SAML-certificaten beheren

Uw SAML-apps gebruiken X.509-certificaten om de authenticiteit en integriteit te bevestigen van berichten die worden gedeeld tussen de identiteitsprovider (IdP) en de serviceprovider (SP). Als hoofdgebruiker kunt u het volgende doen in de beheerdersconsole:

  • Eenvoudig zien welke X.509-certificaten worden gebruikt door uw SAML-apps
  • De X.509-certificaten identificeren die bijna verlopen.
  • Maak nieuwe certificaten en wijs ze toe aan uw SAML-apps. Dit wordt certificaatroulatie genoemd.

Waarom SAML-certificaten roteren?

X.509-certificaten zijn 5 jaar geldig. U moet een certificaat roteren als het bijna verloopt of als het is gecompromitteerd. Als een certificaat verloopt voordat u het roteert, kunnen uw gebruikers SSO niet gebruiken om in te loggen bij SAML-apps die dat certificaat gebruiken, totdat u het vervangt door een nieuw certificaat.

Voeg voordat je standaardcertificaat verloopt een tweede certificaat toe met een nieuwe levensduur van 5 jaar en schakel je apps over van het verlopen certificaat. Als je 2 geldige certificaten hebt, kun je sommige apps als test overzetten naar het nieuwe certificaat, zonder dat dit invloed heeft op apps die nog steeds het oudere certificaat gebruiken. Als je alle apps hebt overgezet naar het nieuwe certificaat, kun je het oude certificaat verwijderen.

Belangrijk: Nadat u een nieuw certificaat heeft toegewezen aan een SAML-app in de Beheerdersconsole, moet u ook de bijbehorende SSO-configuratie aan de SP-kant updaten met het nieuwe certificaat. Anders mislukt SSO met de app.

SAML-certificaten beheren

Uw account bevat 1 standaardcertificaat dat u kunt gebruiken voor al uw SAML-apps. U kunt een tweede certificaat toevoegen of een of beide certificaten verwijderen en nieuwe certificaten genereren:

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met SAML-apps.

    U moet zijn ingelogd als hoofdbeheerder om deze taak te kunnen uitvoeren.

    In het gedeelte Certificaten staan uw huidige X.509-certificaten. Je kunt maximaal 2 certificaten tegelijk hebben. De naam, vervaldatum, inhoud en SHA-256-vingerafdruk van het certificaat worden getoond. Gebruik de knoppen aan de rechterkant om een certificaat te kopiëren, te downloaden of te verwijderen.

  2. (Optioneel) Als u maar één certificaat heeft, klikt u op Nog een certificaat toevoegen om een tweede certificaat te maken.

    Opmerking: Het meest recent gemaakte (nieuwste) certificaat wordt het standaardcertificaat dat wordt gebruikt om SSO in te stellen voor nieuwe SAML-apps.

  3. (Optioneel) Zo maak je een nieuw certificaat:

    1. Klik op Verwijderen om een certificaat te verwijderen.

      Als het certificaat dat u verwijdert, wordt gebruikt door geïnstalleerde SAML-apps, verschijnt er een venster met de betreffende apps en een waarschuwing dat SSO met de app niet meer beschikbaar is totdat u een nieuw certificaat aan die apps toewijst.

    2. Klik op Certificaat verwijderen. Als je een certificaat verwijdert, heeft dit de volgende gevolgen:

    3. Als u één certificaat heeft, wordt er automatisch een nieuw certificaat gegenereerd om het te vervangen.

    4. Als je 2 certificaten hebt en certificaat 1 verwijdert, vervangt certificaat 2 certificaat 1.

  4. Als u een certificaat heeft vervangen dat wordt gebruikt door een van uw SAML-apps, volgt u de stappen in het volgende gedeelte om het nieuwe certificaat toe te wijzen aan de betreffende apps. U moet het certificaat ook updaten in de SSO-instellingen voor die apps op de beheerwebsite van de serviceprovider.

Tip: Gebeurtenissen met SAML-certificaten (verwijderen, maken, het toegewezen certificaat van een SAML-app wijzigen) worden vastgelegd in het Beheerderscontrolelogboek.

Het certificaat updaten dat door een SAML-app wordt gebruikt

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apps en dan Web- en mobiele apps.

    Hiervoor is het beheerdersrecht Beheer van mobiele apparaten vereist.

  2. Klik op de SAML-app om de pagina Instellingen te openen.

  3. Klik op Gegevens van de serviceprovider.

    Onder Certificaat staat het huidige certificaat dat door de app wordt gebruikt, inclusief de certificaat-ID en de vervaldatum. Als je het certificaat hebt verwijderd dat oorspronkelijk is gebruikt om de app in te stellen, zie je de waarschuwing Geen certificaat toegewezen.

  4. Klik op de pijl-omlaag en kies een certificaat.

  5. (Optioneel) Als er geen ander certificaat beschikbaar is of als u nieuwe certificaten moet maken, klikt u op Certificaten beheren en volgt u de instructies in SAML-certificaten beheren hierboven.

  6. Nadat u het certificaat heeft gewijzigd dat is toegewezen aan de SAML-app, moet u ook de SSO-configuratie van de app updaten met het nieuwe certificaat op de website van de serviceprovider. SSO met de SAML-app werkt pas als de configuratie aan de SP-zijde ook is geüpdatet.

Belangrijk: Nadat je een certificaat hebt vervangen, kan het tot 24 uur duren voordat het nieuwe certificaat beschikbaar is voor gebruik door je SAML-apps.