Cisco Cisco TelePresence Video Communication Server Expressway

 

■

SAML 2.0 is not compatible with SAML 1.1 and you must select an IdP that uses the SAML 2.0 standard.

 

■

SAML-based identity management is implemented in different ways by vendors in the computing and 
networking industry, and there are no widely accepted regulations for compliance to the SAML standards.

 

■

The configuration of and policies governing your selected IdP are outside the scope of Cisco TAC (Technical 
Assistance Center) support.  Please use your relationship and support contract with your IdP Vendor to assist 
in configuring the IDP properly.   Cisco cannot accept responsibility for any errors, limitations, or specific 
configuration of the IdP.

Although Cisco Collaboration infrastructure may prove to be compatible with other IdPs claiming SAML 2.0 
compliance, only the following IdPs have been tested with Cisco Collaboration solutions:

 

■

OpenAM 10.0.1

 

■

Active Directory Federation Services 2.0 (AD FS 2.0)

 

■

PingFederate

®

 6.10.0.4

High Level Task List

 

Configure a synchronizable relationship between the identity provider and your on-premises directory such 
that authentication can securely be owned by the IdP. See Directory Integration and Identity Management in 
the 

 document.

 

Export SAML metadata file from the IdP. Check the documentation on your identity provider for the procedure. 
For example, see Enable SAML SSO through the OpenAM IdP in the SAML SSO Deployment Guide for Cisco 
Unified Communications Applications.

 

Import the SAML metadata file from the IdP to the Unified CM servers and Cisco Unity Connection servers that 
will be accessed by single sign-on. See the Unified Communications documentation or help for more details.

 

Export the SAML metadata files from the Unified CM servers and Cisco Unity Connection servers. For example, 
see High-Level Circle of Trust Setup in the SAML SSO Deployment Guide for Cisco Unified Communications 
Applications.

 

Create the Identity Provider on the VCS Control, by importing the SAML metadata file from the IdP.

 

Associate the IdP with SIP domain(s) on the VCS Control.

 

Export the SAML metadata file(s) from the (primary) VCS Control; ensure that it includes the externally 
resolvable address of the (primary) VCS Expressway.

The SAML metadata file from the VCS Control contains the X.509 certificate for signing and encrypting SAML 
interchanges between the edge and the IdP, and the binding(s) that the IdP needs to redirect clients to the 
VCS Expressway (peers). 

 

Import the SAML metadata files from the Unified CM servers and Cisco Unity Connection servers to the IdP. An 
example using OpenAM is in the SAML SSO Deployment Guide for Cisco Unified Communications 
Applications.

 

Similarly, import the SAML metadata file from the VCS Control to the IdP. See your IdP documentation for 
details.

 

Turn on SSO at the edge (on the VCS Control and the VCS Expressway).

Importing the SAML Metadata from the IdP

 

On the VCS Control, go to Configuration > Unified Communications > Identity providers (IdP).

You only need to do this on the primary peer of the cluster.

 

Click Import new IdP from SAML.

 

Use the Import SAML file control to locate the SAML metadata file from the IdP.

28

Mobile and Remote Access Through Cisco Video Communication Server Deployment Guide

Single Sign-On (SSO) over the Collaboration Edge