维护 SAML 证书

您的 SAML 应用使用 X.509 证书来确认身份提供方 (IdP) 和服务提供方 (SP) 之间共享的消息的真实性和完整性。作为超级用户，您可以使用管理控制台执行以下操作：

  • 轻松查看 SAML 应用正在使用的 X.509 证书
  • 识别即将过期的 X.509 证书
  • 创建新证书并将其分配给 SAML 应用。这称为证书轮替。

为什么要轮换 SAML 证书？

X.509 证书有效期为 5 年。如果证书即将过期或遭到入侵，您应轮替证书。如果证书在您轮替之前过期，那么在您使用新证书替换该证书之前，您的用户将无法使用单点登录功能登录使用该证书的任何 SAML 应用。

在默认证书过期之前，添加第二个有效期为 5 年的新证书，然后将应用从即将过期的证书切换到新证书。拥有两个有效证书后，您可以将部分应用切换到新证书进行测试，而不会影响仍在使用旧证书的应用。将所有应用都迁移到新证书后，您可以删除旧证书。

重要提示：在管理控制台中为 SAML 应用分配新证书后，您还需要使用新证书更新相应的 SP 端单点登录配置，否则该应用的单点登录将失败。

管理 SAML 证书

您的账号有一个可用于所有 SAML 应用的默认证书。您可以添加第二个证书，也可以删除一个或两个证书并生成新证书：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 安全性 然后 身份验证 然后 SAML 应用的单点登录服务。

    您必须以超级用户身份登录，才能执行此任务。

    证书部分显示了您当前的 X.509 证书。您最多可以同时拥有 2 个证书。系统会显示证书名称、失效日期、内容和 SHA-256 指纹。使用右侧的按钮复制、下载或删除证书。

  2. （可选）如果您只有一个证书，请点击添加其他证书以创建第二个证书。

    注意：最新生成的证书将成为用于为新的 SAML 应用设置单点登录的默认证书。

  3. （可选）如需创建新证书，请执行以下操作：

    1. 点击“删除”图标 即可删除证书。

      如果您要删除的证书正被任何已安装的 SAML 应用使用，系统会显示一个窗口，其中列出了受影响的应用，并警告您，在为这些应用分配新证书之前，您将无法通过这些应用使用单点登录。

    2. 点击删除证书。删除证书会产生以下结果：

    3. 如果您只有一张证书，系统会自动生成一张新证书来替换它。

    4. 如果您有两张证书，并删除了证书 1，则证书 2 会取代证书 1。

  4. 如果您替换了任何 SAML 应用使用的证书，请按照下一部分中的步骤将新证书分配给受影响的应用。您还需要在 SP 的管理网站上更新这些应用的单点登录设置中的证书。

提示：SAML 证书事件（删除、创建、更改 SAML 应用的分配证书）会记录在管理员审核日志中。

更新 SAML 应用使用的证书

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    需要拥有移动设备管理管理员权限。

  2. 点击 SAML 应用以打开其“设置”页面。

  3. 点击服务提供商详细信息。

    在证书下方，系统会显示应用当前使用的证书，包括证书 ID 和失效日期。如果您删除了最初用于设置应用的证书，系统会显示警告未分配证书。

  4. 点击下拉箭头 ，然后选择证书。

  5. （可选）如果没有其他可用证书，或者您需要创建新证书，请点击管理证书，然后按照上文管理 SAML 证书中的说明操作。

  6. 更改分配给 SAML 应用的证书后，请务必在服务提供商的网站上使用新证书更新应用的 SSO 配置。在更新 SP 端配置之前，使用 SAML 应用的 SSO 将无法正常运行。

重要提示：替换证书后，新证书最长可能需要 24 小时才能供 SAML 应用使用。