La información que contiene este documento se basa en estas versiones de software:

Transcripción

1 Contenido Introducción prerrequisitos Requisitos Componentes Utilizados Antecedentes Configurar Paso 1. Meta datos de la exportación SP de CUCM Paso 2. Meta datos de la descarga IDP de AD FS Paso 3. Disposición IdP Paso 4. Permiso SAML SSO Verificación Troubleshooting Introducción Este documento describe cómo configurar la solos conexión/acuerdo del proveedor de la identidad del lenguaje de marcado de la aserción de la Seguridad (SAML) (IdP) por el cluster con el servicio de la federación del Active Directory (AD FS). Requisitos Cisco recomienda que tenga conocimiento sobre estos temas: Administrador de las Comunicaciones unificadas de Cisco (CUCM) 11.5 o más adelante Administrador de las Comunicaciones unificadas de Cisco IM y versión 11.5 o posterior de la presencia Versión 2.0 del servicio de la federación del Active Directory Componentes Utilizados La información que contiene este documento se basa en estas versiones de software: Versión 2.0 del servicio de la federación del Active Directory como IdP Versión del administrador 11.5 de las Comunicaciones unificadas de Cisco Cisco IM y versión del servidor 11.5 de la presencia Antecedentes Para SAML SSO, necesidades de ser un círculo de la confianza entre el proveedor de servicio (SP) y el IdP. Esta confianza se crea como parte de la habilitación SSO, cuando se intercambia la confianza (meta datos). Descargue los meta datos de CUCM y los carga a IdP, descarga

2 semejantemente los meta datos de IdP y los carga a CUCM. CUCM anterior 11.5, nodo de origen genera el archivo de metadatos, también él recoge los archivos de metadatos de otros Nodos en el cluster. Agrega todos los archivos de metadatos a un solo archivo zip entonces presenta al administrador. El administrador tiene que desabrochar este archivo y disposición cada uno clasifía en el IdP. Por ejemplo, 8 archivos de metadatos para un cluster de 8 nodos. La solos conexión/acuerdo de SAML IdP por la característica del cluster se introduce a partir del Como parte de esta característica, CUCM genera un solo archivo de metadatos del proveedor de servicio para todos los Nodos CUCM y IMP en el cluster. El formato del nuevo nombre para el archivo de metadatos es <hostname>-single-agreement.xml Básicamente, un nodo crea los meta datos y los avanza a otros Nodos SP en el cluster. Esto habilita la facilidad del aprovisionamiento, del mantenimiento y de la Administración. Por ejemplo, archivos de metadatos 1 para un cluster de 8 nodos. El archivo de metadatos ancho del cluster hace uso del certificado multiservidor del tomcat que se asegura que el par clave esté utilizado sea lo mismo para todos los Nodos en el cluster. El archivo de metadatos también tiene una lista de URL del servicio al consumidor de la aserción (ACS) para cada los Nodos en el cluster. La versión 11.5 CUCM y de Cisco IM y de la presencia soporta ambos los modos SSO, clusteranchos (un archivo de metadatos por el cluster) y por el nodo (modelo existente). Este documento describe cómo configurar el modo cluster-ancho de SAML SSO con AD FS 2.0. La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando. Configurar Paso 1. Meta datos de la exportación SP de CUCM Abra a un buscador Web, login en CUCM como administrador, y navegue la sola muestra del tosystem >SAML encendido. Por abandono, agrupe el botón de radio ancho se selecciona. Haga clic la exportación todos los meta datos. El archivo de datos de los meta datos presentó al administrador en el nombre <hostname>-single-agreement.xml

3 Paso 2. Meta datos de la descarga IDP de AD FS Para descargar los meta datos de IdP, refiera al link <FQDN de ADFS>/federationmetadata/ /federationmetadata.xml Paso 3. Disposición IdP Tal y como se muestra en de la imagen, navegue a la confianza de confianza del partido de las naves de la Administración AD FS 2.0/de la relación de la confianza. El tecleo agrega la confianza de confianza del partido. Agregue el partido de confianza que el Asisitente de la confianza se abre tal y como se muestra en de la imagen, ahora haga clic en el comienzo.

4 Haga clic los datos de la importación sobre el partido de confianza de un archivo. Hojee los meta datos SP descargados de la página de configuración CUCM SAML SSO. Entonces haga clic después, tal y como se muestra en de la imagen: Teclee el nombre de la visualización y cualquier nota opcional para el partido de confianza. Haga clic después., tal y como se muestra en de la imagen:

5 Seleccione el permiso todos los usuarios de acceder este partido de confianza para permitir que todos los usuarios accedan este partido de confianza y después hagan clic después, tal y como se muestra en de la imagen: Bajo listo para agregar la página de la confianza, usted puede revisar las configuraciones para la confianza de confianza del partido, se ha configurado que. Ahora tecleo después, tal y como se muestra en de la imagen:

6 La página del final confirma que la confianza de confianza del partido fue agregada con éxito a la base de datos de la configuración AD FS. Desmarque el cuadro y haga clic cerca, tal y como se muestra en de la imagen: Haga clic con el botón derecho del ratón las confianzas de confianza del partido y haga clic en editan las reglas de la demanda, tal y como se muestra en de la imagen:

7 Ahora haga clic en agregan la regla., tal y como se muestra en de la imagen: Cuando el agregar transforma la regla de la demanda se abre, tecleo después con la plantilla predeterminada de la regla de la demanda envía los atributos LDAP como demandas, tal y como se muestra en de la imagen:

8 Regla de la demanda de la configuración del tecleo tal y como se muestra en de esta imagen. El atributo LDAP debe hacer juego con el atributo LDAP en configuración del directorio LDAP en el CUCM. Maneje el tipo saliente de la demanda como uid. Clic en Finalizar, tal y como se muestra en de la imagen: Agregue la regla de encargo para el partido de confianza. El tecleo agrega la regla. Selecto envíe las demandas usando una regla de encargo y después haga clic después, tal y como se muestra en de la imagen:

9 En la regla de la demanda de la configuración, teclee un nombre de la regla de la demanda entonces copian la regla de la demanda dada y el pasado en el campo de la regla de encargo en el Asisitente que modifica al calificador más namequalifier y del spname en la regla de la demanda. Clic en Finalizar., tal y como se muestra en de la imagen: Regla de la demanda: Tal y como se muestra en de la imagen, el tecleo se aplica entonces OK.

10 Paso 4. Permiso SAML SSO Abra a un buscador Web, login en CUCM como administrador, y navegue la sola muestra del tosystem >SAML encendido. Por abandono, agrupe el botón de radio ancho se selecciona. Haga clic el permiso Saml SSO, tal y como se muestra en de la imagen: Tal y como se muestra en de la imagen, el estallido para arriba notifica la advertencia para que el reinicio y la información del web server elijan el cluster SAML ancho SSO o el Por-nodo SAML SSO según el idp. Haga clic en Continue (Continuar). Los criterios para habilitar el SSO Cluster-ancho son que usted debe hacer un certificado multiservidor del tomcat desplegar ya. Haga clic la prueba para el certificado multiservidor del tomcat, tal y como se muestra en de la imagen:

11 Una vez que se confirma, todos los Nodos tienen certificado de servidor multi visualizan todos los Nodos tienen certificado de servidor multi, y después hacen clic después, tal y como se muestra en de la imagen: Tal y como se muestra en de la imagen, haga clic después. Hojee y seleccione los meta datos de IdP descargados. Haga clic los meta datos de IdP de la importación, tal y como se muestra en de la imagen:

12 La página confirma la importación tenida éxito para todos los servidores y después hace clic después, tal y como se muestra en de la imagen: Tal y como se muestra en de la imagen, haga clic después, desde ya exportado los meta datos SP de la página de configuración inicial de SAML SSO. CUCM tiene que estar en sincronización con el directorio LDAP. El Asisitente muestra a los usuarios administradores válidos configurados en el directorio LDAP. Seleccione al usuario y haga clic la prueba del funcionamiento SSO, tal y como se muestra en de la imagen: Tal y como se muestra en de la imagen, ingrese la identificación del usuario y la contraseña

13 respectiva una vez que indica. Se tiene éxito el surgir, tal y como se muestra en de la imagen confirma la prueba. Tal y como se muestra en de la imagen, clic en Finalizar para completar la configuración para habilitar el SSO.

14 La página mostrada en la imagen confirma que SAML EL SSO que habilita el proceso está iniciado en todos los servidores. Termine la sesión y inicie sesión de nuevo a CUCM usando las credenciales de SAML SSO. Navegue a la sola muestra del sistema >SAML encendido. Haga clic la prueba del funcionamiento SSO para otros Nodos en el cluster, tal y como se muestra en de la imagen: Verificación Use esta sección para confirmar que su configuración funciona correctamente. Confirme la prueba SSO es acertado para los Nodos que son SAML SSO habilitado. Navegue a la sola muestra del sistema >SAML encendido. El SSO acertado prueba las demostraciones que el estatus pasó.

15 Una vez que se activa SAML SSO, las aplicaciones y las aplicaciones de plataforma instaladas son mencionadas para la página de registro CUCM, tal y como se muestra en de esta imagen. Una vez que se activa SAML SSO, las aplicaciones y las aplicaciones de plataforma instaladas son mencionadas para IM y la página de registro de la presencia, tal y como se muestra en de esta imagen:

16 Troubleshooting En esta sección encontrará información que puede utilizar para solucionar problemas de configuración. Para fijar los registros SSO para hacer el debug de, utilizar el DEBUG del nivel del samltrace del comando set Recoja los registros SSO usando RTMT o de la ubicación del activelog /tomcat/logs/ssosp/log4j/*.log usando el CLI. El ejemplo para los registros SSO muestra los meta datos generados y que envían a otros Nodos