Obsługa certyfikatów SAML

Aplikacje SAML używają certyfikatów X.509 do potwierdzania autentyczności i integralności wiadomości udostępnianych między dostawcą tożsamości a dostawcą usługi. Jeśli jesteś superadministratorem, w konsoli administracyjnej możesz:

  • łatwo wyświetlać certyfikaty X.509 używane przez aplikacje SAML;
  • identyfikować certyfikaty X.509, które wkrótce wygasną;
  • Utwórz nowe certyfikaty i przypisz je do aplikacji SAML. Nazywa się to rotacją certyfikatów.

Powody wymiany certyfikatów SAML

Certyfikaty X.509 są ważne przez 5 lat. Certyfikat należy wymienić, jeśli wkrótce wygaśnie lub zostanie przejęty. Jeśli certyfikat wygaśnie, zanim go wymienisz, użytkownicy nie będą mogli korzystać z logowania jednokrotnego, aby logować się w aplikacjach SAML, które używają tego certyfikatu, dopóki nie zastąpisz go nowym.

Przed wygaśnięciem domyślnego certyfikatu dodaj drugi certyfikat z nowym 5-letnim okresem ważności, a następnie przełącz aplikacje z wygasającego certyfikatu. Dzięki temu możesz przełączyć niektóre aplikacje na nowy certyfikat w ramach testu, nie wpływając na aplikacje, które nadal używają starszego certyfikatu. Gdy przeniesiesz wszystkie aplikacje na nowy certyfikat, możesz usunąć stary.

Ważne: po przypisaniu nowego certyfikatu do aplikacji SAML w konsoli administracyjnej musisz też zaktualizować odpowiednią konfigurację logowania jednokrotnego po stronie dostawcy usługi, używając nowego certyfikatu. W przeciwnym razie logowanie jednokrotne w aplikacji nie powiedzie się.

Zarządzanie certyfikatami SAML

Twoje konto ma 1 domyślny certyfikat, którego możesz używać dla wszystkich aplikacji SAML. Możesz dodać drugi certyfikat lub usunąć jeden lub oba certyfikaty i wygenerować nowe:

  1. W konsoli administracyjnej Google otwórz Menu  a potem Bezpieczeństwo a potem Uwierzytelnianie a potem Logowanie jednokrotne w aplikacjach SAML.

    Aby wykonać te czynności, musisz zalogować się na konto superadministratora.

    W sekcji Certyfikaty wyświetlają się Twoje obecne certyfikaty X.509. Możesz mieć maksymalnie 2 certyfikaty jednocześnie. Wyświetlone są nazwa certyfikatu, data ważności, treść i odcisk cyfrowy SHA-256. Użyj przycisków po prawej stronie, aby skopiować, pobrać lub usunąć certyfikat.

  2. (Opcjonalnie) Jeśli masz tylko 1 certyfikat, kliknij Dodaj kolejny certyfikat, aby utworzyć drugi certyfikat.

    Uwaga: ostatnio wygenerowany (najnowszy) certyfikat staje się domyślnym certyfikatem używanym do konfigurowania logowania jednokrotnego w nowych aplikacjach SAML.

  3. (Opcjonalnie) Aby utworzyć nowy certyfikat:

    1. Aby usunąć certyfikat, kliknij Usuń .

      Jeśli certyfikat, który usuwasz, jest używany przez zainstalowane aplikacje SAML, pojawi się okno z listą aplikacji, których to dotyczy, oraz ostrzeżeniem, że logowanie jednokrotne w tych aplikacjach będzie niedostępne, dopóki nie przypiszesz do nich nowego certyfikatu.

    2. Kliknij Usuń certyfikat. Usunięcie certyfikatu spowoduje, że:

    3. Jeśli masz jeden certyfikat, automatycznie zostanie wygenerowany nowy certyfikat, który go zastąpi.

    4. Jeśli masz 2 certyfikaty i usuniesz certyfikat 1, certyfikat 2 zastąpi certyfikat 1.

  4. Jeśli zastąpisz certyfikat używany przez dowolną z aplikacji SAML, wykonaj czynności opisane w następnej sekcji, aby przypisać nowy certyfikat do odpowiednich aplikacji. Musisz też zaktualizować certyfikat w ustawieniach logowania jednokrotnego dla tych aplikacji w witrynie administracyjnej dostawcy usługi.

Wskazówka: zdarzenia związane z certyfikatami SAML (usunięcie, utworzenie, zmiana przypisanego certyfikatu aplikacji SAML) są rejestrowane w dzienniku kontrolnym administratora.

Aktualizowanie certyfikatu wykorzystywanego przez aplikację SAML

  1. W konsoli administracyjnej Google otwórz Menu  a potem Aplikacje a potem Aplikacje internetowe i mobilne.

    Wymaga uprawnień administratora Zarządzanie urządzeniami mobilnymi.

  2. Kliknij aplikację SAML, aby otworzyć jej stronę ustawień.

  3. Kliknij Informacje o dostawcy usługi.

    W sekcji Certyfikat wyświetlany jest bieżący certyfikat używany przez aplikację, w tym identyfikator certyfikatu i data ważności. Jeśli usuniesz certyfikat, który został użyty do skonfigurowania aplikacji, zobaczysz ostrzeżenie Nie przypisano certyfikatu.

  4. Kliknij strzałkę w dół  i wybierz certyfikat.

  5. (Opcjonalnie) Jeśli nie ma innego certyfikatu lub chcesz utworzyć nowe certyfikaty, kliknij Zarządzaj certyfikatami i postępuj zgodnie z instrukcjami podanymi w sekcji Zarządzanie certyfikatami SAML powyżej.

  6. Po zmianie certyfikatu przypisanego do aplikacji SAML pamiętaj, aby zaktualizować konfigurację logowania jednokrotnego aplikacji za pomocą nowego certyfikatu na stronie dostawcy usługi. Logowanie jednokrotne w aplikacji SAML nie będzie działać, dopóki nie zostanie zaktualizowana konfiguracja po stronie dostawcy usługi.

Ważne: po zastąpieniu certyfikatu może minąć do 24 godzin, zanim nowy certyfikat będzie dostępny dla aplikacji SAML.