Google Workspace biedt 2 manieren om Single sign-on (SSO) in te stellen met Google als relying party voor uw identiteitsprovider:
- Ouder SSO-profiel: Hiermee kunt u maar één IdP instellen voor uw organisatie.
- SSO-profielen: De nieuwere, aanbevolen manier om SSO in te stellen. Hiermee kunt u verschillende SSO-instellingen toepassen op verschillende gebruikers in uw organisatie. De SSO-profielen ondersteunen zowel SAML als OIDC, hebben modernere API's en vormen de focus van Google voor nieuwe functies.
We raden alle klanten aan te migreren naar SSO-profielen om van deze voordelen te profiteren. SSO-profielen kunnen naast het SSO-profiel voor uw organisatie bestaan, zodat u nieuwe SSO-profielen kunt testen voordat u uw hele organisatie overzet.
Overzicht van het migratieproces
- Maak in de Beheerdersconsole een SSO-profiel voor uw IdP en registreer het nieuwe profiel bij uw IdP.
- Wijs testgebruikers toe om het nieuwe profiel te gebruiken en te bevestigen dat het werkt.
- Wijs de organisatie-eenheid op het hoogste niveau toe aan het nieuwe profiel.
- Update domeinspecifieke URL's om het nieuwe profiel te gebruiken.
- Opschonen: maak de registratie van uw oude serviceprovider ongedaan en check of automatische gebruikersregistratie nog steeds werkt.
Stap 1: Een SSO-profiel maken
- Volg deze stappen om een nieuw SAML SSO-profiel te maken. Uw nieuwe profiel moet dezelfde IdP gebruiken als uw bestaande SSO-profiel voor uw organisatie.
Registreer het nieuwe SSO-profiel bij uw IdP als nieuwe serviceprovider.
Uw IdP beschouwt het nieuwe profiel als een afzonderlijke serviceprovider (deze kan dit 'Apps' of 'Relying Parties' noemen). Hoe u de nieuwe serviceprovider registreert, verschilt per IdP, maar meestal moet u de entiteits-ID en de ACS-URL (Assertion Consumer Service) instellen voor het nieuwe profiel.
Opmerkingen voor API-gebruikers
- Als u het SSO-profiel voor uw organisatie gebruikt, kunt u alleen de Google Workspace Admin Settings API gebruiken om SSO-instellingen te beheren.
- Met de Cloud Identity API kunt u SSO-profielen beheren als inboundSamlSsoProfiles en ze toewijzen aan groepen of organisatie-eenheden met inboundSsoAssignments.
Verschillen tussen SSO-profielen en het verouderde SSO-profiel
Asserties van hoofdbeheerders
SSO-profielen accepteren geen asserties over hoofdbeheerders. Als u het SSO-profiel voor uw organisatie gebruikt, worden asserties geaccepteerd, maar worden hoofdbeheerders niet omgeleid naar de IdP. De volgende asserties worden bijvoorbeeld geaccepteerd:
- De gebruiker volgt een app-launcherlink van uw IdP (door IdP gestarte SAML)
- De gebruiker gaat naar een domeinspecifieke service-URL (bijvoorbeeld https://drive.google.com/a/uw_domein.com).
- De gebruiker logt in op een Chromebook die is ingesteld om rechtstreeks naar je IdP te gaan. Meer informatie.
Instellingen voor verificatie na SSO
Instellingen voor verificatie na SSO (zoals inlogcontroles of tweestapsverificatie) zijn anders voor SSO-profielen dan voor het SSO-profiel voor uw organisatie. We raden je aan beide instellingen op dezelfde waarde in te stellen om verwarring te voorkomen. Meer informatie
Stap 2: Wijs testgebruikers toe aan het profiel
Het is een goed idee om uw nieuwe SSO-profiel eerst te testen op gebruikers in één groep of organisatie-eenheid voordat u alle gebruikers overzet. Gebruik een bestaande groep of organisatie-eenheid of maak een nieuwe als dat nodig is.
Als u beheerde ChromeOS-apparaten heeft, raden we u aan te testen op basis van organisatie-eenheden, omdat u ChromeOS-apparaten wel kunt toewijzen aan organisatie-eenheden, maar niet aan groepen.
- (Optioneel) Maak een nieuwe organisatie-eenheid of configuratiegroep en wijs er testgebruikers aan toe.
- Volg deze stappen om gebruikers toe te wijzen aan het nieuwe SSO-profiel.
Opmerkingen voor organisaties met beheerde ChromeOS-apparaten
Als u SSO heeft ingesteld voor ChromeOS-apparaten zodat gebruikers rechtstreeks naar uw IDP gaan, moet u het SSO-gedrag afzonderlijk testen voor deze gebruikers.
Het SSO-profiel dat is toegewezen aan de organisatie-eenheid van het apparaat, moet overeenkomen met het SSO-profiel dat is toegewezen aan de organisatie-eenheid van de apparaatgebruiker om in te loggen.
Als u bijvoorbeeld een organisatie-eenheid Verkoop heeft voor werknemers die beheerde Chromebooks gebruiken en rechtstreeks inloggen bij uw IdP, maakt u een organisatie-eenheid zoals 'verkoop_sso_testen', wijst u deze toe aan het nieuwe profiel en verplaatst u een aantal gebruikers en de Chromebooks die ze gebruiken naar die organisatie-eenheid.
Stap 3: Wijs uw organisatie-eenheid op het hoogste niveau toe en update de service-URL's
Nadat u het nieuwe SSO-profiel heeft getest met een testgroep of organisatie-eenheid, kunt u andere gebruikers overzetten.
- Ga naar Beveiliging
SSO met IdP's van derden
SSO-profieltoewijzingen beheren. - Klik op Beheren.
- Selecteer de organisatie-eenheid op het hoogste niveau en wijs deze toe aan het nieuwe SSO-profiel.
- (Optioneel) Als er andere organisatie-eenheden of groepen zijn toegewezen aan het SSO-profiel voor uw organisatie, wijst u deze toe aan het nieuwe SSO-profiel.
Stap 4: Domeinspecifieke URL's updaten
Als uw organisatie domeinspecifieke URL's gebruikt (bijvoorbeeld https://mail.google.com/a/uw_domein.com), updatet u die instelling om het nieuwe SSO-profiel te gebruiken:
- Ga naar Beveiliging SSO met IdP's van derden
Domeinspecifieke service-URL's.
- Selecteer onder Gebruikers automatisch omleiden naar de IdP van derden in het volgende SSO-profiel het nieuwe SSO-profiel in het dropdownmenu.
Stap 5: Opschonen
- Klik bij Beveiliging SSO met IdP's van derden
SSO-profielen op Verouderd SSO-profiel om de profielinstellingen te openen.
- Vink Verouderd SSO-profiel aanzetten uit om het verouderde profiel uit te zetten.
- Controleer of automatische gebruikersregistratie die u bij uw IdP heeft ingesteld, correct werkt met uw nieuwe SSO-profiel.
- Schrijf de oude serviceprovider uit bij uw IdP.