Enkel inloggning (SSO) låter användare logga in på många företagsmolnapplikationer med en enda uppsättning inloggningsuppgifter. Workspace (och Google Cloud Platform) stöder SSO från tredjeparts identitetsleverantörer (IdP:er).
Workspace stöder både SAML- och OIDC SSO-protokoll.
För att använda SSO konfigurerar du SSO-profiler och tilldelar dem sedan till användargrupper eller organisationsenheter. Detta möjliggör stöd för flera IdP:er och för att testa SSO-konfigurationer. Detta är det rekommenderade systemet för SSO. Vår äldre Legacy SSO-profil för organisationer är också tillgänglig (endast för SAML).
SSO är även tillgängligt på Chrome-enheter. Mer information finns i Konfigurera SAML-single sign-on för Chrome-enheter .
Ytterligare verifiering efter SSO
När SSO är konfigurerat kan användare som loggar in på sin tredjeparts-IdP komma åt Google-appar utan ytterligare verifiering, med följande undantag:
- Även om de redan har loggat in på sin IdP, kommer Google ibland att be dem att verifiera sin identitet som en extra säkerhetsåtgärd. För mer information (och detaljer om hur du inaktiverar denna verifiering om det behövs), gå till Förstå säker SAML-inloggning.
- Du kan konfigurera ytterligare tvåstegsverifiering för användare som använder Googles tjänster. Tvåstegsverifiering kringgås normalt när SSO är aktiverat. För mer information, gå till Aktivera utmaningar med SSO.
Förstå partnerstyrd SAML-baserad SSO
Figur 1 illustrerar processen genom vilken en användare loggar in på en Google-applikation, till exempel Gmail, via en SAML-baserad SSO-tjänst som drivs av en partner. Den numrerade listan som följer bilden beskriver varje steg.
Viktigt: Innan denna process sker måste partnern förse Google med URL:en för sin SSO-tjänst samt den offentliga nyckel som Google ska använda för att verifiera SAML-svar.
Figur 1: Detta visar processen för att logga in på Google med en SAML-baserad SSO-tjänst.
Den här bilden illustrerar följande steg.
- Användaren försöker nå en värdbaserad Google-applikation, till exempel Gmail, Google Kalender eller en annan Google-tjänst.
- Google genererar en SAML-autentiseringsbegäran, som kodas och bäddas in i URL:en för partnerns SSO-tjänst. Parametern RelayState som innehåller den kodade URL:en för Google-applikationen som användaren försöker nå är också inbäddad i SSO-URL:en. Denna RelayState-parameter är en ogenomskinlig identifierare som skickas tillbaka utan någon modifiering eller inspektion.
- Google skickar en omdirigering till användarens webbläsare. Omdirigerings-URL:en innehåller den kodade SAML-autentiseringsbegäran som ska skickas till partnerns SSO-tjänst.
- Webbläsaren omdirigerar till SSO-URL:en.
- Partnern avkodar SAML-begäran och extraherar URL:en för både Googles ACS (Assertion Consumer Service) och användarens destinationsadress (RelayState-parameter).
- Partnern autentiserar sedan användaren. Partners kan autentisera användare genom att antingen be om giltiga inloggningsuppgifter eller genom att kontrollera om det finns giltiga sessionscookies.
- Partnern genererar ett SAML-svar som innehåller den autentiserade användarens användarnamn. I enlighet med SAML v2.0-specifikationen signeras detta svar digitalt med partnerns publika och privata DSA/RSA-nycklar.
- Partnern kodar SAML-svaret och RelayState-parametern och returnerar den informationen till användarens webbläsare. Partnern tillhandahåller en mekanism så att webbläsaren kan vidarebefordra den informationen till Googles ACS. Partnern kan till exempel bädda in SAML-svaret och destinations-URL:en i ett formulär och tillhandahålla en knapp som användaren kan klicka på för att skicka formuläret till Google. Partnern kan också inkludera JavaScript på sidan som skickar formuläret till Google.
- Webbläsaren skickar ett svar till ACS-URL:en. Googles ACS verifierar SAML-svaret med hjälp av partnerns offentliga nyckel. Om svaret verifieras korrekt omdirigerar ACS användaren till destinations-URL:en.
- Användaren är inloggad i Google-appen.
Synkronisera användarkonton mellan din IdP och Google
För att förenkla hanteringen av användarlivscykeln synkroniserar de flesta organisationer som använder SSO även sin användarkatalog från IdP:n till Google. Med synkronisering på plats läggs nya (eller borttagna) användare på IdP-sidan automatiskt till eller tas bort som Workspace-användare. Googles Directory Sync stöder Active Directory och Entra ID. De flesta IdP:er stöder synkronisering med Google. Se din IdP:s dokumentation för installationsanvisningar.
SSO och säker LDAP
Säker LDAP kräver ett Google-lösenord och är inkompatibelt med SSO.