Gestire i certificati SAML

Le tue applicazioni SAML utilizzano i certificati X.509 per confermare l'autenticità e l'integrità dei messaggi condivisi tra il provider di identità (IdP) e il fornitore di servizi (SP). Come super amministratore, puoi utilizzare la Console di amministrazione per:

  • Visualizzare facilmente i certificati X.509 utilizzati dalle tue applicazioni SAML.
  • Identificare i certificati X.509 che stanno per scadere.
  • Crea nuovi certificati e assegnali alle tue applicazioni SAML. Questa operazione viene definita rotazione dei certificati.

Perché eseguire la rotazione dei certificati SAML

I certificati X.509 hanno una validità di cinque anni. Devi ruotare un certificato se sta per scadere o se viene compromesso. Se un certificato scade prima della rotazione, gli utenti non potranno utilizzare SSO per accedere alle applicazioni SAML che utilizzano quel certificato finché non lo sostituirai con un nuovo certificato.

Prima della scadenza del certificato predefinito, aggiungi un secondo certificato con una nuova durata di 5 anni, quindi cambia il certificato in scadenza nelle tue app. La presenza di due certificati validi ti consente di trasferire alcune app al nuovo certificato come test, senza influire sulle app che utilizzano ancora il certificato precedente. Dopo aver spostato tutte le app nel nuovo certificato, puoi eliminare il certificato precedente.

Importante: dopo aver assegnato un nuovo certificato a un'app SAML nella Console di amministrazione, devi anche aggiornare la configurazione SSO lato SP corrispondente con il nuovo certificato, altrimenti l'SSO con l'app non andrà a buon fine.

Gestisci i certificati SAML

Il tuo account ha un certificato predefinito che puoi utilizzare per tutte le applicazioni SAML. Puoi aggiungere un secondo certificato o eliminare uno o entrambi i certificati e generarne di nuovi:

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Autenticazione e poi SSO con applicazioni SAML.

    Per questa attività, devi aver eseguito l'accesso come super amministratore.

    Nella sezione Certificati sono indicati i tuoi certificati X.509 correnti. Puoi avere fino a due certificati alla volta. Vengono visualizzati il nome del certificato, la data di scadenza, i contenuti e l'impronta SHA-256. Utilizza i pulsanti a destra per copiare, scaricare o eliminare un certificato.

  2. (Facoltativo) Se hai un solo certificato, fai clic su Aggiungi un altro certificato per crearne un secondo.

    Nota:il certificato generato più di recente (il più recente) diventa il certificato predefinito utilizzato per configurare l'SSO per le nuove app SAML.

  3. (Facoltativo) Per creare un nuovo certificato:

    1. Fai clic su Elimina per eliminare un certificato.

      Se il certificato che stai eliminando è utilizzato da app SAML installate, una finestra elenca le app interessate e ti avvisa che l'SSO con l'app non sarà disponibile finché non assegni un nuovo certificato alle app.

    2. Fai clic su Elimina certificato. L'eliminazione di un certificato ha i seguenti risultati:

    3. Se hai un certificato, ne viene generato automaticamente uno nuovo per sostituirlo.

    4. Se hai due certificati ed elimini il certificato 1, il certificato 2 sostituisce il certificato 1.

  4. Se hai sostituito un certificato utilizzato da una delle tue app SAML, segui i passaggi della sezione successiva per assegnare il nuovo certificato alle app interessate. Dovrai anche aggiornare il certificato nelle impostazioni SSO per queste app sul sito web amministrativo del fornitore di servizi.

Suggerimento: gli eventi relativi ai certificati SAML (eliminazione, creazione, modifica del certificato assegnato a un'app SAML) vengono registrati nel log di controllo della Console di amministrazione.

Aggiornare il certificato utilizzato da un'app SAML

  1. Nella Console di amministrazione Google, vai a Menu e poi App e poi App web e mobile.

    È necessario disporre del privilegio di amministratore Gestione dei dispositivi mobili.

  2. Fai clic sull'app SAML per aprire la relativa pagina Impostazioni.

  3. Fai clic su Dettagli del fornitore di servizi.

    In Certificato viene visualizzato il certificato corrente utilizzato dall'app, inclusi l'ID certificato e la data di scadenza. Se hai eliminato il certificato utilizzato inizialmente per configurare l'app, vedrai l'avviso Nessun certificato assegnato.

  4. Fai clic sulla Freccia giù e scegli un certificato.

  5. (Facoltativo) Se non sono disponibili altri certificati o se devi creare nuovi certificati, fai clic su Gestisci certificati e segui le istruzioni riportate nella sezione Gestisci i certificati SAML sopra.

  6. Dopo aver modificato il certificato assegnato all'app SAML, assicurati di aggiornare anche la configurazione SSO dell'app con il nuovo certificato sul sito web del fornitore di servizi. L'SSO con l'app SAML non funzionerà finché non verrà aggiornata anche la configurazione lato SP.

Importante: dopo aver sostituito un certificato, potrebbero essere necessarie fino a 24 ore prima che il nuovo certificato sia disponibile per l'utilizzo da parte delle tue applicazioni SAML.