La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.
Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).
In questo documento viene descritta la configurazione di PingFederate Identity Provider (IdP) per abilitare Single Sign-On (SSO).
Modelli di distribuzione Cisco IdS
| Prodotto | Implementazione |
| UCCX | Coresidente |
| PCCE | Coresidente con CUIC (Cisco Unified Intelligence Center) e LD (Live Data) |
| UCCE |
Coresidenti con CUIC e LD per installazioni 2k. Standalone per installazioni a 4k e 12k. |
Cisco raccomanda la conoscenza dei seguenti argomenti:
Nota: Questo documento fa riferimento alla configurazione di Cisco Identify Service (IdS) e del provider di identità (IdP). Il documento fa riferimento a UCCX negli screenshot ed esempi, tuttavia la configurazione è simile a quella di Cisco Identify Service (UCCX/UCCE/PCCE) e dell'IdP.
Il documento può essere consultato per tutte le versioni software o hardware.
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Estrarre il file ZIP di distribuzione o utilizzare un programma di installazione specifico della piattaforma per installare PingFederate.
Estrarre il file ZIP di distribuzione in una directory di installazione.
Avviso: Per evitare problemi futuri con gli aggiornamenti automatici, non rinominare la cartella pingfederate installata. Se si installano più istanze di PingFederate nello stesso computer, ad esempio in determinati scenari di clustering del server, installare ogni istanza in un percorso diverso o rinominare la cartella padre per installare una struttura di file parallela nello stesso percorso.
Fare doppio clic sul file exe e seguire le istruzioni di installazione








Se si installa PingFederate con uno dei programmi di installazione specifici della piattaforma, PingFederate viene configurato per l'esecuzione come servizio e viene avviato automaticamente al termine del processo di installazione.
Se si installa PingFederate con un file ZIP di distribuzione, eseguire lo script per avviare PingFederate manualmente.
(Windows) <pf_install>/pingfederate/bin/run.bat
(Unix/Linux) <pf_install>/pingfederate/bin/run.sh
Attendi il completamento dello script - il processo di avvio viene completato quando viene visualizzato questo messaggio vicino alla fine della sequenza:
PingFederate avviato tra <X>s:<Y>ms
L'interfaccia utente dell'amministratore di PingFederate, la console di amministrazione, è basata su un sistema di schermate di controllo simili a procedure guidate. Avviare la console di amministrazione PingFederate e utilizzare l'installazione guidata iniziale per completare la configurazione delle impostazioni di federazione delle identità. È inoltre possibile connettere PingFederate a PingOne per installare una potente soluzione ibrida in sede e basata su cloud.
Per accedere alla console di amministrazione:
Avviare il browser e passare a https://<FQHN>:9999/pingfederate/app (dove <FQHN> è il nome host completo del server in cui è installato PingFederate).
Nota: il numero di porta 9999 è impostato per default. È possibile modificare questa impostazione tramite le proprietà PingFederate.


Fare clic su Avanti.

È necessario acquistare o richiedere una licenza di sviluppo all'indirizzo pingidentity.com, caricare il file della licenza e fare clic su Avanti

Impostare URL BASE e ID ENTITÀ e fare clic su Avanti

Selezionare IDENTITY PROVIDER e fare clic su Avanti

La connessione ad Active Directory può essere eseguita in un secondo momento. Fare clic su Avanti

Impostare la password dell'amministratore e fare clic su Avanti

Confermare e fare clic su Avanti

Fare clic su Fine

Fare clic su Configurazione server > Gestione certificati >Firma e certificati XML

Fare clic su Crea nuovo

Fare clic su Avanti.


Fare clic su Esporta
Fare clic su Configurazione server > IMPOSTAZIONI DI SISTEMA > Archivi dati

Fare clic su Aggiungi nuovo archivio dati

Scegliere LDAP e fare clic su Avanti

Immettere i valori e fare clic su Avanti

Fare clic su Save (Salva) dopo la verifica.
Fare clic su Configurazione server > AUTENTICAZIONE > Convalide credenziali password

Fate clic su Crea nuova variante (Create New Instance).

Selezionare Convalida credenziali password nome utente LDAP come TYPE. Fare clic su Next (Avanti).

Selezionare l'archivio dati LDAP e immettere la base di ricerca, il filtro di ricerca e l'ambito di ricerca. Fare clic su Next (Avanti).

Fare clic su Avanti.

Verificate le impostazioni e fate clic su Fine (Done).
Fare clic su Configurazione server > IMPOSTAZIONI DI SISTEMA > Impostazioni server

Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Fare clic su Next (Avanti).
Nota: in questa sezione è possibile aggiungere o modificare la password dell'utente.

Selezionare i ruoli e i protocolli appropriati. Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Selezionare il certificato di firma e l'algoritmo di firma creato in precedenza come parte della configurazione del certificato. Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Verificare le impostazioni e fare clic su Salva.

Fare clic su IdP Configuration > APPLICATION INTEGRATION > Adapters

Fate clic su Crea nuova variante (Create New Instance).

Scegliere HTML Form IDP Adapter. Fare clic su Next (Avanti).

Fare clic su Aggiungi una nuova riga a 'Convalida credenziali' e selezionare la Convalida LDAP creata in precedenza come ISTANZA CONVALIDA CREDENZIALI PASSWORD e fare clic su Aggiorna. Fare clic su Avanti.

Aggiungere i contratti come illustrato. Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Fare clic su Configura contratto scheda.

Aggiungere un'origine attributo e selezionare l'archivio LDAP creato in precedenza. Fare clic su Next (Avanti).

Mappare gli attributi. Fare clic su Next (Avanti).

Fare clic su Next (Avanti).

Verificate le impostazioni e fate clic su Fine (Done).
Creazione di nuove connessioni SP

Fare clic su Next (Avanti).

Fare clic su Avanti.
Scarica il file xml dei metadati del provider di servizi da Cisco Identity Service Admin > Impostazioni > Attendibilità IdS > Scarica metadati

Caricare il file XML dei metadati del provider di servizi in PingFederate.

Scegliere il file xml scaricato e fare clic su Avanti

Fare clic su Avanti.

Fare clic su Avanti.

Fare clic su Configura SSO browser

Fare clic su Avanti.
Nota: Il logout singolo (SLO) non è supportato da Cisco Identity Service (IdS) nella versione 11.6 e non è selezionato.

Fare clic su Avanti.

Fare clic su Configura creazione asserzioni

Fare clic su Avanti.

Avviso: Questi attributi sono obbligatori per l'interoperabilità di Cisco Identity Service (IdS) con PingFederate.
|
Contratto attributo
|
Scopo
|
|---|---|
|
SAML_OGGETTO |
Utilizzato dal filtro di ricerca PingFederate per verificare se il valore mappato è soddisfatto |
| SAML_AUTHN_CTX | Utilizzato nella risposta SAML per indicare il contesto di autenticazione 'PasswordProtectedTransport' |
| FORMATO_NOME_SAML | Utilizzato nella risposta SAML per indicare il formato ID nome transitorio SAML 2.0 |
| uid | Utilizzato da Cisco IdS per identificare l'utente autenticato |
| user_principal | Utilizzato da Cisco IdS per identificare il nome completo (ad esempio ID + dominio) dell'utente autenticato |
L'amministratore può personalizzare le alternative al formato del nome tramite il file di configurazione custom-name-formats.xml disponibile in questa directory:
<pf_install>/pingfederate/server/default/data/config-store.
Per eseguire l'SSO con l'identificatore del nome transitorio, aggiungere l'elemento xml nella sezione saml2-subject-name-formats: <con:item name="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">urn:oasis:names:tc:SAML:2.0:nameid-format:transient</con:item>
Fare clic su Avanti.

Fare clic su Mappa nuova istanza adattatore

Mappare l'adattatore IdP del modulo HTML creato in precedenza. Fare clic su Avanti.

Fare clic su Avanti.

Assicurarsi che i valori siano impostati su
|
Contratto attributo
|
Origine
|
Valore
|
|---|---|---|
|
SAML_OGGETTO |
Adattatore |
username Nota molto importante: Il valore utilizzato per questa impostazione deve corrispondere a quello utilizzato nell'impostazione del filtro LDAP (sezione #3.1.3.2. Configurazione istanza) Nota: 'username' è utilizzato perché il filtro utilizzato era sAMAccountName=${username} |
| SAML_AUTHN_CTX | testo |
urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport |
| FORMATO_NOME_SAML | testo | urn:oasis:names:tc:SAML:2.0:nameid-format:transient |
| uid | Adattatore | uid |
| user_principal | Adattatore | user_principal |
Fare clic su Avanti.


Verificate le impostazioni e fate clic su Fine (Done)

Fare clic su Configura impostazioni protocollo

Aggiungere l'endpoint SSO di binding POST. Fare clic su Avanti.

Fare clic su Avanti.

Nota: Cisco IdS garantisce che il messaggio SAML sia 'firmato' e quindi non selezionare 'FIRMA SEMPRE L'ASSERZIONE SAML'. PingFederate firmerebbe 'SAML assertion' o 'SAML response', ma non entrambi.
Fare clic su Avanti.

Nota: Cisco IdS non supporta il flusso SAML crittografato. Scegliere 'NONE' per l'impostazione 'Crittografia'.
Fare clic su Avanti.

Verificate le impostazioni e fate clic su Fine (Done)

Scegliere Configura credenziali

Selezionare CERTIFICATO DI FIRMA creato in precedenza. In caso contrario, è possibile fare clic su Gestisci certificati per creare un certificato.
Nota:Cisco IdS non supporta RSA SHA256 per la firma della risposta SAML e pertanto viene utilizzato 'RSA SHA1'.
Fare clic su Avanti.

Fare clic su Gestisci impostazioni verifica firma

Fare clic su Avanti.

Fare clic su Gestisci certificati per importare i certificati dall'SP.

Fare clic su Importa per importare un certificato.

Fare clic su Fine

Verificate il riepilogo e fate clic su Fine (Done)




Verificare il riepilogo e fare clic su Salva.

Fare clic su Configurazione server > FUNZIONI AMMINISTRATIVE > Esportazione metadati

Fare clic su Avanti.

Selezionare la connessione SP creata e fare clic su Avanti

Selezionare il certificato metadati creato e ALGORITMO DI FIRMA come RSA SHA256. Fare clic su Avanti

Fare clic su Esporta e salva il file nel sistema locale.

|
Problema
|
Strumento
|
Possibile causa
|
|---|---|---|
| Caricamento dei metadati PingFederate non riuscito nella pagina IdS Admin | editor di file di testo |
Verificare che il file XML dei metadati non contenga le voci dello spazio dei nomi 'md'. |
| Flusso SAML non riuscito | Tracer SAML | Verificare se 'StatusCode' indica 'Success', ad esempio <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" />
|
| Flusso SAML non riuscito | Tracer SAML | Controllare l'elemento <saml:AuthnContextClassRef> - il relativo valore deve essere urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
Se il relativo valore è impostato su urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified, verificare se il contratto SAML_AUTHN_CTXcontract è configurato e mappato correttamente. |
| Flusso SAML non riuscito | Tracer SAML |
Controllare l'elemento <saml:AttributeStatement>. Deve essere presente e contenere elementi figlio che corrispondono a 'uid' e 'user_principal' Se non viene trovato, controllare le impostazioni 'Creazione asserzioni' seguite dalle impostazioni 'Evasione contratto' per verificare che gli attributi del contratto siano definiti e mappati correttamente |
| Flusso SAML non riuscito | Tracer SAML |
Verificare la presenza di un messaggio 'Firma non valida' nei log Cisco IdS o PingFederate. Se confermato, ristabilire il trust metadati tra IdS e PingFederate |
| Flusso SAML non riuscito | Tracer SAML |
Controllare le condizioni temporali, l'ora in cui Cisco IdS ha ricevuto la risposta SAML deve essere compresa tra i tempi indicati in <saml:Conditions NotBefore="2016-12-18T07:24:10.191Z" NotOnOrAfter="2016-12-18T07:34:10.191"> |
In questo documento viene descritta la configurazione dell'elemento IdP per l'SSO da integrare con Cisco Identity Service. Per ulteriori informazioni, consultare le guide alla configurazione dei singoli prodotti:
Feedback