De OpenAM Identity Provider (IdP) voor Cisco Identity Service (IdS) installeren en configureren om SSO in te schakelen

Inleiding

Dit document beschrijft de configuratie op de OpenAM Identity Provider (IdP) om eenmalige aanmelding (SSO) in te schakelen.

Implementatiemodellen voor Cisco ID's

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Unified Contact Center Express (UCCX) versie 11.6 of Cisco Unified Contact Center Enterprise versie 11.6 of Packaged Contact Center Enterprise (PCCE) versie 11.6, indien van toepassing.

Opmerking: In dit document wordt verwezen naar de configuratie met betrekking tot de Cisco Identitify Service (IdS) en de Identity Provider (IdP). Het document verwijst naar UCCX in de screenshots en voorbeelden, maar de configuratie is vergelijkbaar met betrekking tot de Cisco Identitify Service (UCCX / UCCE / PCCE) en de IdP.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Installeren

Opmerking: In dit document wordt verwezen naar OpenAM-versie 10.0.1 als onderdeel van de kwalificatie met SSO

Systeemvereisten

Installeren

OpenAM-software verkrijgen

• Download OpenAM 10.0.1 releases van https://backstage.forgerock.com/downloads/OpenAM/OpenAM%20Enterprise/10.0.1/OpenAM%2010.0.1/zip#list
• Voor elke release van de OpenAM-kernservices kunt u het volledige pakket downloaden als een .zip-archief, alleen het OpenAM .war-bestand, alleen de administratieve hulpmiddelen als een .zip-archief
• Nadat u het archief van het hele pakket hebt uitgepakt, krijgt u een opensso-directory met een README, een set licentiebestanden en de directory's

Voorwaarden

Zorg ervoor dat u de vereiste software voor OpenAM-kernservices hebt voordat u deze installeert,

• Een Java 6 runtime omgeving
• Apache Tomcat installeren als webapplicatie container
• OpenAM-kernservices vereisen een minimale Java Virtual Memory (JVM)-heap van 1 GB en een permanente generatiegrootte van 256 MB. Pas de JVM-opties toe wanneer u JAVA_OPTS instelt in het catalina-bestand vóór het begin van de tomcat-toepassingsserver - -Xmx1024m -XX:MaxPermSize=256m

Bijvoorbeeld set JAVA_OPTS=%JAVA_OPTS% -Xmx1024m -XX:MaxPermSize=256m -Xms512m

• Installeer Microsoft Active Directory als een Data Store met weinig gebruikers.

OpenAM-webtoepassing installeren

Het bestand deployable-war/opensso.war bevat alle OpenAM-servercomponenten en -monsters onder de opensso-directory.

OpenAM implementeren op Tomcat Container

Kopieer het bestand opensso.war naar de directory waar de webtoepassingen van tomcat worden opgeslagen. Wijzig de naam van het bestand opensso.war in openam.war. Start de Tomcat-service opnieuw.

Controleer het eerste configuratiescherm in uw browser op http://<FQHN>:8080/openam

OpenAM-service uitvoeren

Openam is een eenvoudige webapplicatie die wordt gehost in een tomcat-server. Start dus gewoon uw tomcat-server en heb dus toegang tot de OpenAM-webservice.

Configureren

OpenAM-configurator

Het aangepaste configuratieproces van OpenAM maakt het mogelijk om veel algemene configuratieopties met gemak in te stellen, dus met meer moeite vóór de configuratie bespaart het configuratiestappen die later vereist zijn.

Algemene instellingen

Klik op Nieuwe configuratie maken en kies het wachtwoord voor de standaardbeheerdersaccount (amAdmin). Het wachtwoord moet minimaal 8 tekens lang zijn.

Zodra een geldig wachtwoord twee keer is ingevoerd, verschijnt de volgende knop en kan de configuratie worden voortgezet.

Serverinstellingen

Standaard is de server-URL de volledig gekwalificeerde domeinnaam van de server.

Opmerking: Het is belangrijk dat de gebruiker die Apache Tomcat uitvoert, schrijftoegang heeft tot de configuratiemap. Hierdoor is ~/openam/config geschikt voor dit doel. Ondersteunde Platform Locales zijn en_US (Engels), de (Duits), es (Spaans), fr (Frans), ja (Japans), zh_CN (Vereenvoudigd Chinees) of zh_TW (Traditioneel Chinees).

Instellingen voor configuratiegegevensopslag

Voor de configuratie van één server hoeven deze instellingen niet te worden gewijzigd.

Instellingen voor gebruikersgegevensopslag

De instellingen voor de gebruikersgegevensopslag verbinden OpenAM met de gegevensopslag van Microsoft Active Directory.

• Type gebruikersgegevens: Active Directory met host en poort
• SSL/TLS ingeschakeld: niet ingeschakeld
• Directorynaam: <Domeinnaam van de AD-server>
• Haven: 389
• Achtervoegsel wortel: dc=cisco, dc=com
• Aanmeldings-ID: cn=<AD gebruikersnaam>, cn=gebruikers, dc=cisco, dc=com
• Wachtwoord: <AD-gebruikerswachtwoord>

Opmerking: de configurator biedt geen optie om door te gaan totdat alle instellingen correct zijn opgegeven en de configurator met succes verbinding heeft gemaakt met de Active Directory-instantie.

Siteconfiguratie

In het scherm Site Configuration kunt u OpenAM instellen als onderdeel van een site waar de belasting over meerdere OpenAM-servers wordt verdeeld. Voor de eerste OpenAM-installatie accepteert u de standaardinstellingen.

Agent-informatie

Geef in het scherm Agent-informatie een wachtwoord van ten minste 8 tekens op dat door de beleidsagenten moet worden gebruikt om verbinding te maken met OpenAM.

Samenvatting

Controleer de gegevens en klik op Configuratie maken

Voortgang configuratie

Het scherm Voortgang configuratie toont de voortgang van de installatie. Alle uitvoer op dit scherm en fouten, worden geschreven naar het bestand: ~ /openam/config/install.log.

Configuratie voltooid

OpenAM als IdP configureren

• Klik op Doorgaan naar Aanmelden of Toegang krijgen via URL http://<FQDN of OpenAM>:8080/openam, en vervolgens aanmelden als OpenAM-beheerder
• Wanneer u OpenSSO Enterprise voor de eerste keer opent, wordt u naar de Configurator geleid om de eerste OpenSSO Enterprise-configuratie uit te voeren
• Standaardconfiguratie selecteren
• U moet de wachtwoorden voor OpenAMserver configureren
• De wachtwoorden configureren en inloggen op OpenAM server UI

Configuratie van Circle of Trust

Navigeer naar het tabblad Federatie en klik op de knop Nieuw onder het gedeelte Cirkel van vertrouwen

Creëer een vertrouwenscirkel met een unieke naam voor de vertrouwenscirkel en klik op OK

Opmerking: de serviceprovider en de IdP moeten zich in dezelfde vertrouwenscirkel bevinden om SAML SSO te laten werken.

Hosted Identity Provider maken

Blader naar het tabblad Gemeenschappelijke taken en klik op Gehoste identiteitsprovider maken en maak een gehoste IdP (laat de standaard geconfigureerde waarden staan en sla de instellingen op).

De Circle of Trust die eerder is gemaakt, wordt vermeld

Ondertekeningssleutel configureren

Navigeer naar het tabblad Federatie en klik op de gehoste identiteitsprovider die is toegevoegd onder het gedeelte Entity Providers. Navigeer naar de sectie Assertion Content en configureer de waarde van het veld Ondertekenen als test onder de sectie Certificate Aliases. Dit is het certificaat dat zou worden gebruikt om de SAML-bewering te ondertekenen.

Entiteit van de importserviceprovider

Navigeer naar het tabblad Federatie en klik op Entiteit importeren... knop onder Entiteit Providers sectie.

Upload het Entiteitsbestand van de Serviceverlener (sp.xml) en sla de pagina op.

Ondertekening verzoek/antwoord

Klik op de geïmporteerde entiteit en schakel ondertekening in voor verzoek/antwoord

Toewijzing van kenmerken

Navigeer naar Assertion Processing en voeg een toewijzingsattribuut toe voor uid en user_principal volgens de Directory- en OpenAM-instellingen. Klik op Opslaan.

Opmerking: Zowel de kenmerken uid en user_principal zijn verplicht - aangezien Service Provider (SP) de identiteit van een geverifieerde gebruiker identificeert met behulp van deze. Zorg er ook voor dat de attributen sAMAaccountName en userPrincipalName ook worden toegewezen in de Attribuut-editor van Active Directory-gebruikerseigenschappen.

Kring van vertrouwen bewerken

Navigeer naar het tabblad Federatie en klik op Circle of Trust toegevoegd en zorg ervoor dat u de IdP (OpenAm-server) en Service Provider entiteit verplaatst van Beschikbaar naar Geselecteerde secties onder Entity Providers sectie. Hiermee worden IdP en Service Provider toegewezen aan dezelfde Circle of Trust.

OpenAM IdP-metagegevens downloaden

U kunt het IdPmetadatafile van OpenAM-server downloaden met de URL http://<FQDN of OpenAM>:8080/openam/saml2/jsp/exportmetadata.jsp?entityid=http://<FQDN of OpenAM>:8080/openam&realm=

Voorbeeld van OpenAM Metadata XML

Verdere configuratie voor SSO:

Dit document beschrijft de configuratie vanuit het IdP-aspect voor SSO om te integreren met de Cisco Identity Service. Raadpleeg voor meer informatie de gidsen voor de afzonderlijke productconfiguratie:

• UCCX
• UCCE
• PCCE