Optionele SSO-instellingen en onderhoud

Certificaten laten rouleren

Als u 2 certificaten uploadt naar een SAML Single sign-on (SSO)-profiel, kan Google beide certificaten gebruiken om een SAML-reactie van uw IdP te valideren. Zo kunt u een verlopen certificaat veiliger laten rouleren aan de IdP-zijde. Voer deze stappen minstens 24 uur voordat een certificaat verloopt uit:

  1. Maak een nieuw certificaat bij de IdP.
  2. Upload het certificaat als het 2e certificaat naar de Beheerdersconsole. Ga naar Een SAML-profiel maken voor instructies.
  3. Wacht 24 uur zodat de Google-gebruikersaccounts kunnen worden geüpdatet met het nieuwe certificaat.
  4. Stel de IdP zo in dat het nieuwe certificaat wordt gebruikt in plaats van het verlopen certificaat.
  5. (Optioneel) Nadat gebruikers hebben bevestigd dat ze kunnen inloggen, verwijdert u het oude certificaat uit de Beheerdersconsole. U kunt dan in de toekomst zo nodig een nieuw certificaat uploaden.

E-mail automatisch invullen gebruiken om inloggen met SSO te vereenvoudigen

Zet E-mail automatisch invullen aan als u een inkomend SAML Single Sign-On-profiel (SSO) maakt of updatet, zodat uw gebruikers kunnen inloggen.

Met E-mail automatisch invullen wordt het e-mailadresveld op de inlogpagina van uw externe identiteitsprovider (IdP) automatisch ingevuld. Gebruikers hoeven dus alleen hun wachtwoord in te voeren. U kunt E-mail automatisch invullen aanzetten als u een nieuw inkomend SAML SSO-profiel maakt of een bestaand profiel updatet.

E-mail automatisch invullen gebruikt een parameter voor inloghints om de e-mailadressen van uw gebruikers beveiligd naar uw IdP te sturen. Deze parameter is een veelgebruikte functie die veel externe IdP's ondersteunen voor inlogpogingen die door de IdP worden gestart.

De parameter voor de inloghint is niet gestandaardiseerd. Verschillende IdP's gebruiken dus verschillende varianten, zoals:

  • login_hint: (ondersteund door IdP's zoals Microsoft Entra)
  • LoginHint: (ondersteund door IdP's zoals Okta)

Vanwege deze variaties moet u bevestigen welke indeling uw IdP ondersteunt en de bijbehorende instelling kiezen in de Google Beheerdersconsole.

Opties om E-mail automatisch invullen aan te zetten

E-mail automatisch invullen aanzetten in een nieuw profiel

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik in het gedeelte SSO-profielen van derden op SAML-profiel toevoegen.
  3. Voer bij SAML SSO-profiel een profielnaam in.
  4. Selecteer bij E-mail automatisch invullen de optie die overeenkomt met de indeling voor inloghints die uw IdP ondersteunt.
  5. Voer in het gedeelte IdP-gegevens de volgende stappen uit:
    1. Voer de entiteits-ID van de IdP, de inlogpagina-URL en de uitlogpagina-URL in die u van uw IdP heeft gekregen.
    2. Voer bij URL voor wachtwoord wijzigen een URL voor wachtwoordwijzigingen in voor uw IdP.
      Gebruikers gaan naar deze URL om hun wachtwoord te resetten.
  6. Klik op Opslaan en ga door met het maken van het profiel.

E-mail automatisch invullen aanzetten in een bestaand profiel

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik in het gedeelte SSO-profielen van derden op het profiel dat u wilt updaten.
  3. Klik op SP-gegevens.
  4. Selecteer bij E-mail automatisch invullen de optie die overeenkomt met de indeling voor inloghints die uw IdP ondersteunt.
  5. Klik op Opslaan.

Domeinspecifieke service-URL's beheren

Met de instelling Domeinspecifieke service-URL's bepaalt u wat er gebeurt wanneer gebruikers inloggen met service-URL's als https://mail.google.com/a/example.com.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik op Domeinspecifieke service-URL's om de instellingen te openen.

Er zijn 2 opties:

  • Gebruikers omleiden naar de IdP van derden. Kies deze optie om deze gebruikers altijd door te sturen naar de IdP van derden die u selecteert in het dropdownmenu SSO-profiel. Dit kan het SSO-profiel voor uw organisatie zijn of een ander profiel van derden (als u er een heeft toegevoegd).

    Belangrijk: Als u organisatie-eenheden of groepen heeft die verschillende SSO-profielen gebruiken, kiest u deze instelling niet.

  • Vereisen dat gebruikers eerst hun gebruikersnaam invullen op de inlogpagina van Google. Als u deze optie kiest, worden gebruikers die domeinspecifieke URL's invullen eerst naar de inlogpagina van Google gestuurd. Als ze SSO-gebruikers zijn, worden ze omgeleid naar de inlogpagina van de IdP.

Resultaten netwerktoewijzingen

Netwerkmaskers zijn IP-adressen die worden weergegeven met CIDR (Classless Inter-Domain Routing). De CIDR specificeert hoeveel bits van het IP-adres moeten worden meegenomen. Het SSO-profiel voor uw organisatie kan netwerkmaskers gebruiken om te bepalen welke IP-adressen of IP-adresbereiken moeten worden gepresenteerd met de SSO-service.

Opmerking:Voor de instellingen voor netwerkmaskers worden momenteel alleen domeinspecifieke service-URL's, zoals service.google.com/a/example.com, omgeleid naar de SSO-inlogpagina.

Het is belangrijk dat elk netwerkmasker de juiste indeling krijgt. In het volgende IPv6-voorbeeld staan de slash (/) en het cijfer erna voor de CIDR. De laatste 96 bits worden niet meegenomen en alle IP-adressen in dat netwerkbereik worden beïnvloed.

  • 2001:db8::/32

In dit IPv4-voorbeeld wordt geen rekening gehouden met de laatste 8 bits (de nul) en worden alle IP-adressen in het bereik van 64.233.187.0 tot en met 64.233.187.255 beïnvloed.

  • 64.233.187.0/24

Voeg in domeinen zonder netwerkmasker gebruikers die geen superbeheerder zijn toe aan de identiteitsprovider (IdP).

SSO-gebruikerservaring bij URL's van Google-services

In de volgende tabel staat de gebruikerservaring voor rechtstreekse bezoeken aan URL's van Google-services, met en zonder netwerkmasker:

Zonder netwerkmasker Hoofdbeheerders: Gebruikers:
service.google.com Worden gevraagd hun e-mailadres en wachtwoord van het Google-account in te voeren. Worden gevraagd hun e-mailadres in te voeren en worden daarna omgeleid naar de SSO-inlogpagina.
Met netwerkmasker Hoofdbeheerders en gebruikers:
service.google.com Worden gevraagd om hun e-mailadres en wachtwoord.
service.google.com
/a/uw_domein.com*
(binnen netwerkmasker)		 Worden omgeleid naar de SSO-inlogpagina.
service.google.com
/a/uw_domein.com
(buiten netwerkmasker
)		 Worden gevraagd om hun e-mailadres en wachtwoord.
accounts.google.com/
o/oauth2/v2/auth?login_hint=
xxxxx@example.com

Gebruikers die het OAuth 2.0-eindpunt van Google openen met de URL-parameter login_hint worden omgeleid naar de SSO-inlogpagina.

* Niet alle services ondersteunen dit URL-patroon. Voorbeelden van services die dit wel doen, zijn Gmail en Drive.

Sessieverloop wanneer een netwerkmasker wordt geconfigureerd

In de volgende gevallen kan de actieve Google-sessie van een gebruiker worden beëindigd en kan de gebruiker worden gevraagd opnieuw te verifiëren:

  • De gebruikerssessie heeft de maximum toegestane duur bereikt die is opgegeven in de instelling Beheer van Google-sessie in de Beheerdersconsole.
  • De beheerder heeft het gebruikersaccount aangepast (via de Beheerdersconsole of de Admin SDK) door het wachtwoord te wijzigen of te vereisen dat de gebruiker het wachtwoord wijzigt wanneer deze de volgende keer inlogt.

Wat de gebruiker ziet

Als de gebruiker de sessie start via een IdP van derden, wordt de sessie gewist en wordt de gebruiker omgeleid naar de pagina 'Inloggen bij Google'.

Omdat de gebruiker de Google-sessie heeft gestart bij een IdP van derden, begrijpt deze misschien niet waarom die moet inloggen bij Google om weer toegang te krijgen tot het account. Gebruikers kunnen worden omgeleid naar een Google-inlogpagina, zelfs als ze naar andere Google-URL's proberen te gaan.

Als u onderhoud plant waarbij actieve gebruikerssessies worden beëindigd en u wilt voorkomen dat gebruikers in de war raken, vraagt u uw gebruikers uit te loggen bij hun sessies en uitgelogd te blijven totdat het onderhoud is afgerond.

Herstel door gebruikers

Als een gebruiker de Google-inlogpagina ziet omdat de actieve sessie is beëindigd, kan die weer toegang krijgen tot het account door een van de volgende handelingen uit te voeren:

  • Als de gebruiker het bericht 'Als je per ongeluk op deze pagina bent terechtgekomen, klik je hier om uit te loggen en probeer je opnieuw in te loggen' ziet, kan deze op de link in het bericht klikken.
  • Als de gebruiker dat bericht of die link niet ziet, logt deze uit en weer in via https://accounts.google.com/logout.
  • De gebruiker kan ook de browsercookies wissen.

Wanneer de gebruiker een van deze herstelmethoden heeft gebruikt, wordt de Google-sessie volledig beëindigd en kan de gebruiker weer inloggen.

Tweestapsverificatie met SSO instellen

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan Inlogchallenges.

    Hiervoor is het beheerdersrecht Gebruikersveiligheidsbeheer vereist.

  2. Selecteer links de organisatie-eenheid waarvoor u het beleid wilt instellen.

    Selecteer de organisatie op het hoogste niveau als u wilt dat de instellingen gelden voor alle gebruikers. Een organisatie-eenheid neemt in eerste instantie de instellingen over van de bovenliggende organisatie-eenheid.

  3. Klik op Verificatie na SSO.

  4. Kies instellingen op basis van hoe u SSO-profielen in uw organisatie gebruikt. U kunt een instelling toepassen voor gebruikers die het oudere SSO-profiel gebruiken en voor gebruikers die inloggen met andere SSO-profielen.

  5. Klik rechtsonder op Opslaan.

    Google maakt een invoer in het controlelogboek voor beheerders waarin staat dat een beleid is gewijzigd.

De standaardinstelling voor verificatie na SSO hangt af van het SSO-gebruikerstype:

  • Voor gebruikers die inloggen met het oudere SSO-profiel is de standaardinstelling dat aanvullende inlogcontroles en tweestapsverificatie worden overgeslagen.
  • Voor gebruikers die inloggen met andere SSO-profielen worden standaard aanvullende inlogcontroles en tweestapsverificatie toegepast.

Zie ook:


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.