Cisco Unified Communications Manager システム設定ガイド、リリース 12.5（1）SU4 ～ 12.5（1）SU7

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Unified Communications Manager システム設定ガイド、リリース 12.5（1）SU4 ～ 12.5（1）SU7

Chapter Title

シングル サインオンの設定

検索結果

Updated:
2022年12月14日水曜日

章のタイトル： シングル サインオンの設定

シングルサインオンの設定

SAML SSO ソリューションについて


重要
Cisco Jabber を Cisco Webex Meeting Server と共に展開する場合、Unified Communications Manager と Webex Meeting Server は同じドメインに存在している必要があります。

SAML は XML ベースのオープン規格のデータ形式であり、いずれかのアプリケーションにサインインした後に、管理者は定義された一連のシスコのコラボレーション アプリケーションにシームレスにアクセスできます。SAML では、信頼できるビジネス パートナー間で、セキュリティに関連した情報交換を記述します。これは、サービス プロバイダ（例：Unified Communications Manager）がユーザの認証に使用する認証プロトコルです。SAML により、ID プロバイダー（IdP）とサービス プロバイダーの間で、セキュリティ認証情報を交換できます。

SAML SSO は SAML 2.0 プロトコルを使用して、シスコのコラボレーション ソリューションのドメイン間と製品間で、シングル サインオンを実現しています。SAML 2.0 は、Cisco アプリケーション全体で SSO を有効にし、Cisco アプリケーションと IdP 間でフェデレーションを有効にします。SAML 2.0 では、高度なセキュリティ レベルを維持しながら、シスコの管理ユーザが安全なウェブ ドメインにアクセスして、IdP とサービス プロバイダーの間でユーザ認証と承認データを交換できます。この機能が安全なメカニズムを提供していることで、さまざまなアプリケーションにわたり、共通の資格情報や関連情報を使用します。

SAML SSO の管理者権限は、シスコのコラボレーション アプリケーションでローカルに設定されたロールベース アクセス コントロール（RBAC）に基づき認証されます。

SAML SSO は、IdP とサービス プロバイダーの間のプロビジョニング プロセスの一部として、メタデータと証明書を交換することで信頼の輪（CoT）を確立します。サービス プロバイダーは IdP のユーザ情報を信頼しており、さまざまなサービスやアプリケーションにアクセスできるようにします。


重要
サービス プロバイダーが認証にかかわることはありません。SAML 2.0 では、サービス プロバイダーではなく、IdP に認証を委任します。

クライアントは IdP に対する認証を行い、IdP はクライアントにアサーションを与えます。クライアントはサービス プロバイダーにアサーションを示します。CoT が確立されているため、サービス プロバイダーはアサーションを信頼し、クライアントにアクセス権を与えます。

SAML SSO 設定タスクフロー

SAML SSO 用にユニファイドコミュニケーションマネージャを設定するには、次のタスクを実行します。

始める前に

SAML SSO の設定では、ユニファイドコミュニケーションマネージャを設定するのと同時にアイデンティティプロバイダー (IdP) を設定する必要があります。IdP 固有の構成例については、以下を参照してください。


（注）  

上記のリンクは単なる例です。公式なマニュアルについては、IdP のマニュアルを参照してください。

手順

  コマンドまたはアクション 目的
ステップ 1

Cisco Unified Communications Manager からの UC メタデータのエクスポート

信頼関係を作成するには、ユニファイドコミュニケーションマネージャと IdP の間でメタデータファイルを交換する必要があります。
ステップ 2

ID プロバイダ（IdP）での SAML SSO の設定

以下のタスクを実行します。

  • 信頼関係の輪を完了するために、ユニファイドコミュニケーションマネージャからエクスポートされた UC メタデータファイルをアップロードします。

  • IdP での SAML SSO の設定

  • IdP メタデータファイルをエクスポートします。このファイルは、ユニファイドコミュニケーションマネージャにインポートされます。
ステップ 3

Cisco Unified Communications Manager での SAML SSO の有効化

IdP メタデータをインポートし、ユニファイドコミュニケーションマネージャで SAML SSO を有効にします。

ステップ 4

Cisco Tomcat サービスの再起動

SSO の有効化の前後には、SSO が有効になっているすべてのクラスタノードで Cisco tomcat サービスを再起動する必要があります。

ステップ 5

SAML SSO 設定の検証

SAML SSO が正常に設定されていることを確認します。

Cisco Unified Communications Manager からの UC メタデータのエクスポート

サービスプロバイダー (ユニファイドコミュニケーションマネージャ) から UC メタデータファイルをエクスポートするには、次の手順を使用します。信頼関係の輪を構築するために、メタデータファイルが Id プロバイダー (IdP) にインポートされます。

手順

ステップ 1

Cisco Unified CM Administration で、[システム（System）] > [SAMLシングルサインオン（SAML Single Sign-On）] を選択します。

ステップ 2

[SAML シングル サインオン（SAML Single Sign-On）] ウィンドウの [SSO モード（SSO Mode）] フィールドで、以下のいずれかのオプションを選択します。

  • [クラスタ全体（Cluster wide）]：クラスタで 1 つの SAML 合意。
    （注）   

    このオプションを選択する場合は、クラスタ内のすべてのノードの tomcat サーバの証明書が同じであることを確認します。これは、マルチサーバ SAN 証明書です。

  • ノードごと: 各ノードには個別の SAML 契約があります。
ステップ 3

[ SAML シングルサインオン (SAML Single sign-on )] ウィンドウで、[証明書 (Certificate )] フィールドのオプションのいずれかを選択します。

  • システムで生成された自己署名証明書の使用
  • tomcat 証明書の使用
ステップ 4

[すべてのメタデータのエクスポート（Export All Metadata）] をクリックして、メタデータファイルをエクスポートします。

（注）   

ステップ3で [クラスタ全体 (cluster wide )] オプションを選択すると、クラスタのダウンロード用に1つのメタデータ XML ファイルが表示されます。ただし、[ Per node ] オプションを選択した場合は、クラスタの各ノードに対して1つのメタデータ XML ファイルがダウンロード対象として表示されます。

次のタスク

IdP で次の作業を完了します。

  • ユニファイドコミュニケーションマネージャからエクスポートされた UC メタデータファイルをアップロードします。

  • IdP での SAML SSO の設定

  • IdP メタデータファイルをエクスポートします。このファイルは、信頼関係の輪を完了するために、ユニファイドコミュニケーションマネージャにインポートされます。

Cisco Unified Communications Manager での SAML SSO の有効化

サービスプロバイダー (ユニファイドコミュニケーションマネージャ) で SAML SSO を有効にするには、次の手順を実行します。このプロセスには、IdP メタデータのユニファイドコミュニケーションマネージャサーバへのインポートが含まれます。


重要
シスコでは、SAML SSO を有効または無効にした後に、Cisco tomcat サービスを再起動することを推奨しています。

（注）  

SAML SSO を有効化または無効化した後は、Cisco CallManager Admin、Unified CM IM and Presence Administration、Cisco CallManager Serviceability、および Unified IM and Presence Serviceability サービスが再起動されます。

始める前に

この手順を完了する前に、次のことを確認してください。

  • IdP からエクスポートされたメタデータファイルが必要です。

  • エンド ユーザ データが Unified Communications Manager データベースに同期されていることを確認します。

  • Unified Communications Manager IM and Presence Cisco Sync Agent サービスが、正常にデータの同期を完了していることを確認します。[Cisco Unified CM IM and Presence の管理（Cisco Unified CM IM and Presence Administration）] でこの検査のステータスを確認するには、[診断（Diagnostics）] > [システム トラブルシュータ（System Troubleshooter）] を選択します。データ同期が正常に完了した場合は [Sync Agent が関連データ（デバイス、ユーザ、ライセンス情報など）を使用して同期したことを確認する（Verify Sync Agent has sync'ed over relevant data (e.g. devices, users, licensing information)）] に [テスト合格（Test Passed）] という結果が表示されます

  • Cisco Unified Administration へのアクセスを可能にするために、Standard CCM Super Users グループに少なくとも 1 人の LDAP 同期済みユーザが追加されている。エンド ユーザ データの同期と LDAP 同期済みユーザのグループへの追加の詳細については、『Cisco Unified Communications Manager アドミニストレーション ガイド』の「システムの設定」および「エンド ユーザの設定」のセクションを参照してください。

手順

ステップ 1

Cisco Unified CM Administration で、[システム（System）] > [SAML シングル サインオン（SAML Single Sign-On）] を選択します。

ステップ 2

[SAML SSOの有効化（Enable SAML SSO）] をクリックして、[続行（Continue）] をクリックします。

すべてのサーバ接続が再起動されることを伝える警告メッセージが示されます。
ステップ 3

クラスタ全体の SSO モードを設定している場合は、[マルチサーバー Tomcat証明書をテストする（Test for Multi server tomcat certificate）] ボタンをクリックします。それ以外の場合は、このステップを省略できます。

ステップ 4

[次へ（Next）] をクリックします。

ダイアログボックスが開き、ここで IdP メタデータをインポートできます。IdP とサーバの間の信頼関係を設定するには、IdP から信頼メタデータファイルを取得して、それをすべてのサーバにインポートする必要があります。

ステップ 5

IdP からエクスポートしたメタデータファイルをインポートします。

  1. [参照 (Browse )] をクリックして、エクスポートした IdP メタデータファイルを見つけて選択します。

  2. [IdP メタデータのインポート（Import IdP Metadata）] をクリックします。

  3. [次へ（Next）] をクリックします。

  4. [サーバーメタデータをダウンロードしてIdPにインストール（Download Server Metadata and Install on IdP）] 画面で [次へ（Next）] をクリックします。

    （注）   

    [次へ（Next）] ボタンは、IdP メタデータファイルがクラスタ内の 1 つ以上のノードに正常にインポートされた場合にのみ有効になります。

ステップ 6

接続をテストし、設定を完了します。

  1. [エンドユーザの設定（End User Configuration）] ウィンドウで、[権限情報（Permissions Information）] リストボックスから、LDAP で同期され、"標準 CCM スーパーユーザ"としての権限を持つユーザを選択します。

  2. [テストを実行（Run Test）] をクリックします。

    IdP ログイン ウィンドウが表示されます。

    （注）   

    テストが正常に完了するまでは、SAML SSO を有効化できません。

  3. 有効なユーザ名とパスワードを入力します。

    認証が成功すると、次のメッセージが表示されます。

    SSO テストに成功しました

    このメッセージが表示されたら、ブラウザ ウィンドウを閉じます。

    認証に失敗するか、認証に 60 秒以上かかる場合は、"ログインに失敗しました（Login Failed）"というメッセージが IdP ログイン ウィンドウに表示されます。次のメッセージが [SAMLシングル サインオン（SAML Single Sign-On）] ウィンドウに表示されます。

    SSO Metadata Test Timed Out

    IdP へのログインを再度試行するには、別のユーザを選択して別のテストを実行します。

  4. [完了（Finish）] をクリックして、SAML SSO の設定を完了します。

    SAML SSO が有効になり、SAML SSO に参加しているすべての Web アプリケーションが再起動されます。Web アプリケーションが再起動するまでに 1 ～ 2 分かかることがあります。

Cisco Tomcat サービスの再起動

SAML シングルサインオンの有効化または無効化の前後には、シングルサインオンが実行されているすべての Cisco Unified CM クラスタノードと IM and Presence Service クラスタノードで、Cisco Tomcat サービスを再起動します。

手順

ステップ 1

コマンドライン インターフェイスにログインします。
ステップ 2

utils service restart Cisco Tomcat CLI コマンドを実行します。

ステップ 3

シングル サインオンが有効化されているすべてのクラスタ ノードで、この手順を繰り返します。

SAML SSO 設定の検証

サービスプロバイダー (ユニファイドコミュニケーションマネージャ) と IdP の両方で SAML SSO を設定した後、ユニファイドコミュニケーションマネージャで次の手順を使用して、設定が機能していることを確認します。

始める前に

次の内容を確認します。

  • Unified CM Administration の [SAMLシングルサインオンの設定（SAML Single Sign-On Configuration）] ウィンドウに、IdP メタデータ信頼ファイルが正常にインポートされたことが表示されます。

  • サービスプロバイダーのメタデータファイルは、IdP にインストールされます。

手順

ステップ 1

Cisco Unified CM Administration のユーザ インターフェイスで、[システム（System）] > [SAMLシングルサインオン（SAML Single Sign-On）] を選択して [SAMLシングルサインオンの設定（SAML Single Sign-On Configuration）] ウィンドウを開き、[次へ（Next）] をクリックします。

ステップ 2

[有効な管理者のユーザ名（Valid Administrator Usernames）] 領域から管理ユーザを選択し、[SSO テストの実行…（Run SSO Test…）] ボタンをクリックします。

（注）   
テスト用のユーザには管理者権限が必要であり、IdP サーバではユーザとして追加されています。[Valid Administrator Usernames（有効な管理者のユーザ名）] 領域には、テストの実行を指示できるユーザのリストが表示されます。
テストが成功すると、SAML SSO が正常に設定されます。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ