שמירה על אישורי SAML

באפליקציות SAML נעשה שימוש באישורי X.509 כדי לאשר את האותנטיות והתקינות של הודעות שמשותפות בין ספק הזהויות (IdP) לבין ספק השירות (SP). כסופר-אדמינים, אתם יכולים להשתמש במסוף Admin כדי:

  • לראות בקלות את אישורי ה-X.509 שמשמשים את אפליקציות ה-SAML שלכם
  • זיהוי אישורי X.509 שתוקפם עומד לפוג
  • ליצור אישורים חדשים ולהקצות אותם לאפליקציות SAML. התהליך הזה נקרא רוטציית אישורים.

למה צריך להחליף אישורי SAML?

אישורי X.509 תקפים למשך חמש שנים. צריך להחליף אישור אם התוקף שלו עומד לפוג או אם הוא נחשף. אם תוקף האישור יפוג לפני שתחליפו אותו, המשתמשים לא יוכלו להשתמש ב-SSO כדי להיכנס לאפליקציות SAML שמשתמשות באישור הזה, עד שתחליפו אותו באישור חדש.

לפני שתוקף האישור שמוגדר כברירת מחדל יפוג, הוסיפו אישור שני עם תוקף חדש ל-5 שנים, ואז העבירו את האפליקציות מהאישור שתוקפו עומד לפוג. כשיש שני אישורים תקפים, אפשר להעביר חלק מהאפליקציות לאישור החדש לצורך בדיקה, בלי להשפיע על אפליקציות שעדיין משתמשות באישור הישן. אחרי שמעבירים את כל האפליקציות לאישור החדש, אפשר למחוק את האישור הישן.

חשוב: אחרי שמקצים אישור חדש לאפליקציית SAML במסוף Admin, צריך גם לעדכן את הגדרת ה-SSO התואמת בצד של ספק השירות עם האישור החדש, אחרת ה-SSO עם האפליקציה ייכשל.

ניהול אישורי SAML

בחשבון שלכם יש אישור אחד שמוגדר כברירת מחדל, ואתם יכולים להשתמש בו בכל אפליקציות ה-SAML. אתם יכולים להוסיף אישור שני, או למחוק אישור אחד או את שניהם וליצור אישורים חדשים:

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם אפליקציות SAML.

    כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

    בקטע אישורים מוצגים אישורי ה-X.509 הנוכחיים שלכם. אפשר להוסיף עד 2 אישורים בכל פעם. במסך מוצגים שם האישור, תאריך התפוגה, התוכן וטביעת האצבע מסוג SHA-256. אפשר להשתמש בלחצנים שמשמאל כדי להעתיק, להוריד או למחוק אישור.

  2. (אופציונלי) אם יש לכם רק אישור אחד, לוחצים על Add another certificate כדי ליצור אישור שני.

    הערה: האישור האחרון שנוצר (החדש ביותר) הופך לאישור ברירת המחדל שמשמש להגדרת SSO לאפליקציות SAML חדשות.

  3. (אופציונלי) כדי ליצור אישור חדש:

    1. כדי למחוק אישור, לוחצים על סמל המחיקה .

      אם האישור שאתם מוחקים משמש אפליקציות SAML מותקנות, ייפתח חלון עם רשימה של האפליקציות המושפעות ואזהרה שהכניסה היחידה (SSO) לאפליקציה לא תהיה זמינה עד שתקצו אישור חדש לאפליקציות האלה.

    2. לוחצים על מחיקת האישור. כשמוחקים אישור, קורים הדברים הבאים:

    3. אם יש לכם אישור אחד, נוצר באופן אוטומטי אישור חדש שמחליף אותו.

    4. אם יש לכם שני אישורים ואתם מוחקים את אישור 1, אישור 2 מחליף את אישור 1.

  4. אם החלפתם אישור שמשמש את אחת מאפליקציות ה-SAML, בצעו את השלבים שבקטע הבא כדי להקצות את האישור החדש לאפליקציות הרלוונטיות. צריך גם לעדכן את האישור בהגדרות ה-SSO של האפליקציות האלה באתר הניהול של ספק השירות.

טיפ: אירועים שקשורים לאישורי SAML (מחיקה, יצירה, שינוי של האישור שהוקצה לאפליקציית SAML) מתועדים ביומן הביקורת של האדמין.

עדכון האישור שמשמש אפליקציית SAML

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    נדרשת הרשאת אדמין לניהול מכשירים ניידים.

  2. לוחצים על אפליקציית ה-SAML כדי לפתוח את דף ההגדרות שלה.

  3. לוחצים על פרטי ספק השירות.

    בקטע אישור מוצג האישור הנוכחי שמשמש את האפליקציה, כולל מזהה האישור ותאריך התפוגה. אם מחקתם את האישור ששימש בהתחלה להגדרת האפליקציה, תופיע האזהרה לא הוקצה אישור.

  4. לוחצים על החץ למטה ובוחרים אישור.

  5. (אופציונלי) אם אין אישור אחר זמין, או אם צריך ליצור אישורים חדשים, לוחצים על ניהול אישורים ופועלים לפי ההוראות בקטע ניהול אישורי SAML שלמעלה.

  6. אחרי שמשנים את האישור שמוקצה לאפליקציית SAML, חשוב גם לעדכן את הגדרת ה-SSO של האפליקציה עם האישור החדש באתר של ספק השירות. הכניסה היחידה (SSO) עם אפליקציית SAML לא תפעל עד שגם ההגדרה בצד של ספק השירות תעודכן.

חשוב: אחרי שמחליפים אישור, יכול להיות שיעברו עד 24 שעות לפני שהאישור החדש יהיה זמין לשימוש באפליקציות ה-SAML.