Le tue applicazioni SAML utilizzano certificati X.509 per confermare l'autenticità e l'integrità dei messaggi condivisi tra il provider di identità (IdP) e il service provider (SP). Come super amministratore, puoi utilizzare la Console di amministrazione per:
- Visualizzare facilmente i certificati X.509 utilizzati dalle tue applicazioni SAML.
- Identificare i certificati X.509 che stanno per scadere.
- Crea nuovi certificati e assegnali alle tue applicazioni SAML. Questa operazione viene chiamata rotazione del certificato.
Perché eseguire la rotazione dei certificati SAML
I certificati X.509 hanno una validità di cinque anni. Devi ruotare un certificato se sta per scadere o se viene compromesso. Se un certificato scade prima che tu lo ruoti, gli utenti non potranno utilizzare SSO per accedere alle applicazioni SAML che utilizzano quel certificato finché non lo sostituisci con un nuovo certificato.
Prima della scadenza del certificato predefinito, aggiungi un secondo certificato con una nuova durata di 5 anni, quindi passa dalle app al certificato in scadenza. Avere due certificati validi ti consente di passare ad alcune app al nuovo certificato come test, senza influire sulle app che utilizzano ancora il certificato precedente. Dopo aver trasferito tutte le app al nuovo certificato, puoi eliminare il vecchio certificato.
Importante:dopo aver assegnato un nuovo certificato a un'app SAML nella Console di amministrazione, devi anche aggiornare la configurazione SSO lato SP corrispondente con il nuovo certificato, altrimenti l'SSO con l'app non funzionerà.
Gestire i certificati SAML
Il tuo account ha un certificato predefinito che puoi utilizzare per tutte le applicazioni SAML. Puoi aggiungere un secondo certificato o eliminare uno o entrambi i certificati e generare nuovi certificati:
-
Nella Console di amministrazione Google, vai a Menu
Sicurezza
Autenticazione
SSO con applicazioni SAML.Per questa attività, devi aver eseguito l'accesso come super amministratore.
Nella sezione Certificati sono indicati i tuoi certificati X.509 correnti. Puoi avere fino a due certificati contemporaneamente. Vengono visualizzati il nome del certificato, la data di scadenza, i contenuti e l'impronta SHA-256. Utilizza i pulsanti a destra per copiare, scaricare o eliminare un certificato.
(Facoltativo) Se hai un solo certificato, fai clic su Aggiungi un altro certificato per crearne un secondo.
Nota:il certificato generato più di recente (il più recente) diventa il certificato predefinito utilizzato per configurare l'SSO per le nuove app SAML.
(Facoltativo) Per creare un nuovo certificato:
Fai clic su Elimina
per eliminare un certificato.Se il certificato che stai eliminando viene utilizzato da app SAML installate, una finestra elenca le app interessate e ti avvisa che il servizio SSO con l'app non sarà disponibile finché non assegnerai un nuovo certificato a queste app.
Fai clic su Elimina certificato. L'eliminazione di un certificato ha i seguenti risultati:
Se hai un certificato, ne viene generato automaticamente uno nuovo per sostituirlo.
Se hai due certificati ed elimini il certificato 1, il certificato 2 sostituisce il certificato 1.
Se hai sostituito un certificato utilizzato da una delle tue app SAML, segui i passaggi della sezione successiva per assegnare il nuovo certificato alle app interessate. Dovrai anche aggiornare il certificato nelle impostazioni SSO per queste app sul sito web amministrativo del service provider.
Suggerimento:gli eventi relativi ai certificati SAML (eliminazione, creazione, modifica del certificato assegnato di un'app SAML) vengono registrati nel log di controllo amministrativo.
Aggiornare il certificato utilizzato da un'app SAML
-
Nella Console di amministrazione Google, vai a Menu
App
App web e mobile.È necessario disporre del privilegio di amministratore Gestione dei dispositivi mobili.
- Fai clic sull'app SAML per aprire la relativa pagina delle impostazioni.
Fai clic su Dettagli del fornitore di servizi.
In Certificato viene visualizzato il certificato corrente utilizzato dall'app, inclusi l'ID certificato e la data di scadenza. Se hai eliminato il certificato utilizzato inizialmente per configurare l'app, vedrai l'avviso Nessun certificato assegnato.
Fai clic sulla Freccia giù
e scegli un certificato.(Facoltativo) Se non è disponibile nessun altro certificato o devi crearne di nuovi, fai clic su Gestisci certificati e segui le istruzioni in Gestire i certificati SAML riportate sopra.
Dopo aver modificato il certificato assegnato all'app SAML, assicurati di aggiornare anche la configurazione SSO dell'app con il nuovo certificato sul sito web del service provider. L'SSO con l'app SAML non funzionerà finché non verrà aggiornata anche la configurazione lato SP.
Importante:dopo aver sostituito un certificato, potrebbero essere necessarie fino a 24 ore prima che il nuovo certificato sia disponibile per l'utilizzo da parte delle applicazioni SAML.