Underhålla SAML-certifikat

SAML-apparna använder X.509-certifikat för att bekräfta äktheten och integriteten för meddelanden som delas mellan identitetsleverantören (IdP) och tjänsteleverantören (SP). I egenskap av huvudadministratör kan du använda administratörskonsolen för att

  • enkelt visa de X.509-certifikat som används i dina SAML-appar
  • identifiera X.509-certifikat som är på väg att löpa ut
  • Skapa nya certifikat och tilldela dem till dina SAML-appar. Detta kallas certifikatrotation.

Varför ska du rotera SAML-certifikat?

X.509-certifikat har fem års livslängd. Du bör växla ett certifikat om det håller på att löpa ut eller om det blir utsatt för intrång. Om ett certifikat löper ut innan du roterar det kan användarna inte använda SSO för att logga in på SAML-appar som använder certifikatet förrän du har ersatt det med ett nytt certifikat.

Innan standardcertifikatet löper ut lägger du till ett andra certifikat med en ny livslängd på fem år och byter sedan apparna från det certifikat som löper ut. Med två giltiga certifikat kan du byta till det nya certifikatet i vissa appar som ett test, utan att påverka appar som fortfarande använder det äldre certifikatet. När du har flyttat alla appar till det nya certifikatet kan du radera det gamla certifikatet.

Viktigt! När du har tilldelat en SAML-app ett nytt certifikat i administratörskonsolen måste du även uppdatera motsvarande SSO-konfiguration på tjänsteleverantörssidan med det nya certifikatet. Annars misslyckas SSO med appen.

Hantera SAML-certifikat

Ditt konto har ett standardcertifikat som du kan använda för alla dina SAML-appar. Du kan lägga till ett andra certifikat eller radera ett eller båda certifikaten och generera nya certifikat:

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med SAML-appar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

    Avsnittet Certifikat visar dina befintliga X.509-certifikat. Du kan ha upp till två certifikat samtidigt. Certifikatets namn, utgångsdatum, innehåll och SHA-256-fingeravtryck visas. Använd knapparna till höger för att kopiera, ladda ned eller radera ett certifikat.

  2. (Valfritt) Om du bara har ett certifikat klickar du på Lägg till ytterligare ett certifikat för att skapa ett andra certifikat.

    Obs! Det senast genererade (nyaste) certifikatet blir standardcertifikatet som används för att konfigurera SSO för nya SAML-appar.

  3. (Valfritt) Så här skapar du ett nytt certifikat:

    1. Klicka på Radera för att radera ett certifikat.

      Om certifikatet du raderar används av installerade SAML-appar visas ett fönster med de berörda apparna och en varning om att enkel inloggning med appen inte är tillgänglig förrän du har tilldelat apparna ett nytt certifikat.

    2. Klicka på Radera certifikat. Detta händer när du raderar ett certifikat:

    3. Om du har ett certifikat genereras ett nytt certifikat automatiskt för att ersätta det.

    4. Om du har två certifikat och raderar certifikat 1 ersätter certifikat 2 certifikat 1.

  4. Om du har ersatt ett certifikat som används av någon av dina SAML-appar följer du stegen i nästa avsnitt för att tilldela det nya certifikatet till de berörda apparna. Du måste även uppdatera certifikatet i SSO-inställningarna för apparna på tjänsteleverantörens administrativa webbplats.

Tips! SAML-certifikathändelser (radering, skapande, ändring av en SAML-apps tilldelade certifikat) loggas i administratörsgranskningsloggen.

Uppdatera certifikatet som används av en SAML-app

  1. I Googles administratörskonsol går du till menyn följt av Appar följt av Webb- och mobilappar.

    Administratörsbehörighet för Mobile Device Management krävs.

  2. Klicka på SAML-appen för att öppna inställningssidan.

  3. Klicka på Uppgifter om tjänstleverantör.

    Under Certifikat visas det aktuella certifikatet som används av appen, inklusive certifikat-id och utgångsdatum. Om du har raderat certifikatet som ursprungligen användes för att konfigurera appen visas varningen Inget certifikat har tilldelats.

  4. Klicka på nedåtpilen och välj ett certifikat.

  5. (Valfritt) Om det inte finns något annat certifikat tillgängligt eller om du behöver skapa nya certifikat klickar du på Hantera certifikat och följer anvisningarna i Hantera SAML-certifikat ovan.

  6. När du har ändrat certifikatet som tilldelats SAML-appen ska du även uppdatera appens SSO-konfiguration med det nya certifikatet på tjänsteleverantörens webbplats. SSO med SAML-appen fungerar inte förrän konfigurationen på SP-sidan också har uppdaterats.

Viktigt! När du har ersatt ett certifikat kan det ta upp till 24 timmar innan det nya certifikatet är tillgängligt för användning i dina SAML-appar.