Migration von Legacy-SSO zu SSO-Profilen

Google Workspace bietet zwei Möglichkeiten, die Einmalanmeldung (SSO) mit Google als vertrauende Partei für Ihren Identitätsanbieter einzurichten:

  • Legacy-SSO-Profil: Sie können nur einen IdP für Ihre Organisation konfigurieren.
  • SSO-Profile: Die neuere, empfohlene Methode zum Einrichten von SSO. Sie können verschiedene SSO-Einstellungen auf verschiedene Nutzer in Ihrer Organisation anwenden. Es werden sowohl SAML als auch OIDC unterstützt, es gibt modernere APIs und Google wird sich auf neue Funktionen konzentrieren.

Wir empfehlen allen Kunden, zu SSO-Profilen zu migrieren, um diese Vorteile zu nutzen. SSO-Profile können parallel zum SSO-Profil für Ihre Organisation verwendet werden. So können Sie neue SSO-Profile testen, bevor Sie sie in Ihrer gesamten Organisation einführen.

Überblick über den Migrationsprozess

  1. Erstellen Sie in der Admin-Konsole ein SSO-Profil für Ihren IdP und registrieren Sie das neue Profil bei Ihrem IdP.
  2. Weisen Sie Testnutzer zu, die das neue Profil verwenden, um zu prüfen, ob es funktioniert.
  3. Weisen Sie dem neuen Profil Ihre oberste Organisationseinheit zu.
  4. Aktualisieren Sie domainspezifische URLs, um das neue Profil zu verwenden.
  5. Bereinigen: Melden Sie Ihren alten Dienstanbieter ab und prüfen Sie, ob die automatische Nutzerverwaltung weiterhin funktioniert.

Schritt 1: SSO-Profil erstellen

  1. Folgen Sie dieser Anleitung, um ein neues SAML-SSO-Profil zu erstellen. Für Ihr neues Profil sollte derselbe IdP verwendet werden wie für das vorhandene SSO-Profil für Ihre Organisation.

  2. Registrieren Sie das neue SSO-Profil bei Ihrem IdP als neuen Dienstanbieter.

    Ihr IdP sieht das neue Profil als separaten Dienstanbieter (dieser wird möglicherweise als „Apps“ oder „Relying Parties“ bezeichnet). Wie Sie den neuen Dienstanbieter registrieren, hängt von Ihrem IdP ab. In der Regel müssen Sie jedoch die Entitäts-ID und die ACS-URL (Assertion Consumer Service) für das neue Profil konfigurieren.

Hinweise für API-Nutzer

  • Wenn Sie das SSO-Profil für Ihre Organisation verwenden, können Sie die SSO-Einstellungen nur über die Google Workspace Admin Settings API verwalten.
  • Mit der Cloud Identity API können SSO-Profile als „inboundSamlSsoProfiles“ verwaltet und mithilfe von „inboundSsoAssignments“ Gruppen oder Organisationseinheiten zugewiesen werden.

Unterschiede zwischen SSO-Profilen und dem Legacy-SSO-Profil

Super Admin-Assertions

SSO-Profile akzeptieren keine Assertions zu Super Admins. Wenn Sie das SSO-Profil für Ihre Organisation verwenden, werden Assertions akzeptiert, Poweruser werden jedoch nicht zum IdP weitergeleitet. Die folgenden Assertions würden beispielsweise akzeptiert:

  • Der Nutzer folgt einem App Launcher-Link von Ihrem IdP (vom IdP initiierte SAML).
  • Der Nutzer ruft eine domainspezifische Dienst-URL auf, z. B. https://drive.google.com/a/IhreDomain.de.
  • Der Nutzer meldet sich auf einem Chromebook an, das so konfiguriert ist, dass es direkt zu Ihrem IdP weiterleitet. Weitere Informationen

Einstellungen für die Identitätsbestätigung nach der Einmalanmeldung (SSO)

Die Einstellungen für die Identitätsbestätigung nach der Einmalanmeldung (z. B. Identitätsbestätigungen oder Bestätigung in zwei Schritten) unterscheiden sich bei SSO-Profilen von denen für das SSO-Profil Ihrer Organisation. Um Verwechslungen zu vermeiden, empfehlen wir, beide Einstellungen auf denselben Wert festzulegen. Weitere Informationen

Schritt 2: Dem Profil Testnutzer zuweisen

Es empfiehlt sich, das neue SSO-Profil zuerst mit Nutzern in einer einzelnen Gruppe oder Organisationseinheit zu testen, bevor Sie alle Nutzer umstellen. Verwenden Sie eine vorhandene Gruppe oder Organisationseinheit oder erstellen Sie bei Bedarf eine neue.

Wenn Sie verwaltete ChromeOS-Geräte haben, empfehlen wir Tests auf Basis von Organisationseinheiten, da Sie ChromeOS-Geräte Organisationseinheiten, aber keinen Gruppen zuweisen können.

  1. Optional: Erstellen Sie eine neue Organisationseinheit oder Konfigurationsgruppe und weisen Sie ihr Testnutzer zu.
  2. Folgen Sie dieser Anleitung, um Nutzer dem neuen SSO-Profil zuzuweisen.

Hinweise für Organisationen mit verwalteten ChromeOS-Geräten

Wenn Sie SSO für ChromeOS-Geräte so konfiguriert haben, dass Nutzer direkt zu Ihrem IdP weitergeleitet werden, sollten Sie das SSO-Verhalten für diese Nutzer separat testen.

Damit die Anmeldung erfolgreich ist, muss das SSO-Profil, das der Organisationseinheit des Geräts zugewiesen ist, mit dem SSO-Profil übereinstimmen, das der Organisationseinheit des Gerätenutzers zugewiesen ist.

Wenn Sie beispielsweise derzeit eine Organisationseinheit „Vertrieb“ für Mitarbeiter haben, die verwaltete Chromebooks verwenden und sich direkt bei Ihrem IdP anmelden, erstellen Sie eine Organisationseinheit wie „vertrieb_sso_test“, weisen Sie ihr das neue Profil zu und verschieben Sie einige Nutzer und die von ihnen verwendeten Chromebooks in diese Organisationseinheit.

Schritt 3: Oberste Organisationseinheit zuweisen und Dienst-URLs aktualisieren

Nachdem Sie das neue SSO-Profil erfolgreich in einer Testgruppe oder Organisationseinheit getestet haben, können Sie es für andere Nutzer aktivieren.

  1. Gehen Sie zu Sicherheit und dann SSO mit externen IdPs und dann SSO-Profilzuweisungen verwalten.
  2. Klicken Sie auf Verwalten.
  3. Wählen Sie die oberste Organisationseinheit aus und weisen Sie sie dem neuen SSO-Profil zu.
  4. Optional: Wenn dem SSO-Profil für Ihre Organisation andere Organisationseinheiten oder Gruppen zugewiesen sind, weisen Sie diese dem neuen SSO-Profil zu.

Schritt 4: Domainspezifische URLs aktualisieren

Wenn Ihre Organisation domainspezifische URLs verwendet (z. B. https://mail.google.com/a/IhreDomain.de), aktualisieren Sie diese Einstellung, um das neue SSO-Profil zu verwenden:

  1. Gehen Sie zu Sicherheit und dann SSO mit externen IdPs und dann Domainspezifische Dienst-URLs.
  2. Wählen Sie unter „Nutzer automatisch an den externen IdP im folgenden SSO-Profil weiterleiten“ das neue SSO-Profil aus der Drop-down-Liste aus.

Schritt 5: Bereinigung

  1. Klicken Sie unter Sicherheit und dann SSO mit externen IdPs und dann SSO-Profile auf Legacy-SSO-Profil, um die Profileinstellungen zu öffnen.
  2. Entfernen Sie das Häkchen bei Legacy-SSO-Profil aktivieren, um das Legacy-Profil zu deaktivieren.
  3. Prüfen Sie, ob die automatische Nutzerverwaltung, die Sie mit Ihrem IdP eingerichtet haben, mit Ihrem neuen SSO-Profil ordnungsgemäß funktioniert.
  4. Melden Sie den alten Dienstanbieter bei Ihrem IdP ab.