Installeer en configureer de PingFederate Identity Provider voor Cisco Identity Service om SSO in te schakelen

Inleiding

Dit document beschrijft de configuratie op de PingFederal Identity Provider (IdP) om Single Sign On (SSO) in te schakelen.

Implementatiemodellen voor Cisco ID's

Product	Implementatie
UCCX	medebewoner
PCCE	Co-resident met CUIC (Cisco Unified Intelligence Center) en LD (Live Data)
UCCE	Co-resident met CUIC en LD voor 2k-implementaties. Standalone voor 4K en 12K implementaties.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Unified Contact Center Express (UCCX) versie 11.6 of Cisco Unified Contact Center Enterprise versie 11.6 of Packaged Contact Center Enterprise (PCCE) versie 11.6, indien van toepassing.
• PingFederate geïnstalleerd op Windows Server

Opmerking: In dit document wordt verwezen naar de configuratie met betrekking tot de Cisco Identitify Service (IdS) en de Identity Provider (IdP). Het document verwijst naar UCCX in de screenshots en voorbeelden, maar de configuratie is vergelijkbaar met betrekking tot de Cisco Identitify Service (UCCX / UCCE / PCCE) en de IdP.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Installeren

Systeemvereisten

besturingssystemen	Java-omgeving	Ondersteunde browsers voor eindgebruikers	Ondersteunde browsers voor beheerconsole	Integratie van gegevensopslag (Voor opzoeken van gebruikerskenmerken)	Minimale hardwarevereisten	Minimale hardwareaanbevelingen
Microsoft Windows Server 2008 R2 SP (Service Pack) Microsoft Windows Server 2012 Standard Microsoft Windows Server 2012 R2 Datacenter Oracle Enterprise Linux 6.5 (Red Hat-compatibele kernel) Oracle Solaris 10 Red Hat Enterprise Linux ES 6.6 Red Hat Enterprise Linux ES 7.0 SUSE Linux Enterprise 11 SP 3	Oracle Java SE Runtime Environment Server (JRE) 7 update 79 (64-bits) Oracle Java SE Runtime Environment Server (JRE) 8 update 45 (64-bits)	verchromen Firefox Internet Explorer (versie 9 en hoger) safari	verchromen Firefox Internet Explorer (versie 9 en hoger)	Microsoft Active Directory (2008 R2 en 2012) Oracle Directory Server Enterprise Edition 11g Microsoft SQL (Structured Query Language) Server (2012 en 2014) Oracle-database (10g en 11g R2) Oracle MySQL 5.6	Intel Pentium 4, 1,8 GHz processor 1 GB RAM 250 MB beschikbare ruimte op de harde schijf	Multicore Intel Xeon- of SPARC-processor 4 CPU/kernen aanbevolen 4 GB RAM 1,5 GB beschikbaar voor PingFederate 500 MB beschikbare ruimte op de harde schijf

Installeren

Pak het ZIP-distributiebestand uit of gebruik een platformspecifiek installatieprogramma om PingFederate te installeren.

• Vraag een licentiesleutel aan via de Ping Identity-licentiepagina (www.pingidentity.com/support-and-downloads/licensing.cfm)
• Zorg ervoor dat u bent aangemeld bij uw systeem met de juiste bevoegdheden om een toepassing te installeren en uit te voeren
• Controleer of de Java Runtime Environment (JRE) van de server is geïnstalleerd en of de omgeving- en PATH-variabelen correct zijn ingesteld

PingFederate installeren met ZIP-distributiebestand

Extraheer het ZIP-distributiebestand naar een installatiemap.

Waarschuwing: Als u toekomstige problemen met geautomatiseerde upgrades wilt voorkomen, moet u de naam van de geïnstalleerde pingfederate-map niet wijzigen. Als u meerdere exemplaren van PingFederate op hetzelfde systeem installeert (bijvoorbeeld in bepaalde scenario's voor serverclustering), installeert u elke instantie op een andere locatie of wijzigt u de naam van de bovenliggende map om een parallelle bestandsstructuur op dezelfde locatie te installeren.

Installeer PingFederate met distributie EXE bestand

Dubbelklik op het exe-bestand en volg de installatiestappen

Start PingFederate voor het eerst

Als u PingFederate installeert met een van de platformspecifieke installateurs, wordt PingFederate geconfigureerd om als een service te worden uitgevoerd en automatisch gestart aan het einde van het installatieproces.

Als u PingFederate installeert met een ZIP-distributiebestand, voert u het script uit om PingFederate handmatig te starten,

(Windows) <pf_install>/pingfederate/bin/run.bat
(Unix/Linux) <pf_install>/pingfederate/bin/run.sh

Wacht tot het script is voltooid. Het opstartproces wordt voltooid wanneer dit bericht aan het einde van de reeks wordt weergegeven:

PingFederate gestart in <X>s:<Y>ms

Wizard Eerste installatie

De gebruikersinterface van de PingFederate-beheerder, de beheerconsole, is gebouwd rond een systeem van wizard-achtige besturingsschermen. Start de beheerconsole van PingFederate en gebruik de wizard Initial Setup om de configuratie van uw identiteitsfederatie-instellingen te voltooien. U kunt PingFederate ook verbinden met PingOne om een krachtige hybride oplossing op locatie en in de cloud te implementeren. 

Om toegang te krijgen tot de beheerdersconsole:

Start uw browser en navigeer naar https://<FQHN>:9999/pingfederate/app (waar <FQHN> de volledig gekwalificeerde hostnaam is van de server waar de PingFederate is geïnstalleerd).

Opmerking: het poortnummer 9999 is standaard ingesteld. Dit kan worden gewijzigd via de eigenschappen van PingFederate.

Licentieovereenkomst accepteren

PingOne-account

Klik op Volgende

Licentie

U moet een ontwikkelingslicentie kopen of aanvragen bij pingidentity.com, het licentiebestand uploaden en op Volgende klikken

basisinformatie

Stel BASIS-URL en ENTITEIT-ID in en klik op Volgende

Rollen inschakelen

Selecteer IDENTITEITSPROVIDER en klik op Volgende

Configuratie van identiteitsprovider

De verbinding met Active Directory kan later worden uitgevoerd. Klik op Volgende

beheerdersaccount

Stel het wachtwoord van de beheerder in en klik op Volgende

Bevestiging

Bevestig en klik op Volgende

compleet

Klik op Gereed

PingFederate configureren

Serverconfiguratie

Digitale ondertekening en Extensible Markup Language (XML) Decryptie sleutels en certificaten

Klik op Serverconfiguratie > Certificaatbeheer >Tekenen en XML-coderingssleutels en -certificaten

Klik op Nieuw maken

Certificaat maken

Klik op Volgende

uitvoercertificaat

Exporteren en overzicht

Klik op Exporteren

Gegevenswinkels

Klik op Serverconfiguratie > SYSTEEMINSTELLINGEN > Gegevensopslag

Klik op Nieuwe gegevensopslag toevoegen

LDAP-configuratie

Kies LDAP en klik op Volgende

Voer de waarden in en klik op Volgende

Samenvatting

Klik op Opslaan na verificatie.

Wachtwoordreferentievalidators

Klik op Serverconfiguratie > VERIFICATIE > Wachtwoordverificatievalidators

Klik op Nieuwe instantie maken.

Type

Selecteer de LDAP Gebruikersnaam Wachtwoord Credential Validator als het TYPE. Klik op Next (Volgende).

instantieconfiguratie

Selecteer de LDAP-datastore en voer de zoekbasis, het zoekfilter en het bereik van de zoekopdracht in. Klik op Next (Volgende).

verlengd contract

Klik op Volgende

Samenvatting

Controleer de instellingen en klik op Gereed.

Serverinstellingen

systeembeheer

Klik op Serverconfiguratie > SYSTEEMINSTELLINGEN > Serverinstellingen

Klik op Next (Volgende).

Systeeminfo

Klik op Next (Volgende).

Runtime-meldingen

Klik op Next (Volgende).

Runtime-rapportage

Klik op Next (Volgende).

accountbeheer

Klik op Next (Volgende).

Opmerking: U kunt de gebruiker toevoegen of het wachtwoord van de gebruiker wijzigen in deze sectie.

Rollen en protocollen

Selecteer de juiste rol/rollen en protocol/s. Klik op Next (Volgende).

Federatie Info

Klik op Next (Volgende).

Systeemopties

Klik op Next (Volgende).

ondertekening van metagegevens

Selecteer het ondertekeningscertificaat en het ondertekeningsalgoritme dat eerder is gemaakt als onderdeel van de certificaatconfiguratie. Klik op Next (Volgende).

Metadata Levensduur

Klik op Next (Volgende).

Samenvatting

Controleer de instellingen en klik op Opslaan.

Configuratie van Identity Provider (IDp)

Adapters

Klik op IdP Configuration > APPLICATION INTEGRATION > Adapters

Klik op Nieuwe instantie maken.

Type

Kies HTML Form IDP Adapter. Klik op Next (Volgende).

IDp-adapter

Klik op Een nieuwe rij toevoegen aan 'Referentievalidators' en selecteer de LDAP-validator die eerder is gemaakt als WACHTWOORDREFERENTIEVALIDATOR en klik op Bijwerken. Klik op Next (Volgende).

verlengd contract

Voeg de contracten toe zoals getoond. Klik op Next (Volgende).

Adapterkenmerken

Klik op Next (Volgende).

Toewijzing van adaptercontracten

Klik op Adaptercontract configureren.

Attribuutbronnen en opzoeken door gebruiker

Voeg een attribuutbron toe en selecteer de LDAP Store die eerder is gemaakt. Klik op Next (Volgende).

Vervulling adaptercontract

Kaart de attributen. Klik op Next (Volgende).

uitgiftecriteria

Klik op Next (Volgende).

Samenvatting

Controleer de instellingen en klik op Gereed.

SP-verbindingen

Nieuwe SP-verbindingen maken

Type verbinding

Klik op Next (Volgende).

Verbindingsopties

Klik op Volgende

Metagegevens importeren

Download het XML-bestand met metagegevens van de serviceprovider van Cisco Identity Service Admin > Instellingen > IdS Trust > Metagegevens downloaden

Upload het XML-bestand met metagegevens van de serviceprovider naar PingFederate.

Kies het gedownloade XML-bestand en klik op Volgende

Overzicht metagegevens

Klik op Volgende

Algemene informatie

Klik op Volgende

Browser SSO

Klik op Browser SSO configureren

Profielen voor Security Assertion Markup Language (SAML)

Klik op Volgende

Opmerking: Single Logout (SLO) wordt niet ondersteund door Cisco Identity Service (IdS) in 11.6 en is niet geselecteerd.

Levensduur van bewering

Klik op Volgende

creatie van bewering

Klik op Assertion Creation configureren

identiteitskaart

Klik op Volgende

Attribuutcontract

Waarschuwing: deze kenmerken zijn verplicht voor de interoperabiliteit van Cisco Identity Service (IdS) met PingFederal.

Klik op Volgende

Toewijzing van verificatiebronnen

Klik op Nieuwe adapterinstantie toewijzen

De eerder gemaakte HTML Form IdP Adapter toewijzen. Klik op Volgende

toewijzingsmethode

Klik op Volgende

Naleving van attribuutcontract

Zorg ervoor dat de waarden zijn ingesteld op

Klik op Volgende

uitgiftecriteria

Samenvatting

Controleer de instellingen en klik op Gereed

Protocolinstellingen

Klik op Protocolinstellingen configureren

URL voor bewering van consumentenservice

Voeg POST Binding SSO Endpoint toe. Klik op Volgende

Toegestane SAML-bindingen

Klik op Volgende

handtekeningenbeleid

Opmerking: Cisco IdS garandeert dat het SAML-bericht wordt 'ondertekend' en selecteert daarom niet 'ALTIJD DE SAML-BEWERING ONDERTEKENEN'. Dit komt omdat PingFederate ofwel 'SAML-bewering' of 'SAML-reactie' zou ondertekenen, maar niet beide.

Klik op Volgende

encryptiebeleid

Opmerking: Cisco IdS ondersteunt geen gecodeerde SAML-stroom en kiest daarom 'GEEN' voor de instelling 'Encryptiebeleid'.

Klik op Volgende

Samenvatting

Controleer de instellingen en klik op Gereed

geloofsbrieven

Klik op Credentials configureren

Instellingen voor digitale handtekening

Selecteer ONDERTEKENINGSCERTIFICAAT dat eerder is gemaakt. Als dat niet het geval is, kunt u op Certificaten beheren klikken om een certificaat te maken.

Opmerking: Cisco IdS ondersteunt geen RSA SHA256 voor SAML-responshandtekening en daarom wordt 'RSA SHA1' gebruikt.

Klik op Volgende

Instellingen voor handtekeningverificatie

Klik op Handtekeningverificatie-instellingen beheren

vertrouwensmodel

Klik op Volgende

certificaat van handtekeningcontrole

Klik op Certificaten beheren om certificaten van SP te importeren.

Klik op Importeren om een certificaat te importeren.

Samenvatting

Klik op Gereed

Samenvatting

Controleer de samenvatting en klik op Gereed

Activering en overzicht

Controleer de samenvatting en klik op Opslaan.

PingFederate-metagegevens exporteren

Metagegevens exporteren

Metagegevensmodus

Klik op Serverconfiguratie > BEHEERFUNCTIES > Metagegevens exporteren

Klik op Volgende

Verbindingsmetagegevens

Selecteer de SP-verbinding die u hebt gemaakt en klik op Volgende

ondertekening van metagegevens

Selecteer het Metadata-certificaat dat u hebt gemaakt en het ONDERTEKENINGSALGORITME als RSA SHA256. Klik op Volgende

Exporteren en overzicht

Klik op Exporteren en sla het bestand op in uw lokale systeem.

• Bewerk het gedownloade metadata XML bestand om de 'md' naamruimte items te verwijderen en op te slaan
• Upload vervolgens het opgeslagen metagegevensbestand naar IdS vanaf de disadmin-pagina om IDP-vertrouwen te vestigen 

Voorbeeldmetagegevens

Problemen oplossen

Probleem	gereedschap	Mogelijke oorzaak
Uploaden van PingFederate-metagegevens mislukt op IdS-beheerpagina	tekstbestandseditor	Controleer of het XML-bestand voor metagegevens niet de 'md'-naamruimtevermeldingen bevat.
SAML-stroom mislukt	SAML Tracer	Controleer of 'StatusCode' 'Succes' aangeeft, d.w.z. <sample :StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Succes" /> Zo niet, controleer dan of er 'Aanvrager' of 'Responder' staat 'Aanvrager' zou betekenen dat er een probleem is met het SAML-verzoek, d.w.z. dat Cisco IdS het verzoek niet correct heeft verzonden. Controleer de Cisco IdS-logboeken onder /opt/cisco/ids/log/ map 'Responder' zou een probleem met de IdP betekenen - dus controleer de PingFederate-logboeken
SAML-stroom mislukt	SAML Tracer	Controleer het element <saml:AuthnContextClassRef> – de waarde moet urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport zijn Als de waarde is ingesteld op urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified – controleer dan of het SAML_AUTHN_CTXcontract correct is geconfigureerd en toegewezen.
SAML-stroom mislukt	SAML Tracer	Controleer op het element <saml:AttribuutStatement> - het moet aanwezig zijn en onderliggende elementen bevatten die overeenkomen met 'uid' en 'user_principal' Indien niet gevonden, controleer dan de instellingen 'Assertion Creation' gevolgd door 'Contract Fulfilment' om ervoor te zorgen dat de contractkenmerken correct zijn gedefinieerd en in kaart gebracht
SAML-stroom mislukt	SAML Tracer	Controleer op het bericht 'Ongeldige handtekening' in Cisco IdS- of PingFederate-logboeken. Indien bevestigd, herstel het vertrouwen in metagegevens in IdS & PingFederate
SAML-stroom mislukt	SAML Tracer	Controleer de tijdsomstandigheden, het tijdstip waarop Cisco IdS de SAML-respons heeft ontvangen, moet liggen tussen de tijden die zijn vermeld in <saml:Conditions NotBefore="2016-12-18T07:24:10.191Z" NotOnOrAfter="2016-12-18T07:34:10.191">

Verdere configuratie voor SSO:

Dit document beschrijft de configuratie vanuit het IdP-aspect voor SSO om te integreren met de Cisco Identity Service. Raadpleeg voor meer informatie de gidsen voor de afzonderlijke productconfiguratie:

• UCCX
• UCCE
• PCCE