Os aplicativos SAML usam certificados X.509 para confirmar a autenticidade e a integridade das mensagens compartilhadas entre o provedor de identidade (IdP) e o provedor de serviços (SP). Como superusuário, você pode usar o Admin Console para:
- ver facilmente os certificados X.509 usados pelos seus aplicativos SAML;
- identificar os certificados X.509 que estão prestes a expirar;
- Crie novos certificados e atribua-os aos seus aplicativos SAML. Isso é chamado de rotação de certificados.
Por que fazer a rotação de certificados SAML?
Os certificados X.509 são válidos por cinco anos. Você deve alternar um certificado se ele estiver prestes a expirar ou se for comprometido. Se um certificado expirar antes da rotação, os usuários não poderão usar o SSO para fazer login em nenhum aplicativo SAML que use esse certificado até que ele seja substituído por um novo certificado.
Antes que o certificado padrão expire, adicione um segundo certificado com uma nova vida útil de cinco anos e mude seus apps do certificado que está expirando. Com dois certificados válidos, é possível trocar o certificado de alguns apps para o novo como teste, sem afetar os apps que ainda usam o certificado antigo. Depois de mover todos os apps para o novo certificado, você pode excluir o antigo.
Importante:depois de atribuir um novo certificado a um app SAML no Admin Console, você também precisa atualizar a configuração de SSO do SP correspondente com o novo certificado. Caso contrário, o SSO com o app vai falhar.
Gerenciar certificados SAML
Sua conta tem um certificado padrão que você pode usar para todos os aplicativos SAML. É possível adicionar um segundo certificado ou excluir um ou ambos os certificados e gerar novos:
-
No Google Admin Console, acesse Menu
Segurança
Autenticação
SSO com apps SAML.Para realizar essa tarefa, você precisa fazer login como superadmin.
A seção Certificados mostra seus certificados X.509. É possível ter até dois certificados por vez. O nome, a data de validade, o conteúdo e a impressão digital SHA-256 do certificado são mostrados. Use os botões à direita para copiar, baixar ou excluir um certificado.
(Opcional) Se você tiver apenas um certificado, clique em Adicionar outro certificado para criar um segundo.
Observação:o certificado gerado mais recentemente (mais novo) se torna o padrão usado para configurar o SSO em novos apps SAML.
(Opcional) Para criar um novo certificado:
Clique em Excluir
para excluir um certificado.Se o certificado que você está excluindo for usado por apps SAML instalados, uma janela vai listar os apps afetados e avisar que o SSO com o app vai ficar indisponível até que você atribua um novo certificado a esses apps.
Clique em Excluir certificado. A exclusão de um certificado tem os seguintes resultados:
Se você tiver um certificado, um novo será gerado automaticamente para substituí-lo.
Se você tiver dois certificados e excluir o certificado 1, o certificado 2 vai substituir o certificado 1.
Se você substituiu um certificado usado por algum dos seus apps SAML, siga as etapas na próxima seção para atribuir o novo certificado aos apps afetados. Você também precisará atualizar o certificado nas configurações de SSO desses apps no site administrativo do provedor de serviços.
Dica:os eventos de certificado SAML (exclusão, criação, alteração do certificado atribuído a um app SAML) são registrados no registro de auditoria do administrador.
Atualizar o certificado usado por um app SAML
-
No Google Admin Console, acesse Menu
Apps
Apps da Web e para dispositivos móveis.É preciso ter o privilégio de admin Gerenciamento de dispositivos móveis.
- Clique no app SAML para abrir a página de configurações.
Clique em Detalhes do provedor de serviços.
Em Certificado, o certificado atual usado pelo app é mostrado, incluindo o ID e a data de validade. Se você excluiu o certificado usado inicialmente para configurar o app, o aviso Nenhum certificado atribuído vai aparecer.
Clique na seta para baixo
e escolha um certificado.(Opcional) Se não houver outro certificado disponível ou se você precisar criar novos certificados, clique em Gerenciar certificados e siga as instruções em Gerenciar certificados SAML acima.
Depois de mudar o certificado atribuído ao app SAML, atualize também a configuração de SSO do app com o novo certificado no site do provedor de serviços. O SSO com o app SAML não vai funcionar até que a configuração do lado do provedor de serviços também seja atualizada.
Importante:depois de substituir um certificado, pode levar até 24 horas para que o novo certificado esteja disponível para uso pelos aplicativos SAML.