Chế độ cài đặt SSO không bắt buộc và hoạt động bảo trì

Cách xoay vòng chứng chỉ

Nếu bạn tải hai chứng chỉ lên một hồ sơ Đăng nhập một lần (SSO) dựa trên SAML, thì Google có thể sử dụng một trong hai chứng chỉ để xác thực phản hồi SAML từ nhà cung cấp dịch vụ danh tính (IdP) của bạn. Điều này cho phép bạn xoay vòng một cách an toàn chứng chỉ sắp hết hạn ở phía IdP. Hãy làm theo các bước sau ít nhất 24 giờ trước khi chứng chỉ hết hạn:

1. Tạo một chứng chỉ mới trên IdP.
2. Tải chứng chỉ lên làm chứng chỉ thứ hai vào Bảng điều khiển dành cho quản trị viên. Để biết hướng dẫn, hãy xem bài viết Tạo hồ sơ SAML.
3. Chờ 24 giờ để cho phép các tài khoản người dùng Google cập nhật chứng chỉ mới.
4. Định cấu hình IdP để sử dụng chứng chỉ mới thay cho chứng chỉ sắp hết hạn.
5. (Không bắt buộc) Sau khi người dùng xác nhận rằng họ có thể đăng nhập, hãy xoá chứng chỉ cũ khỏi Bảng điều khiển dành cho quản trị viên. Sau đó, bạn có thể tải chứng chỉ mới lên trong tương lai nếu cần.

Sử dụng tính năng Tự động điền email để đơn giản hoá quy trình đăng nhập một lần (SSO)

Để giúp người dùng đăng nhập, hãy bật tính năng Tự động điền email khi tạo hoặc cập nhật hồ sơ Đăng nhập một lần (SSO) dựa trên SAML chiều đến.

Tính năng Tự động điền email sẽ tự động điền vào trường địa chỉ email trên trang đăng nhập của nhà cung cấp dịch vụ danh tính (IdP) bên thứ ba. Do đó, người dùng chỉ phải nhập mật khẩu. Bạn có thể bật tính năng Tự động điền email khi tạo hồ sơ Đăng nhập một lần (SSO) dựa trên SAML chiều đến mới hoặc cập nhật hồ sơ hiện có.

Tính năng Tự động điền email sử dụng tham số gợi ý đăng nhập để gửi địa chỉ email của người dùng đến IdP một cách an toàn. Tham số này là một tính năng phổ biến mà nhiều IdP bên thứ ba hỗ trợ cho quy trình đăng nhập do IdP khởi tạo.

Tham số của gợi ý đăng nhập không được chuẩn hoá, vì vậy, các IdP khác nhau sử dụng các biến thể khác nhau, chẳng hạn như:

• login_hint: (được các IdP như Microsoft Entra hỗ trợ)
• LoginHint: (được các IdP như Okta hỗ trợ)

Do các biến thể này, bạn cần xác nhận định dạng mà IdP của bạn hỗ trợ và chọn chế độ cài đặt tương ứng trong Bảng điều khiển dành cho quản trị viên của Google.

Các cách để bật tính năng Tự động điền email

Quản lý URL dịch vụ dành riêng cho miền

Chế độ cài đặt URL dịch vụ dành riêng cho miền cho phép bạn kiểm soát những điều xảy ra khi người dùng đăng nhập bằng các URL dịch vụ như https://mail.google.com/a/example.com.

1. Trong Bảng điều khiển dành cho quản trị viên của Google, hãy chuyển đến biểu tượng Trình đơn Bảo mật Xác thực Đăng nhập một lần (SSO) thông qua IdP bên thứ ba.

   Chuyển đến phần Đăng nhập một lần (SSO) thông qua IdP bên thứ ba

   Bạn phải có đặc quyền Cài đặt bảo mật của quản trị viên.

2. Nhấp vào URL dịch vụ dành riêng cho miền để mở phần cài đặt.

Bạn có hai phương án:

• Chuyển hướng người dùng đến IdP bên thứ ba. Chọn tuỳ chọn này để luôn định tuyến những người dùng này đến IdP bên thứ ba mà bạn chọn trong danh sách thả xuống hồ sơ Đăng nhập một lần (SSO). Đây có thể là hồ sơ Đăng nhập một lần (SSO) cho tổ chức của bạn hoặc một hồ sơ bên thứ ba khác (nếu bạn đã thêm một hồ sơ).

  Quan trọng: Nếu bạn có các đơn vị tổ chức hoặc nhóm không sử dụng tính năng Đăng nhập một lần (SSO), thì đừng chọn chế độ cài đặt này. Những người dùng không sử dụng tính năng Đăng nhập một lần (SSO) sẽ được tự động định tuyến đến IdP và không thể đăng nhập.

• Yêu cầu người dùng nhập tên người dùng của họ trên trang đăng nhập của Google. Với tuỳ chọn này, người dùng nhập URL dành riêng cho miền sẽ được gửi đến trang đăng nhập của Google trước. Nếu là người dùng Đăng nhập một lần (SSO), họ sẽ được chuyển hướng đến trang đăng nhập của IdP.

Kết quả ánh xạ mạng

Mặt nạ mạng là các địa chỉ IP được biểu thị bằng ký hiệu Định tuyến liên miền không phân lớp (CIDR). CIDR chỉ định số bit của địa chỉ IP được đưa vào. Hồ sơ Đăng nhập một lần (SSO) cho tổ chức của bạn có thể sử dụng mặt nạ mạng để xác định địa chỉ IP hoặc dải địa chỉ IP nào sẽ hiển thị bằng dịch vụ Đăng nhập một lần (SSO).

Lưu ý: Đối với chế độ cài đặt mặt nạ mạng, hiện chỉ có URL dịch vụ dành riêng cho miền, ví dụ: service.google.com/a/example.com, chuyển hướng đến trang đăng nhập một lần (SSO).

Điều quan trọng là mỗi mặt nạ mạng cần sử dụng định dạng chính xác. Trong ví dụ về IPv6 sau đây, dấu gạch chéo (/) và số sau dấu gạch chéo biểu thị CIDR. 96 bit cuối cùng không được xem xét và tất cả địa chỉ IP trong dải mạng đó đều bị ảnh hưởng.

• 2001:db8::/32

Trong ví dụ về IPv4 này, 8 bit cuối cùng (số 0) không được xem xét và tất cả địa chỉ IP nằm trong dải từ 64.233.187.0 đến 64.233.187.255 đều sẽ bị ảnh hưởng.

• 64.233.187.0/24

Trong các miền không có mặt nạ mạng, bạn phải thêm những người dùng không phải là quản trị viên cấp cao vào nhà cung cấp dịch vụ danh tính (IdP).

Thiết lập tính năng Xác minh 2 bước bằng tính năng Đăng nhập một lần (SSO)

1. Trong Bảng điều khiển dành cho quản trị viên của Google, hãy chuyển đến biểu tượng Trình đơn Bảo mật Xác thực Xác thực đăng nhập.

   Chuyển đến phần Xác thực đăng nhập

   Bạn phải có đặc quyền Quản lý chế độ cài đặt bảo mật cho người dùng của quản trị viên.

2. Ở bên trái, hãy chọn đơn vị tổ chức mà bạn muốn thiết lập chính sách.

   Để áp dụng tất cả người dùng, hãy chọn đơn vị tổ chức cấp cao nhất. Ban đầu, các đơn vị tổ chức sẽ kế thừa chế độ cài đặt của đơn vị tổ chức mẹ.

3. Nhấp vào Xác minh sau quy trình Đăng nhập một lần (SSO).

4. Chọn chế độ cài đặt theo cách bạn sử dụng hồ sơ Đăng nhập một lần (SSO) trong tổ chức. Bạn có thể áp dụng một chế độ cài đặt cho những người dùng sử dụng hồ sơ Đăng nhập một lần (SSO) cũ và một chế độ cài đặt khác cho những người dùng đăng nhập bằng các hồ sơ Đăng nhập một lần (SSO) khác.

5. Ở dưới cùng bên phải, hãy nhấp vào Lưu.

   Google sẽ tạo một mục trong nhật ký kiểm tra của quản trị viên để cho biết mọi thay đổi về chính sách.

Chế độ cài đặt mặc định cho việc xác minh sau quy trình Đăng nhập một lần (SSO) phụ thuộc vào loại người dùng Đăng nhập một lần (SSO):

• Đối với những người dùng đăng nhập bằng hồ sơ Đăng nhập một lần (SSO) cũ, chế độ cài đặt mặc định là bỏ qua các biện pháp xác thực đăng nhập bổ sung và tính năng xác minh 2 bước.
• Đối với những người dùng đăng nhập bằng hồ sơ Đăng nhập một lần (SSO), chế độ cài đặt mặc định là áp dụng các biện pháp xác thực đăng nhập bổ sung và tính năng xác minh 2 bước.

Xem thêm

• Đăng nhập một lần (SSO) của quản trị viên cấp cao
• Khắc phục sự cố đăng nhập một lần (SSO)

Google, Google Workspace và những nhãn hiệu cũng như biểu tượng có liên quan là nhãn hiệu của Google LLC. Tất cả các tên sản phẩm và công ty khác là nhãn hiệu của những công ty mà chúng liên kết.