第三方 IdP 和 Google Workspace 配置的最佳实践

作为管理员，您可以在将 Google Workspace 与第三方身份提供方 (IdP) 集成以连接到安全断言标记语言 (SAML) 应用时，遵循这些安全最佳实践。

第三方 IdP 配置的最佳做法

• 配置高安全系数的密码政策，强制使用安全系数高的密码。
• 实施两步验证 (2SV)。Google 两步验证不与第三方身份提供方 (IdP) 集成，因此请在 IdP 端实现两步验证。
• 尽可能推荐安全密钥，并推荐基于移动应用的解决方案，而不是短信。

Google Workspace 配置的最佳实践

• 停用用户对安全性较低的应用的访问权限。请参阅控制对安全性较低的应用的访问权限。根据设计，互联网邮件访问协议 (IMAP) 和简单邮件传输协议 (SMTP) 无法提供 Google 网页和 OAuth 登录流程所提供的安全级别。
• 停用邮局协议 (POP) 或互联网邮件访问协议 (IMAP) 访问权限。请参阅为用户停用 POP 和 IMAP。
  • 如果用户使用 IMAP、POP 或 SMTP 客户端，则这些客户端应支持 OAuth 2.0 机制。
  • 如果用户使用的是 Microsoft Outlook，则应使用 Google Workspace Sync for Microsoft Outlook。
• 为 Google Workspace 账号设置安全系数高的密码。这些密码不太可能被使用，因此它们可能代表攻击面。请参阅管理用户的密码设置。

针对用户设备的最佳做法

• 做好 Cookie 管理。Google 使用 Cookie 来建立用户与设备之间的关系。仅当设备无法再与该用户关联时，才清除 Cookie 或退出登录。
• 使用 Google 移动应用。除了提供最佳用户体验外，这些应用还提供安全保护。
• 更新到最新的操作系统版本和安全补丁程序。为确保用户的移动设备获得最佳保护，请告知用户接受最新更新和安全补丁。