termine ADFS primario si riferisce agli ADFS che devono essere utilizzati negli IdS. Il termine ADFS federato indica gli ADFS, i cui utenti possono accedere tramite IdS e quindi sono gli ADFS primari.

Configurazione ADFS federata

In ognuno degli ADFS federati è necessario creare la relazione di trust della relying party per gli ADFS primari e le regole attestazione configurate come indicato nella sezione precedente.

Configurazione ADFS primaria

Per gli ADFS primari, oltre all'attendibilità del componente per gli ID, è necessaria questa configurazione aggiuntiva.

Aggiungi Claim Provider Trust con ADFS a cui deve essere impostata la federazione.

Nell'attendibilità del provider di attestazioni, verificare che Pass through or Filter an Incoming Claim le regole sono configurate con l'opzione pass-through tutti i valori attestazione:

• ID nome
• Scegliere ID nome dal menu Incoming Claim Type dropbox
• Scegli Transient come opzione per il formato NameID in ingresso
• uid: attestazione personalizzata. Immettere il valore uid nel campo Incoming Claim Type dropbox
• user_principal: questa è un'attestazione personalizzata. Digitare il valore user_principal nel campo Incoming Claim Type dropbox

Nell'attendibilità del componente per gli ID, aggiungere Pass though or Filter an Incoming Claim regole con pass-through tutti i valori attestazione come opzione.

• NomeIDFromSottodominio
• Scegli ID nome da Incoming Claim Type dropbox
• Scegli Transient come opzione per il formato NameID in ingresso
• uid: attestazione personalizzata. Digitare il valore uid nel campo Incoming Claim Type dropbox
• user_principal: questa è un'attestazione personalizzata. Digitare il valore user_principal nel campo Incoming Claim Type dropbox

Rollover automatico dei certificati ADFS

Il rollover automatico dei certificati è supportato per UCCX 11.6.1 e versioni successive. (L'aggiornamento alla versione 14.0 della libreria Fedlet in UCCX 11.6 ha risolto il problema).

Autenticazione Kerberos (autenticazione integrata di Windows)

L'autenticazione integrata di Windows (IWA) fornisce un meccanismo per l'autenticazione degli utenti ma non consente la trasmissione delle credenziali in rete. Quando si attiva l'autenticazione integrata di Windows, funziona sulla base di ticket per consentire ai nodi di comunicare su una rete non protetta al fine di dimostrare la propria identità l'uno all'altro in modo sicuro. Consente agli utenti di accedere a un dominio dopo aver effettuato l'accesso ai computer Windows.

Nota: l'autenticazione Kerberos è supportata solo dalla versione 11.6 e successive.

Gli utenti di dominio già connessi al controller di dominio vengono connessi senza problemi ai client SSO senza che sia necessario immettere nuovamente le credenziali. Per gli utenti non di dominio, IWA ritorna a New Technology Local Area Network Manager (NTLM) e viene visualizzata la finestra di dialogo di accesso. La qualifica per gli ID con autenticazione IWA viene eseguita con Kerberos rispetto ad ADFS 3.0.

Passaggio 1. Aprire il prompt dei comandi di Windows ed eseguire come utente Admin per registrare il servizio HTTP con setspn comando setspn -s http/ \ .

Passaggio 2. Disabilita autenticazione basata su form e abilita l'autenticazione di Windows per i siti Intranet. Passa a ADFS Management > Authentication Policies > Primary Authentication > Global Settings > Edit. In Intranet verificare che sia selezionata solo l'opzione Autenticazione di Windows (deselezionare Autenticazione modulo).

Configurazione per il supporto di Microsoft Internet Explorer per IWA

Passaggio 1. Accertarsi che Internet Explorer > Advanced > Enable Integrated Windows Authentication è selezionato.

Passaggio 2. L'URL ADFS deve essere aggiunto a Security > Intranet zones > Sites  (winadcom215.uccx116.com è l'URL ADFS).

Passaggio 3. Accertarsi cheInternet Explorer > Security > Local Intranet > Security Settings > User Authentication - Logon  è configurato per utilizzare le credenziali di accesso per i siti Intranet.

Configurazione richiesta per Mozilla Firefox per il supporto IWA

Passaggio 1. Accedere alla modalità di configurazione di Firefox. Aprire Firefox e immettere about:config  nell'URL. Accetta la dichiarazione sui rischi.

Passaggio 2. Cerca ntlm  e abilitare network.automatic-ntlm-auth.allow-non-fqdn  e impostarlo su true.

Passaggio 3. Impostare la network.automatic-ntlm-auth.trusted-uris  al dominio o esplicitamente all'URL ADFS.

Configurazione richiesta per Google Chrome per il supporto IWA

Google Chrome in Windows utilizza le impostazioni di Internet Explorer, quindi configurare in Internet Explorer Tools > Internet Options o dal Pannello di controllo in Internet Options all'interno della sottocategoria Network and Internet.

Ulteriore configurazione per SSO

In questo documento viene descritta la configurazione dell'elemento IdP per l'SSO da integrare con l'elemento Cisco IdS. Per ulteriori informazioni, consultare le guide alla configurazione dei singoli prodotti:

• UCCX
• UCCE
• PCCE

Verifica

Questa procedura viene utilizzata per determinare se l'attendibilità del componente è stabilita correttamente tra Cisco IdS e IDP.

• Dal browser immettere l'URL https://<ADFS_FQDN>/adfs/ls/IdpInitiatedSignOn.aspx?loginToRp=<IDS_FQDN>
• ADFS fornisce il modulo di accesso. Questa opzione è disponibile quando la configurazione indicata è corretta.
• Se l'autenticazione ha esito positivo, il browser deve reindirizzare a https://<IDS_FQDN>:8553/ids/saml/response, quindi viene visualizzata una pagina con l'elenco di controllo.

Nota: la pagina Elenco di controllo visualizzata come parte del processo di verifica non è un errore ma una conferma della corretta creazione del trust.

Risoluzione dei problemi

Per la risoluzione dei problemi, consultare il documento https://www.cisco.com/c/en/us/support/docs/customer-collaboration/unified-contact-center-express/200662-ADFS-IdS-Troubleshooting-and-Common-Prob.html.

URL di bypass/recupero UCCX SSO

• Amministrazione Cisco Unified CCX
• Manutenzione di CCX unificato Cisco

Disabilita SSO

• GUI: Passa a CCX Administration > Single Sign-On (SSO) > Disable.
• CLI: set authmode non_sso (questo comando deve disabilitare l'SSO sia per Pub che Sub - può essere eseguito da entrambi i nodi UCCX in caso di cluster ad alta disponibilità).

Acquisizioni schermo

Amministrazione CCX - Non_SSO

Amministrazione CCX - SSO abilitato

Accesso Finesse - Non SSO

Accesso Finesse - SSO abilitato

CUIC - Non_SSO

CUIC - SSO abilitato