Управление сертификатами SAML

Приложения SAML используют сертификаты X.509 для подтверждения подлинности и целостности сообщений, которыми обмениваются поставщик идентификационной информации и поставщик услуг. Суперадминистратор может выполнять в консоли администратора следующие действия:

  • просматривать сертификаты X.509, используемые SAML-приложениями;
  • находить сертификаты X.509, срок действия которых скоро истекает;
  • Создайте новые сертификаты и назначьте их приложениям SAML. Этот процесс называется ротацией сертификатов.

Зачем нужна ротация сертификатов SAML

Сертификаты X.509 действительны в течение пяти лет. Сертификат следует заменить, если срок его действия подходит к концу или он был скомпрометирован. Если срок действия сертификата истечет до того, как вы его замените, пользователи не смогут входить в приложения SAML, использующие этот сертификат, пока вы не замените его новым.

До истечения срока действия сертификата по умолчанию добавьте второй сертификат со сроком действия пять лет, а затем переключите приложения на него. Наличие двух действительных сертификатов позволяет переключить некоторые приложения на новый сертификат в качестве теста, не затрагивая приложения, которые все еще используют старый сертификат. Когда вы перенесете все приложения на новый сертификат, вы сможете удалить старый.

Важно! После назначения нового сертификата приложению SAML в консоли администратора необходимо также обновить соответствующую конфигурацию системы единого входа на стороне поставщика услуг, иначе система единого входа с приложением не будет работать.

Управление сертификатами SAML

По умолчанию в аккаунте используется один сертификат для всех SAML-приложений. Вы можете добавить второй сертификат или удалить один или оба сертификата и создать новые.

  1. В консоли администратора Google нажмите на значок меню > Безопасность > Аутентификация > Система единого входа с SAML-приложениями.

    Для выполнения этого действия необходим аккаунт суперадминистратора.

    В разделе Сертификаты показаны ваши текущие сертификаты X.509. Одновременно у вас может быть не более двух сертификатов. Будут показаны название сертификата, срок его действия, содержимое и цифровой отпечаток SHA-256. Чтобы скопировать, скачать или удалить сертификат, используйте кнопки справа.

  2. Если у вас только один сертификат, нажмите Добавить сертификат, чтобы создать второй.

    Примечание. Самый новый сертификат становится сертификатом по умолчанию, который используется для настройки системы единого входа для новых SAML-приложений.

  3. Чтобы создать сертификат:

    1. Чтобы удалить сертификат, нажмите на значок "Удалить" .

      Если удаляемый сертификат используется установленными приложениями SAML, откроется окно со списком таких приложений и предупреждением о том, что система единого входа для них будет недоступна, пока вы не назначите им новый сертификат.

    2. Нажмите Удалить сертификат. Удаление сертификата приводит к следующим результатам:

    3. Если у вас один сертификат, вместо него автоматически создается новый.

    4. Если у вас два сертификата и вы удалите первый, то второй займет его место.

  4. Если вы заменили сертификат, используемый в SAML-приложениях, выполните действия, описанные в следующем разделе, чтобы назначить новый сертификат затронутым приложениям. Вам также потребуется обновить сертификат в настройках системы единого входа для этих приложений на сайте администратора поставщика услуг.

Примечание. События, связанные с сертификатами SAML (удаление, создание, изменение назначенного сертификата приложения SAML), регистрируются в журнале аудита администратора.

Как обновить сертификат, используемый SAML-приложениями

  1. В консоли администратора Google нажмите на значок меню > Приложения > Мобильные и веб-приложения.

    У вас должны быть права администратора на управление мобильными устройствами.

  2. Нажмите на приложение SAML, чтобы открыть страницу его настроек.

  3. Нажмите Сведения о поставщике услуг.

    В разделе Сертификат показан текущий сертификат, используемый приложением, включая его идентификатор и дату окончания срока действия. Если вы удалили сертификат, который изначально использовался для настройки приложения, появится предупреждение Сертификат не назначен.

  4. Нажмите на стрелку вниз и выберите сертификат.

  5. Если других сертификатов нет или вам нужно создать новые, нажмите Управление сертификатами и следуйте инструкциям в разделе Как управлять сертификатами SAML выше.

  6. После изменения сертификата, назначенного приложению SAML, обязательно обновите конфигурацию системы единого входа приложения, указав новый сертификат на сайте поставщика услуг. Система единого входа с приложением SAML не будет работать, пока не будет обновлена конфигурация на стороне поставщика услуг.

Важно! После замены сертификата может пройти до 24 часов, прежде чем новый сертификат станет доступен для использования в SAML-приложениях.