Cisco Cisco Expressway

SAML-based SSO is an option for authenticating UC service requests originating from inside the enterprise 
network, and it is now extended to clients requesting UC services from outside via Mobile and Remote 
Access (MRA).

If you choose SAML-based SSO for your environment, note the following:

 

n

SAML 2.0 is not compatible with SAML 1.1 and you must select an IdP that uses the SAML 2.0 standard.

 

n

SAML-based identity management is implemented in different ways by vendors in the computing and 
networking industry, and there are no widely accepted regulations for compliance to the SAML standards.

 

n

The configuration of and policies governing your selected IdP are outside the scope of Cisco TAC 
(Technical Assistance Center) support.  Please use your relationship and support contract with your IdP 
Vendor to assist in configuring the IDP properly.   Cisco cannot accept responsibility for any errors, 
limitations, or specific configuration of the IdP.

Although Cisco Collaboration infrastructure may prove to be compatible with other IdPs claiming SAML 2.0 
compliance, only the following IdPs have been tested with Cisco Collaboration solutions:

 

n

OpenAM 10.0.1

 

n

Active Directory Federation Services 2.0 (AD FS 2.0)

 

n

PingFederate

®

 6.10.0.4

 1.  Configure a synchronizable relationship between the identity provider and your on-premises directory such 

that authentication can securely be owned by the IdP. See Directory Integration and Identity Management 
in the 

 document.

 2.  Export SAML metadata file from the IdP. Check the documentation on your identity provider for the 

procedure. For example, see Enable SAML SSO through the OpenAM IdP in the SAML SSO Deployment 
Guide for Cisco Unified Communications Applications.

 3.  Import the SAML metadata file from the IdP to the Unified CM servers and Cisco Unity Connection 

servers that will be accessed by single sign-on. See the Unified Communications documentation or help 
for more details.

 4.  Export the SAML metadata files from the Unified CM servers and Cisco Unity Connection servers. For 

example, see High-Level Circle of Trust Setup in the SAML SSO Deployment Guide for Cisco Unified 
Communications Applications.

 5.  Create the Identity Provider on the Expressway-C, by importing the SAML metadata file from the IdP.

 6.  Associate the IdP with SIP domain(s) on the Expressway-C.

 7.  Export the SAML metadata file(s) from the (master) Expressway-C; ensure that it includes the externally 

resolvable address of the (master) Expressway-E.
The SAML metadata file from the Expressway-C contains the X.509 certificate for signing and encrypting 
SAML interchanges between the edge and the IdP, and the binding(s) that the IdP needs to redirect 
clients to the Expressway-E (peers). 

 8.  Import the SAML metadata files from the Unified CM servers and Cisco Unity Connection servers to the 

IdP. An example using OpenAM is in the SAML SSO Deployment Guide for Cisco Unified 
Communications Applications.

 9.  Similarly, import the SAML metadata file from the Expressway-C to the IdP. See your IdP documentation 

for details.

 10.  Turn on SSO at the edge (on the Expressway-C and the Expressway-E).

Unified Communications Mobile and Remote Access via Cisco Expressway Deployment Guide (X8.5.1)     

Page 31 of 50

Single Sign-On (SSO) over the Collaboration Edge