Dies ist eine alte Version des Dokuments!


Cisco Webex

Um Ihren hochschulspezifischen Tenant SP von Cisco zu konfigurieren, benötigen Sie den xml-Metadatensatz des SP, den Sie sich bei Cisco Webex herunterladen können. Der Punkt heißt Verzeichnis-Metadaten exportieren.

Gehen Sie wie folgt vor, um ihn einzubinden:

  1. Legen Sie in der Metadatenverwaltung einen neuen lokalen SP an. Verwenden Sie dafür die EntityID aus dem Metadatensatz.
  2. Legen Sie den Metadatensatz auf Ihren Webserver, so dass er von der Metadatenverwaltung aus abrufbar ist. Geben Sie die URL in das Feld Metadatengenerator ein und klicken Sie „abfragen“. Damit werden alle Informationen aus dem Metadatensatz geholt. Nur so bekommen Sie die Felder „AuthnRequests Signed“ und „Want Assertions Signed“ in der Metadatenverwaltung angezeigt. Die Datei können Sie danach wieder vom Webserver löschen.
  3. Editieren Sie für die fehlenden Felder den SP-Metadatensatz wie folgt:
  4. Ganz unten bei den Föderationen: Nehmen Sie den SP in Ihre lokalen Metadaten auf:
  5. Speichern Sie den neuen lokalen SP. Die rote Warnung „POLICY Uns liegt noch kein SP-Vertrag mit ihrer Einrichtung vor (egal für Test und lokale Metadaten)“ können Sie ignorieren.
  6. Nach der nächsten Aktualisierung der Metadaten steht Ihnen der Tenant SP zur Verfügung. Warten Sie mindestens 60 Minuten, bevor Sie testen.

Laut der Dokumentation unterstützen die Tenant SPs keine OIDs, sondern das Mailattribut soll als „uid“ übermittelt werden. Hier ein Konfigurationsbeispiel für die conf/attribute-resolver.xml:

Neu installierter IdP 4.x:

./conf/attribute-resolver.xml
    <AttributeDefinition xsi:type="Simple" id="webexUid">
        <InputDataConnector ref="myLDAP" attributeNames="mail"/>
    </AttributeDefinition>

IdP 3.4 und upgegradeter IdP 4.x:

./conf/attribute-resolver.xml
    <AttributeDefinition xsi:type="Simple" id="webexUid">
        <InputDataConnector ref="myLDAP" attributeNames="mail"/>
        <DisplayName xml:lang="en">E-mail address wrapped as uid</DisplayName>
        <DisplayName xml:lang="de">E-Mailadresse als uid übermittelt</DisplayName>
        <DisplayDescription xml:lang="en">E-mail address wrapped as uid</DisplayDescription>
        <DisplayDescription xml:lang="de">E-Mailadresse als uid übermittelt</DisplayDescription>
        <AttributeEncoder xsi:type="SAML2String" name="uid" friendlyName="uid" />
    </AttributeDefinition>

Bis IdP v3.3:

./conf/attribute-resolver.xml
    <AttributeDefinition xsi:type="Simple" id="webexUid" sourceAttributeID="mail">
        <Dependency ref="myLDAP" />
        <DisplayName xml:lang="en">E-mail address wrapped as uid</DisplayName>
        <DisplayName xml:lang="de">E-Mailadresse als uid übermittelt</DisplayName>
        <DisplayDescription xml:lang="en">E-mail address wrapped as uid</DisplayDescription>
        <DisplayDescription xml:lang="de">E-Mailadresse als uid übermittelt</DisplayDescription>
        <AttributeEncoder xsi:type="SAML2String" name="uid" friendlyName="uid" />
    </AttributeDefinition>
./conf/attribute-filter.xml
<!-- Cisco Webex -->
  <AttributeFilterPolicy id="ciscowebex">
    <PolicyRequirementRule xsi:type="Requester" value="https://idbroker-eu.webex.com/HIER_DIE_ID_IHRES_TENANT_SP" />
    <AttributeRule attributeID="webexUid"                    permitAny="true"/>
  </AttributeFilterPolicy>

Die Datei conf/relying-party.xml muss nicht angepasst werden.

Da Cisco nicht an der DFN-AAI teilnimmt, müssen Sie Ihre IdP-Metadaten dort manuell hinterlegen. Diese Informationen sind dann statisch, das bedeutet, dass sie relevante Änderungen in den IdP-Metadaten (z.B. Zertifikatswechsel) dort auch von Hand nachpflegen müssen.

So holen Sie sich die Metadaten Ihres Identity Providers:

  1. Melden Sie sich an der Metadatenverwaltung an.
  2. Suchen Sie sich in der IdP-Liste das Produktivsystem und klicken Sie auf das blaue „xml“ bei DFN-AAI bzw. DFN-AAI-Basic:
  3. Der Metadatensatz wird Ihnen im Browser angezeigt. Kopieren und speichern Sie ihn.

Bei Cisco Webex wählen in den Einstellungen „Drittanbieter-Identity Provider integrieren“.

Dort können Sie die IdP-Metadaten importieren…

… und die Verbindung testen.

Der Zertifikatswechsel in der Metadatenverwaltung wird genau so durchgeführt wie bei anderen SPs auch, d.h. Sie lassen beide Zertifikate, das alte und das neue, vorübergehend parallel in den Metadaten stehen.

  • Zuletzt geändert: vor 3 Jahren