Seus aplicativos SAML usam certificados X.509 para confirmar a autenticidade e a integridade das mensagens compartilhadas entre o provedor de identidade (IdP) e o provedor de serviços (SP). Como superusuário, você pode usar o Admin Console para:
- ver facilmente os certificados X.509 usados pelos seus aplicativos SAML;
- identificar os certificados X.509 que estão prestes a expirar;
- Crie novos certificados e atribua-os aos seus aplicativos SAML. Isso é chamado de rotação de certificado.
Por que fazer a rotação de certificados SAML?
Os certificados X.509 são válidos por cinco anos. É recomendável alternar um certificado se ele estiver prestes a expirar ou se for comprometido. Se um certificado expirar antes da rotação, os usuários não poderão usar o SSO para fazer login em aplicativos SAML que usam esse certificado até que ele seja substituído por um novo.
Antes do vencimento do certificado padrão, adicione um segundo certificado com uma nova vida útil de cinco anos e mude seus apps do certificado expirado. Com dois certificados válidos, você pode mudar alguns apps para o novo certificado como um teste, sem afetar os apps que ainda usam o certificado antigo. Depois de mover todos os apps para o novo certificado, você pode excluir o antigo.
Importante:depois de atribuir um novo certificado a um app SAML no Admin Console, você também precisa atualizar a configuração de SSO correspondente do lado do SP com o novo certificado. Caso contrário, o SSO com o app vai falhar.
Gerenciar certificados SAML
Sua conta tem um certificado padrão que você pode usar para todos os aplicativos SAML. É possível adicionar um segundo certificado ou excluir um ou os dois e gerar novos certificados:
-
No Google Admin Console, acesse Menu
Segurança
Autenticação
SSO com aplicativos SAML.Para realizar essa tarefa, você precisa fazer login como superadmin.
A seção Certificados mostra seus certificados X.509. É possível ter até dois certificados por vez. O nome, a data de validade, o conteúdo e a impressão digital SHA-256 do certificado são mostrados. Use os botões à direita para copiar, baixar ou excluir um certificado.
(Opcional) Se você tiver apenas um certificado, clique em Adicionar outro certificado para criar um segundo.
Observação:o certificado gerado mais recentemente (mais novo) se torna o certificado padrão usado para configurar o SSO em novos apps SAML.
(Opcional) Para criar um novo certificado:
Clique em Excluir
para remover um certificado.Se o certificado que você está excluindo for usado por algum app SAML instalado, uma janela vai listar os apps afetados e avisar que o SSO com o app ficará indisponível até que você atribua um novo certificado a eles.
Clique em Excluir certificado. A exclusão de um certificado tem estes resultados:
Se você tiver um certificado, um novo será gerado automaticamente para substituí-lo.
Se você tiver dois certificados e excluir o certificado 1, o certificado 2 vai substituir o certificado 1.
Se você substituiu um certificado usado por algum dos seus apps SAML, siga as etapas na próxima seção para atribuir o novo certificado aos apps afetados. Você também precisará atualizar o certificado nas configurações de SSO desses apps no site administrativo do SP.
Dica:os eventos de certificado SAML (exclusão, criação, mudança de um certificado atribuído a um app SAML) são registrados no registro de auditoria do administrador.
Atualizar o certificado usado por um app SAML
-
No Google Admin Console, acesse Menu
Apps
Apps da Web e para dispositivos móveis.É preciso ter o privilégio de administrador Gerenciamento de dispositivos móveis.
- Clique no app SAML para abrir a página de configurações dele.
Clique em Detalhes do provedor de serviços.
Em Certificado, o certificado atual usado pelo app é mostrado, incluindo o ID e a data de validade. Se você excluiu o certificado usado inicialmente para configurar o app, vai aparecer o aviso Nenhum certificado atribuído.
Clique na seta para baixo
e escolha um certificado.(Opcional) Se não houver outro certificado disponível ou se você precisar criar novos certificados, clique em Gerenciar certificados e siga as instruções em Gerenciar certificados SAML acima.
Depois de mudar o certificado atribuído ao app SAML, atualize a configuração de SSO do app com o novo certificado no site do provedor de serviços. O SSO com o app SAML não vai funcionar até que a configuração do lado do SP também seja atualizada.
Importante:depois de substituir um certificado, pode levar até 24 horas para que o novo certificado fique disponível para uso pelos seus aplicativos SAML.