Configurer SSO avec SAML pour les consoles Multi-Org et MSP dans Umbrella

Introduction

Ce document décrit comment configurer l'authentification unique (SSO) avec SAML pour les consoles Multi-Org et MSP dans Umbrella.

Étendue et restrictions de la configuration SSO

• Cet article est spécifique à l'intégration d'une console Multi-Org ou MSP Umbrella à votre fournisseur SSO utilisant SAML.
• Cet article ne fournit pas d'étapes générales de configuration SAML. Pour une configuration générale, référez-vous à la documentation Enable Single Sign-On.
• La configuration SSO n'est pas disponible pour les comptes d'utilisateurs dans STC, MSSP, PPoV ou toute console utilisant la connexion Cisco CEC. Les utilisateurs qui se connectent à l'aide de Cisco CEC ne peuvent pas utiliser un autre fournisseur SSO.

SSO pour la console Multi-Org ou MSP

Les consoles Multi-Org et MSP ne prennent pas en charge la configuration SAML directement à partir de la console. SSO doit être activé au niveau de l'organisation enfant. Pour activer l'authentification unique pour un administrateur de console, procédez comme suit :

1. Créez une nouvelle organisation enfant nommée Authentification unique. Cette organisation reste vide, sauf pour les utilisateurs SSO.
2. Créez un nouvel utilisateur dans l'organisation Ouverture de session unique.
   • Cet utilisateur est requis pour la configuration SAML et doit également exister dans votre fournisseur d'identité.
   • SAML ne peut pas être configuré à l'aide d'un compte d'administrateur MSP ou Multi-Org, sauf si cet administrateur est également ajouté directement à l'organisation enfant.
3. Si des erreurs telles que « Fichier introuvable » apparaissent, assurez-vous que l'utilisateur actuellement connecté est un administrateur répertorié sous Admin > Comptes sur le tableau de bord de l'organisation où vous configurez l'authentification unique.
4. Connectez-vous au tableau de bord Umbrella en tant qu'utilisateur SSO.
5. Configurez SSO (SAML) dans l'organisation Single Sign On.
6. Invitez les administrateurs existants dans l'organisation « Ouverture de session unique » en lecture seule à partir du tableau de bord de l'organisation enfant.
   • Une fois acceptés, ces utilisateurs deviennent membres à la fois de la console de gestion et de cette organisation unique.
   • Ces utilisateurs doivent désormais se connecter via SSO et ne plus utiliser de mot de passe de compte.
     
     
     

     Avertissement : N'ajoutez pas d'utilisateur à plusieurs organisations enfant compatibles SSO. Si un utilisateur est ajouté à plusieurs organisations enfant compatibles SSO, il est verrouillé du tableau de bord jusqu'à ce qu'un autre administrateur le supprime de l'organisation supplémentaire.

Forum aux questions

Q : Puis-je utiliser mon propre SSO si j'ai un portail STC, MSSP ou partenaire ?

A : Non. Vous devez utiliser le portail des partenaires Cisco IT Okta. L'accès à Umbrella est déterminé par le niveau d'accès Okta. Les comptes Okta révoqués ou désactivés n'ont pas accès à Umbrella.

Q : L'authentification unique d'une organisation enfant s'applique-t-elle à toutes les connexions de l'utilisateur ?

A : Oui. L'utilisateur doit se connecter via SSO et ne peut accéder à aucune organisation sans s'authentifier auprès de SSO.

Q : Puis-je activer SSO sur plusieurs organisations enfant ?

A : Oui; toutefois, une seule organisation enfant doit être configurée pour l'authentification unique. Ajoutez des utilisateurs à l'organisation d'authentification unique en lecture seule pour appliquer l'authentification unique pour tous les comptes.

Q : Pourquoi lire uniquement ?

A : Cela n'est pas obligatoire, mais permet d'ajouter un compte à l'organisation sans pouvoir modifier les paramètres de cette organisation vide.

Q : Que se passe-t-il si un utilisateur est ajouté à une deuxième organisation avec SSO activé ?

A : L'utilisateur ne parvient plus à se connecter. Supprimez l'utilisateur d'au moins une organisation SSO ou contactez le support technique pour restaurer l'accès.

Q : Lors de la configuration de SAML, le test de vérification échoue et une erreur « FICHIER INTROUVABLE » s'affiche. Pourquoi ?

A : Cela se produit lorsque la configuration SAML est tentée à l'aide d'un compte MSP ou Admin multi-organisation. Effectuer la configuration SAML à l'aide d'un compte dans l'organisation Ouverture de session unique.