מעבר מ-SSO מדור קודם לפרופילי SSO

ב-Google Workspace יש שתי דרכים להגדיר כניסה יחידה (SSO) כש-Google היא הגורם המסתמך של ספק הזהויות:

  • פרופיל SSO מדור קודם – מאפשר להגדיר רק IdP אחד לארגון.
  • פרופילי SSO – הדרך החדשה והמומלצת להגדיר SSO. מאפשרת להחיל הגדרות שונות של SSO על משתמשים שונים בארגון, תומכת גם ב-SAML וגם ב-OIDC, כוללת ממשקי API מודרניים יותר ותהיה המוקד של Google לפיתוח תכונות חדשות.

אנחנו ממליצים לכל הלקוחות לעבור לפרופילי SSO כדי ליהנות מהיתרונות האלה. פרופילי SSO יכולים להתקיים במקביל לפרופיל ה-SSO של הארגון, כך שאתם יכולים לבדוק פרופילי SSO חדשים לפני שאתם מעבירים את כל הארגון.

סקירה כללית של תהליך ההעברה

  1. במסוף Admin, יוצרים פרופיל SSO ל-IdP ורושמים את הפרופיל החדש ב-IdP.
  2. מקצים משתמשי בדיקה שישתמשו בפרופיל החדש כדי לוודא שהוא פועל.
  3. מקצים את היחידה הארגונית ברמה העליונה לפרופיל החדש.
  4. מעדכנים את כתובות ה-URL הספציפיות לדומיין כך שישתמשו בפרופיל החדש.
  5. ניקוי: מבטלים את הרישום של ספק השירות הישן ומוודאים שההקצאה האוטומטית של הרשאות למשתמשים עדיין פועלת.

שלב 1: יוצרים פרופיל SSO

  1. כדי ליצור פרופיל SAML SSO חדש, פועלים לפי השלבים האלה. הפרופיל החדש צריך להשתמש באותו IdP כמו פרופיל ה-SSO הקיים של הארגון.

  2. רושמים את פרופיל ה-SSO החדש ב-IdP כספק שירות חדש.

    ספק הזהויות יראה את הפרופיל החדש כספק שירות נפרד (יכול להיות שהוא יקרא לו "אפליקציות" או "גורמים מסתמכים"). האופן שבו רושמים את ספק השירות החדש משתנה בהתאם ל-IdP, אבל בדרך כלל צריך להגדיר את מזהה הישות ואת כתובת ה-URL של Assertion Consumer Service ‏ (ACS) לפרופיל החדש.

הערות למשתמשי API

  • אם אתם משתמשים בפרופיל ה-SSO של הארגון, אתם יכולים להשתמש רק ב-Google Workspace Admin Settings API כדי לנהל את הגדרות ה-SSO.
  • אפשר להשתמש ב-Cloud Identity API כדי לנהל פרופילי SSO בתור inboundSamlSsoProfiles, ולהקצות אותם לקבוצות או ליחידות ארגוניות באמצעות inboundSsoAssignments.

ההבדלים בין פרופילי SSO לבין פרופיל SSO מדור קודם

טענות נכונות (assertions) של סופר-אדמין

פרופילי SSO לא מקבלים טענות נכוֹנוּת (assertions) לגבי סופר-אדמינים. כשמשתמשים בפרופיל ה-SSO של הארגון, טענות נכונות מתקבלות, אבל סופר-אדמינים לא מופנים ל-IdP. לדוגמה, הטענות הבאות יתקבלו:

  • המשתמש לוחץ על קישור למרכז האפליקציות מה-IdP (SAML ביוזמת IdP)
  • המשתמש עובר לכתובת URL של שירות ספציפי לדומיין (לדוגמה, https://drive.google.com/a/your_domain.com)
  • המשתמש נכנס ל-Chromebook שמוגדר לנווט ישירות ל-IdP. מידע נוסף

הגדרות אימות אחרי כניסה יחידה (SSO)

ההגדרות שקובעות את האימות אחרי כניסה יחידה (SSO) (כמו אתגרי אימות זהות או אימות דו-שלבי) שונות בפרופילי SSO מאשר בפרופיל ה-SSO של הארגון. כדי למנוע בלבול, מומלץ להגדיר את שתי ההגדרות לאותו ערך. מידע נוסף

שלב 2: מקצים משתמשי בדיקה לפרופיל

מומלץ לבדוק בהתחלה את פרופיל ה-SSO החדש על משתמשים בקבוצה או ביחידה ארגונית אחת, לפני שמעבירים את כל המשתמשים. אפשר להשתמש בקבוצה או ביחידה ארגונית קיימת, או ליצור אחת חדשה לפי הצורך.

אם יש לכם מכשירי ChromeOS מנוהלים, אנחנו ממליצים לבצע בדיקות שמבוססות על יחידות ארגוניות, כי אפשר להקצות מכשירי ChromeOS ליחידות ארגוניות, אבל לא לקבוצות.

  1. (אופציונלי) יוצרים יחידה ארגונית חדשה או הגדרות חדשות לקבוצת משתמשים ומקצים להם משתמשים לבדיקה.
  2. כדי להקצות משתמשים לפרופיל ה-SSO החדש, צריך לפעול לפי השלבים האלה.

הערות לארגונים עם מכשירי ChromeOS מנוהלים

אם הגדרתם SSO למכשירי ChromeOS כך שהמשתמשים מנווטים ישירות ל-IdP, כדאי לבדוק את ההתנהגות של ה-SSO בנפרד למשתמשים האלה.

חשוב לזכור שכדי שהכניסה תצליח, פרופיל ה-SSO שמוקצה ליחידה הארגונית של המכשיר צריך להתאים לפרופיל ה-SSO שמוקצה ליחידה הארגונית של המשתמש במכשיר.

לדוגמה, אם כרגע יש לכם יחידה ארגונית של מכירות לעובדים שמשתמשים במכשירי Chromebook מנוהלים ונכנסים ישירות ל-IdP, אתם יכולים ליצור יחידה ארגונית כמו "sales_sso_testing", להקצות לה את הפרופיל החדש ולהעביר חלק מהמשתמשים ומכשירי ה-Chromebook שהם משתמשים בהם ליחידה הארגונית הזו.

שלב 3: מקצים את היחידה הארגונית ברמה העליונה ומעדכנים את כתובות ה-URL של השירותים

אחרי שבודקים בהצלחה את פרופיל ה-SSO החדש בקבוצת בדיקה או ביחידה ארגונית, אפשר להעביר משתמשים אחרים.

  1. נכנסים לאבטחה ואז SSO עם ספקי זהות (IDPs) של צד שלישי ואז ניהול הקצאות לפרופיל SSO.
  2. לוחצים על ניהול.
  3. בוחרים את היחידה הארגונית ברמה העליונה ומקצים אותה לפרופיל ה-SSO החדש.
  4. (אופציונלי) אם יחידות ארגוניות או קבוצות אחרות מוקצות לפרופיל ה-SSO של הארגון, צריך להקצות אותן לפרופיל ה-SSO החדש.

שלב 4: מעדכנים את כתובות ה-URL הספציפיות לדומיין

אם הארגון משתמש בכתובות URL ספציפיות לדומיין (לדוגמה, https://mail.google.com/a/your_domain.com), צריך לעדכן את ההגדרה הזו כדי להשתמש בפרופיל ה-SSO החדש:

  1. נכנסים לאבטחה ואז SSO עם ספקי זהות (IDPs) של צד שלישי ואז כתובות URL של שירותים ספציפיים לדומיין.
  2. בקטע "הפניית משתמשים באופן אוטומטי ל-IdP של צד שלישי בפרופיל ה-SSO הבא", בוחרים את פרופיל ה-SSO החדש מהרשימה הנפתחת.

שלב 5: ניקוי

  1. בקטע אבטחה ואז SSO עם ספקי זהות (IDPs) של צד שלישי ואז פרופילי SSO, לוחצים על פרופיל SSO מדור קודם כדי לפתוח את הגדרות הפרופיל.
  2. כדי להשבית את הפרופיל מדור קודם, מבטלים את הסימון של הפעלת פרופיל SSO מדור קודם.
  3. מוודאים שהקצאת ההרשאות האוטומטית למשתמשים שהוגדרה עם ספק הזהויות פועלת כמו שצריך עם פרופיל ה-SSO החדש.
  4. מבטלים את הרישום של ספק השירות הישן ב-IdP.