Gérer les certificats SAML

Vos applications SAML utilisent des certificats X.509 pour confirmer l'authenticité et l'intégrité des messages partagés entre le fournisseur d'identité (IdP) et le fournisseur de services (SP). En tant que super-administrateur, vous pouvez utiliser la console d'administration pour :

  • afficher facilement les certificats X.509 utilisés par vos applications SAML ;
  • identifier les certificats X.509 qui sont sur le point d'expirer ;
  • Créez des certificats et attribuez-les à vos applications SAML. C'est ce qu'on appelle la rotation des certificats.

Pourquoi effectuer une rotation des certificats SAML ?

Les certificats X.509 ont une durée de vie de cinq ans. Vous devez effectuer une rotation d'un certificat s'il est sur le point d'expirer ou s'il est compromis. Si un certificat expire avant que vous ne le remplaciez, vos utilisateurs ne pourront pas utiliser l'authentification unique pour se connecter aux applications SAML qui l'utilisent tant que vous ne l'aurez pas remplacé par un nouveau certificat.

Avant l'expiration de votre certificat par défaut, ajoutez un deuxième certificat d'une durée de validité de cinq ans, puis faites passer vos applications du certificat arrivant à expiration au nouveau certificat. Le fait de disposer de deux certificats valides vous permet de basculer certaines applications vers le nouveau certificat à titre de test, sans affecter les applications qui utilisent encore l'ancien certificat. Une fois que vous avez transféré toutes les applications vers le nouveau certificat, vous pouvez supprimer l'ancien.

Important : Après avoir attribué un nouveau certificat à une application SAML dans la console d'administration, vous devez également mettre à jour la configuration SSO correspondante côté fournisseur de services avec le nouveau certificat. Sinon, l'authentification unique avec l'application échouera.

Gérer les certificats SAML

Votre compte comprend un certificat par défaut que vous pouvez utiliser pour toutes vos applications SAML. Vous pouvez ajouter un deuxième certificat, ou supprimer un ou les deux certificats et en générer de nouveaux :

  1. Dans la console d'administration Google, accédez à Menu  puis Sécurité puis Authentification puis SSO avec les applications SAML.

    Pour cette tâche, vous devez être connecté en tant que super-administrateur.

    La section Certificats affiche vos certificats X.509 actuels, Vous pouvez avoir jusqu'à deux certificats à la fois. Le nom, la date d'expiration, le contenu et l'empreinte SHA-256 du certificat s'affichent. Utilisez les boutons situés à droite pour copier, télécharger ou supprimer un certificat.

  2. (Facultatif) Si vous n'avez qu'un seul certificat, cliquez sur Ajouter un autre certificat pour en créer un deuxième.

    Remarque : Le certificat le plus récent devient le certificat par défaut utilisé pour configurer l'authentification unique pour les nouvelles applications SAML.

  3. (Facultatif) Pour créer un certificat :

    1. Cliquez sur Supprimer  pour supprimer un certificat.

      Si le certificat que vous supprimez est utilisé par des applications SAML installées, une fenêtre liste les applications concernées et vous avertit que l'authentification unique avec l'application ne sera pas disponible tant que vous n'aurez pas attribué un nouveau certificat à ces applications.

    2. Cliquez sur Supprimer le certificat. La suppression d'un certificat a les conséquences suivantes :

    3. Si vous disposez d'un certificat, un nouveau certificat est automatiquement généré pour le remplacer.

    4. Si vous avez deux certificats et que vous supprimez le certificat 1, le certificat 2 remplace le certificat 1.

  4. Si vous avez remplacé un certificat utilisé par l'une de vos applications SAML, suivez les étapes de la section suivante pour attribuer le nouveau certificat aux applications concernées. Vous devrez également mettre à jour le certificat dans les paramètres SSO de ces applications sur le site Web d'administration du fournisseur de services.

Remarque : Les événements liés aux certificats SAML (suppression, création, modification du certificat attribué à une application SAML) sont consignés dans le journal d'audit de la console d'administration.

Mettre à jour le certificat utilisé par une application SAML

  1. Dans la console d'administration Google, accédez à Menu  puis Applications puis Applications Web et mobiles.

    Vous devez disposer du droit d'administrateur Gestion des appareils mobiles.

  2. Cliquez sur l'application SAML pour ouvrir sa page de paramètres.

  3. Cliquez sur Détails relatifs au fournisseur de services.

    Sous Certificat, le certificat actuellement utilisé par l'application s'affiche, y compris l'ID du certificat et sa date d'expiration. Si vous avez supprimé le certificat initialement utilisé pour configurer l'application, l'avertissement Aucun certificat attribué s'affiche.

  4. Cliquez sur la flèche vers le bas , puis sélectionnez un certificat.

  5. (Facultatif) Si aucun autre certificat n'est disponible ou si vous devez en créer d'autres, cliquez sur Gérer les certificats et suivez les instructions de la section Gérer les certificats SAML ci-dessus.

  6. Après avoir modifié le certificat attribué à l'application SAML, veillez également à mettre à jour la configuration SSO de l'application avec le nouveau certificat sur le site Web du fournisseur de services. Le SSO avec l'application SAML ne fonctionnera pas tant que la configuration côté fournisseur de services n'aura pas été mise à jour.

Important : Après avoir remplacé un certificat, un délai de 24 heures peut être nécessaire avant que vos applications SAML puissent l'utiliser.