第三方 IdP 和 Google Workspace 設定最佳做法

管理員將 Google Workspace 與第三方識別資訊提供者 (IdP) 整合，以便連線至安全宣告標記語言 (SAML) 應用程式時，可以採用這些安全性最佳做法。

進行第三方 IdP 設定的最佳做法

• 堅持落實完善的密碼政策，強制使用高強度密碼。
• 實作兩步驟驗證 (2SV)。Google 兩步驟驗證無法與第三方識別資訊提供者 (IdP) 整合，因此請在 IdP 端導入兩步驟驗證。
• 盡可能建議使用安全金鑰，並建議使用行動應用程式解決方案，而非簡訊。

Google Workspace 設定的最佳做法

• 禁止使用者存取低安全性應用程式。請參閱「控管低安全性應用程式的存取權」。根據設計，網際網路訊息存取通訊協定 (IMAP) 和簡易郵件傳輸通訊協定 (SMTP) 提供的安全性等級，低於 Google 網頁和 OAuth 登入流程。
• 停用郵局通訊協定 (POP) 或網際網路訊息存取通訊協定 (IMAP) 存取權。請參閱「為使用者停用 POP 和 IMAP」。
  • 如果使用者有 IMAP、POP 或 SMTP 用戶端，則應支援 OAuth 2.0 機制。
  • 如果使用者有 Microsoft Outlook，應使用 Google Workspace Sync for Microsoft Outlook。
• 為 Google Workspace 帳戶設定高強度密碼。這些密碼較少使用，因此可能成為攻擊面。請參閱「管理使用者的密碼設定」。

使用者裝置的最佳做法

• 落實良好的 Cookie 管理措施。Google 會使用 Cookie 建立使用者與裝置之間的關係。只有在裝置無法再與該使用者建立關聯時，才清除 Cookie 或登出。
• 使用 Google 行動應用程式；除了提供最佳使用者體驗，這些應用程式也提供安全防護。
• 更新至最新的作業系統版本並安裝最新的安全性修補程式。為確保使用者的行動裝置獲得最佳保護，請要求他們接受最新更新和安全性修補程式。