Migrera från äldre SSO till SSO-profiler

Google Workspace erbjuder två sätt att konfigurera enkel inloggning (SSO) med Google som förlitande part för identitetsleverantören:

  • Äldre SSO-profil – gör att du bara kan konfigurera en IdP för organisationen.
  • SSO-profiler – det nyare, rekommenderade sättet att konfigurera SSO. Du kan tillämpa olika SSO-inställningar på olika användare i organisationen. Den har stöd för både SAML och OIDC, har modernare API:er och är Googles fokus för nya funktioner.

Vi rekommenderar att alla kunder migrerar till SSO-profiler för att dra nytta av dessa fördelar. SSO-profiler kan samexistera med SSO-profilen för organisationen, så att du kan testa nya SSO-profiler innan du flyttar över hela organisationen.

Översikt över migreringsprocessen

  1. Skapa en SSO-profil för identitetsleverantören i administratörskonsolen och registrera den nya profilen hos identitetsleverantören.
  2. Tilldela testanvändare att använda den nya profilen för att bekräfta att den fungerar.
  3. Tilldela organisationsenheten på toppnivå till den nya profilen.
  4. Uppdatera domänspecifika webbadresser så att de använder den nya profilen.
  5. Rensa: Avregistrera den gamla tjänsteleverantören och verifiera att automatisk användaradministration fortfarande fungerar.

Steg 1: Skapa en SSO-profil

  1. Följ de här stegen för att skapa en ny SAML SSO-profil. Den nya profilen ska använda samma IdP som den befintliga SSO-profilen för organisationen.

  2. Registrera den nya SSO-profilen hos identitetsleverantören som en ny tjänsteleverantör.

    IdP:n ser den nya profilen som en separat tjänsteleverantör (den kan kallas Appar eller Förlitande parter). Hur du registrerar den nya tjänsteleverantören varierar beroende på IdP, men vanligtvis krävs det att du konfigurerar enhets-id och ACS-webbadress (Assertion Consumer Service) för den nya profilen.

Information till API-användare

  • Om du använder SSO-profilen för organisationen kan du bara använda Google Workspace Admin Settings API för att hantera SSO-inställningar.
  • Cloud Identity API kan hantera SSO-profiler som inboundSamlSsoProfiles och tilldela dem till grupper eller organisationsenheter med inboundSsoAssignments.

Skillnader mellan SSO-profiler och den äldre SSO-profilen

Påståenden från avancerad administratör

SSO-profiler godkänner inte påståenden om avancerade administratörer. När du använder SSO-profilen för organisationen godkänns påståenden, men avancerade administratörer omdirigeras inte till identitetsleverantören. Följande påståenden skulle till exempel godkännas:

  • Användaren följer en länk till appstartaren från IdP (IdP-initierad SAML)
  • Användaren navigerar till en domänspecifik webbadress för tjänsten (till exempel https://drive.google.com/a/din_domän.com)
  • Användaren loggar in på en Chromebook som är konfigurerad för att navigera direkt till din IdP. Läs mer.

Inställningar för verifiering efter SSO

Inställningar som styr verifiering efter SSO (till exempel inloggningsfrågor eller tvåstegsverifiering) skiljer sig åt för SSO-profiler jämfört med SSO-profilen för organisationen. Vi rekommenderar att du anger samma värde för båda inställningarna för att undvika förvirring. Läs mer.

Steg 2: Tilldela testanvändare till profilen

Det är en bra idé att först testa den nya SSO-profilen på användare i en enda grupp eller organisationsenhet innan du byter för alla användare. Använd en befintlig grupp eller organisationsenhet eller skapa en ny efter behov.

Om du har hanterade ChromeOS-enheter rekommenderar vi organisationsenhetsbaserad testning eftersom du kan tilldela ChromeOS-enheter till organisationsenheter, men inte till grupper.

  1. (Valfritt) Skapa en ny organisationsenhet eller konfigurationsgrupp och tilldela testanvändare till den.
  2. Följ de här stegen för att tilldela användare den nya SSO-profilen.

Anmärkningar för organisationer med hanterade ChromeOS-enheter

Om du har konfigurerat SSO för ChromeOS-enheter så att användarna navigerar direkt till din IdP ska du testa SSO-beteendet separat för dessa användare.

Observera att för att inloggningen ska lyckas måste SSO-profilen som tilldelats enhetens organisationsenhet matcha SSO-profilen som tilldelats enhetsanvändarens organisationsenhet.

Om du till exempel har en organisationsenhet för försäljning för anställda som använder hanterade Chromebooks och loggar in direkt på din IdP, skapar du en organisationsenhet som ”sales_sso_testing”, tilldelar den för att använda den nya profilen och flyttar vissa användare och Chromebooks som de använder till organisationsenheten.

Steg 3: Tilldela organisationsenheten på toppnivå och uppdatera webbadresser för tjänster

När du har testat den nya SSO-profilen på en testgrupp eller organisationsenhet kan du byta för andra användare.

  1. Öppna Säkerhet följt av SSO med externa IDP:er följt av Hantera SSO-profiltilldelningar.
  2. Klicka på Hantera.
  3. Välj organisationsenheten på toppnivå och tilldela den till den nya SSO-profilen.
  4. (Valfritt) Om andra organisationsenheter eller grupper har tilldelats SSO-profilen för organisationen tilldelar du dem till den nya SSO-profilen.

Steg 4: Uppdatera domänspecifika webbadresser

Om organisationen använder domänspecifika webbadresser (till exempel https://mail.google.com/a/din_domän.com) uppdaterar du inställningen så att den nya SSO-profilen används:

  1. Öppna Säkerhet följt av SSO med externa IdP:er följt av Domänspecifika webbadresser för tjänster.
  2. Välj den nya SSO-profilen i rullgardinsmenyn under Omdirigera användare automatiskt till den externa IdP:n i följande SSO-profil.

Steg 5: Rensa

  1. I Säkerhet följt av SSO med externa IdP:er följt av SSO-profiler klickar du på Äldre SSO-profil för att öppna profilinställningarna.
  2. Avmarkera Aktivera äldre SSO-profil om du vill inaktivera den äldre profilen.
  3. Bekräfta att automatisk användaradministration som har konfigurerats med IdP-funktionerna fungerar korrekt med den nya SSO-profilen.
  4. Avregistrera den gamla tjänsteleverantören från IdP.