Облачное приложение Office 365

• Добавьте домен Workspace в Microsoft Office 365. Подробнее о том, как добавить домен в Microsoft 365…
• Установите PowerShell.

• Настройте атрибут ImmutableID, который используется в Office 365 для уникальной идентификации пользователей. Чтобы система единого входа для Google и Office 365 работала, у каждого пользователя Office 365 должен быть этот атрибут. Он должен совпадать с атрибутом SAML Name ID, отправляемым в Office 365 при входе с использованием SSO.

  Значение атрибута ImmutableID зависит от способа создания пользователя Office 365. Ниже перечислены наиболее распространенные варианты.

  • В Office 365 ещё нет пользователей. Если вы настроите автоматическую инициализацию аккаунтов пользователей в Google, вам не нужно будет настраивать атрибут ImmutableID. Он по умолчанию сопоставляется с адресом электронной почты пользователя (с UPN – именем участника-пользователя). Перейдите к шагу 1.

  • У пользователей, созданных в консоли администратора Office 365, атрибут ImmutableID будет пустым. Чтобы задать этому атрибуту значение, соответствующее имени участника-пользователя, выполните следующую команду PowerShell:

    Update-MgUser -UserPrincipalName testuser@your-company.com -OnPremisesImmutableId testuser@your-company.com

    Вы также можете использовать Update-MgUser для массового обновления всех пользователей. Инструкции можно найти в документации к PowerShell.

  • Если пользователи созданы при синхронизации Microsoft Entra ID, значением ImmutableID будет кодированная версия атрибута objectGUID из Active Directory. Выполните следующие действия для этих пользователей:
    1. С помощью PowerShell получите значение ImmutableID из Entra ID. Например, чтобы получить эти значения для всех пользователей и экспортировать их в CSV-файл, выполните следующую команду:

       $exportUsers = Get-MgUser -All | Select-Object UserprincipalName, OnPremisesImmutableId | Export-Csv C:csvfile

    2. Создайте настраиваемый атрибут в Google, а затем добавьте в профиль каждого пользователя атрибут ImmutableID из Office 365. Подробнее о том, как добавить новый настраиваемый атрибут и обновить профиль пользователя… Кроме того, этот процесс можно автоматизировать, используя GAM (инструмент командной строки с открытым исходным кодом) или API консоли администратора.

    Дополнительную информацию об ImmutableID можно найти в документации Microsoft.

1. В консоли администратора Google нажмите на значок меню Приложения Мобильные и веб-приложения.

   Перейти в раздел "Мобильные и веб-приложения"

   Для выполнения этого действия необходим аккаунт суперадминистратора.

2. Нажмите Добавить приложение Найти приложения.
3. В поле Введите название приложения укажите Office 365.
4. В результатах поиска наведите указатель на Microsoft Office 365 и нажмите Выбрать.
5. В окне Сведения о поставщике идентификационной информации Google в разделе Вариант 2. Скопируйте URL системы единого входа и идентификатор объекта, а также скачайте сертификат:
   1. Рядом с полем URL системы единого входа нажмите на значок "Копировать" и сохраните URL.
   2. Рядом с полем Идентификатор объекта нажмите на значок "Копировать" и сохраните идентификатор.
   3. Рядом с полем Сертификат нажмите на значок "Копировать" и сохраните сертификат.

      Эти данные понадобятся вам для настройки Office 365.

Не закрывайте консоль администратора Google. Вы вернетесь в нее после того, как завершите настройку в приложении.

1. Открыв окно браузера в режиме инкогнито, перейдите на страницу входа в Office 365 и войдите в аккаунт администратора Office 365.
2. В текстовом редакторе создайте переменные PowerShell на основе данных, скопированных на шаге 1. В таблице ниже указаны значения для каждой переменной.

   Переменная	Значение
   $DomainName	"your-company.com"
   $FederationBrandName	"Google Cloud Identity" (или любое другое значение).
   $Authentication	"Федеративный"
   $PassiveLogOnUrl $ActiveLogOnUri	"URL SSO" (из шага 1).
   $SigningCertificate	"Вставьте полный сертификат сюда" (из шага 1)*
   $IssuerURI	"Идентификатор объекта" (из шага 1).
   $LogOffUri	"https://accounts.google.com/logout"
   $PreferredAuthenticationProtocol	"SAMLP"

   * Переменная $SigningCertifcate должна быть указана одной строкой, иначе PowerShell вернет сообщение об ошибке.
3. В консоли PowerShell выполните команду Update-MgDomain, чтобы настроить домен Active Directory для федеративной аутентификации. Инструкции можно найти в документации Microsoft PowerShell.
4. Если нужно проверить настройки федеративной аутентификации, используйте следующую команду PowerShell:

   Get-MgDomainFederationConfiguration -DomainName your-company.com | Format-List *

Примечание. Если ваш домен уже объединен в федерацию и вам нужно настроить федерацию с Google, выполните команду
Update-MgDomainFederationConfiguration, используя параметры из таблицы выше.

1. Вернитесь в консоль администратора.
2. Нажмите Продолжить.
3. На странице Сведения о поставщике услуг:
   1. Установите флажок Подписанный ответ.
   2. В поле Формат идентификатора названия выберите Постоянный.
   3. В поле Идентификатор названия выберите один из вариантов:
      • Если вы создали настраиваемый атрибут, чтобы добавить в профили пользователей атрибут ImmutableID из Office 365, выберите этот атрибут.
      • Если вы не создали собственный атрибут ImmutableID, выберите Общие сведения Основной адрес электронной почты.
4. Нажмите Продолжить.
5. На странице Сопоставление атрибутов нажмите Выберите поле и сопоставьте перечисленные ниже атрибуты каталога Google с атрибутами Office 365. Атрибут IDPEmail является обязательным.

   Атрибут каталога Google	Атрибут Office 365
   Общие сведения > Основной адрес электронной почты	IDPEmail*

6. (Необязательно) Чтобы добавить другие сопоставления, нажмите Добавить сопоставление и выберите нужные поля.
7. Если нужно указать названия групп для этого приложения:
   1. В разделе Участие в группах (необязательно) нажмите Поиск групп, введите одну или несколько начальных букв названия группы и выберите нужное.
   2. При необходимости добавьте группы (не более 75).
   3. В разделе Атрибут приложения укажите название группового атрибута соответствующего поставщика услуг.

   Сколько бы групп ни указал администратор, в ответ SAML будет включена информация только о тех группах, участником которых прямо или косвенно является пользователь. Подробнее о сопоставлении информации об участии в группах…

8. Нажмите Готово.

1. В консоли администратора Google нажмите на значок меню Приложения Мобильные и веб-приложения.

   Перейти в раздел "Мобильные и веб-приложения"

   Для выполнения этого действия необходим аккаунт суперадминистратора.

2. Нажмите Office 365.
3. Нажмите Доступ пользователей.

4. Чтобы включить или отключить сервис для всех пользователей в организации, нажмите Включено для всех или Отключено для всех, а затем выберите Сохранить.

5. При необходимости включите или отключите сервис для организационного подразделения:

   1. В левой части страницы выберите организационное подразделение.
   2. Для статуса сервиса выберите значение Вкл. или Выкл.
   3. Выберите один из вариантов:
      • Если для статуса сервиса установлено значение Унаследовано и вы хотите, чтобы параметр продолжал действовать при изменении настроек родительской организации, нажмите Переопределить.
      • Если установлено значение Переопределено, нажмите Наследовать, чтобы применить настройки родительской организации, или Сохранить, чтобы использовать новое значение параметра (даже если настройки родительской организации изменятся).

        Подробнее…

6. Чтобы включить сервис для определенных пользователей, входящих в одно или разные организационные подразделения, выберите группу доступа. Подробнее о том, как настроить доступ к сервисам с помощью групп доступа…
7. Убедитесь, что домены электронной почты аккаунтов пользователей Office 365 соответствуют основному домену управляемого аккаунта Google организации.

Office 365 поддерживает систему единого входа, инициируемую как поставщиком идентификационной информации, так и поставщиком услуг.

Как проверить систему единого входа, инициируемую поставщиком идентификационной информации

1. В консоли администратора Google нажмите на значок меню Приложения Мобильные и веб-приложения.

   Перейти в раздел "Мобильные и веб-приложения"

   Для выполнения этого действия необходим аккаунт суперадминистратора.

2. Нажмите Office 365.
3. В разделе Office 365 нажмите Проверить вход через SAML.

   Приложение должно открыться в новой вкладке. Если этого не произойдет, исправьте ошибки и повторите попытку. Подробнее о сообщениях об ошибках SAML-приложений…

Как проверить систему единого входа, инициируемую поставщиком услуг

1. Закройте все окна браузера.
2. Перейдите на страницу входа в Office 365 и войдите в аккаунт администратора Office 365.
   Вы будете автоматически перенаправлены на страницу входа в аккаунт Google.
3. Выберите аккаунт и введите пароль.

После проверки учетных данных приложение должно открыться.

Суперадминистратор может включить автоматическую инициализацию пользователей в Office 365.