Zertifikate rotieren
Wenn Sie zwei Zertifikate in ein SAML-SSO-Profil hochladen, kann Google beide Zertifikate verwenden, um eine SAML-Antwort von Ihrem IdP zu validieren. So können Sie ein ablaufendes Zertifikat auf der IdP-Seite sicher rotieren. Führen Sie diese Schritte mindestens 24 Stunden vor Ablauf eines Zertifikats aus:
- Erstellen Sie ein neues Zertifikat beim IdP.
- Laden Sie das Zertifikat als zweites Zertifikat in die Admin-Konsole hoch. Eine Anleitung finden Sie unter SAML-Profil erstellen.
- Warten Sie 24 Stunden, damit die Google-Nutzerkonten mit dem neuen Zertifikat aktualisiert werden können.
- Konfigurieren Sie den IdP so, dass das neue Zertifikat anstelle des ablaufenden Zertifikats verwendet wird.
- Optional: Sobald Nutzer bestätigt haben, dass sie sich anmelden können, entfernen Sie das alte Zertifikat aus der Admin-Konsole. Sie können dann bei Bedarf ein neues Zertifikat hochladen.
„E‑Mail-Adresse automatisch ausfüllen“ verwenden, um SSO-Anmeldungen zu vereinfachen
Wenn Sie ein SSO-Profil für SAML (eingehend) erstellen oder aktualisieren, können Sie die Option E‑Mail-Adresse automatisch ausfüllen aktivieren, um Ihren Nutzern die Anmeldung zu erleichtern.
Mit der Funktion „E‑Mail-Adresse automatisch ausfüllen“ wird das Feld für die E‑Mail-Adresse auf der Anmeldeseite Ihres Drittanbieter-Identitätsanbieters (IdP) automatisch ausgefüllt. Nutzer müssen also nur ihr Passwort eingeben. Sie können E‑Mail-Adresse automatisch ausfüllen aktivieren, wenn Sie ein neues Profil für eingehende SAML-SSO erstellen oder ein vorhandenes aktualisieren.
Bei „E‑Mail-Adresse automatisch ausfüllen“ wird ein Anmeldehinweis-Parameter verwendet, um die E‑Mail-Adressen Ihrer Nutzer sicher an Ihren IdP zu senden. Dieser Parameter ist eine gängige Funktion, die von vielen Drittanbieter-IdPs für IdP-initiierte Anmeldungen unterstützt wird.
Der Parameter für den Anmeldehinweis ist nicht standardisiert. Daher verwenden verschiedene IdPs unterschiedliche Varianten, z. B.:
- login_hint: (wird von IdPs wie Microsoft Entra unterstützt)
- LoginHint: (wird von IdPs wie Okta unterstützt)
Aufgrund dieser Unterschiede müssen Sie prüfen, welches Format Ihr IdP unterstützt, und die entsprechende Einstellung in der Admin-Konsole auswählen.
Optionen zum Aktivieren von „E‑Mail-Adresse automatisch ausfüllen“
„E‑Mail-Adresse automatisch ausfüllen“ in einem neuen Profil aktivieren
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Authentifizierung
SSO mit externem Identitätsanbieter.Hierfür ist die Administratorberechtigung Sicherheitseinstellungen erforderlich.
- Klicken Sie im Bereich Externe SSO-Profile auf SAML-Profil hinzufügen.
- Geben Sie für SAML-SSO-Profil einen Profilnamen ein.
- Wählen Sie für E‑Mail-Adresse automatisch ausfüllen die Option aus, die dem vom IdP unterstützten Format für Anmeldehinweise entspricht.
- Führen Sie im Abschnitt IdP-Details die folgenden Schritte aus:
- Geben Sie die IdP-Entitäts-ID, die URL der Anmeldeseite und die URL der Abmeldeseite ein, die Sie von Ihrem IdP erhalten haben.
- Geben Sie unter URL zur Passwortänderung eine URL zur Passwortänderung für Ihren IdP ein.
Nutzer verwenden diese URL, um ihr Passwort zurückzusetzen.
- Klicken Sie auf Speichern und fahren Sie mit der Erstellung des Profils fort.
„E‑Mail-Adresse automatisch ausfüllen“ in einem vorhandenen Profil aktivieren
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Authentifizierung
SSO mit externem Identitätsanbieter.Hierfür ist die Administratorberechtigung Sicherheitseinstellungen erforderlich.
- Klicken Sie im Bereich Externe SSO-Profile auf das Profil, das Sie aktualisieren möchten.
- Klicken Sie auf Details zum Dienstanbieter.
- Wählen Sie für E‑Mail-Adresse automatisch ausfüllen die Option aus, die dem vom IdP unterstützten Format für Anmeldehinweise entspricht.
- Klicken Sie auf Speichern.
Domainspezifische Dienst-URLs verwalten
Mit der Einstellung Domainspezifische Dienst-URLs können Sie steuern, was passiert, wenn Nutzer sich mit Dienst-URLs wie https://mail.google.com/a/beispiel.de anmelden.
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Authentifizierung
SSO mit externem Identitätsanbieter.Hierfür ist die Administratorberechtigung Sicherheitseinstellungen erforderlich.
- Klicken Sie auf Domainspezifische Dienst-URLs, um die Einstellungen zu öffnen.
Sie haben zwei Möglichkeiten zur Auswahl:
Leiten Sie Nutzer an den externen IdP weiter. Wählen Sie diese Option aus, um diese Nutzer immer zum externen IdP weiterzuleiten, den Sie in der Drop-down-Liste für das SSO-Profil auswählen. Dies kann das SSO-Profil Ihrer Organisation oder ein anderes externes Profil (falls vorhanden) sein.
Wichtig: Wählen Sie diese Einstellung nicht aus, wenn Sie Organisationseinheiten oder Gruppen haben, die unterschiedliche SSO-Profile verwenden.
Nutzer müssen zuerst ihren Nutzernamen auf der Google-Anmeldeseite eingeben. Bei dieser Option werden Nutzer, die domainspezifische URLs eingeben, zuerst zur Google-Anmeldeseite weitergeleitet. SSO-Nutzer werden zur IdP-Anmeldeseite weitergeleitet.
Ergebnisse der Netzwerkzuordnung
Netzwerkmasken sind IP-Adressen, die unter Verwendung der Spezifikation „Classless Inter-Domain Routing (CIDR)“ dargestellt werden. Die CIDR-Spezifikation legt fest, wie viele Bits der IP-Adresse angegeben werden. Das SSO-Profil für Ihre Organisation kann Netzwerkmasken verwenden, um zu bestimmen, welche IP-Adressen oder IP-Adressbereiche für den SSO-Dienst angezeigt werden sollen.
Hinweis:Bei den Einstellungen für Netzwerkmasken werden derzeit nur domainspezifische Dienst-URLs wie service.google.com/a/example.com auf die SSO-Anmeldeseite weitergeleitet.
Netzwerkmasken müssen dem richtigen Format entsprechen. Im folgenden IPv6-Beispiel stehen der Schrägstrich (/) und die Zahl dahinter für das CIDR. Die letzten 96 Bit werden nicht berücksichtigt und alle IP-Adressen in diesem Netzwerkbereich sind betroffen.
- 2001:db8::/32
In diesem IPv4-Beispiel werden die letzten 8 Bit (die Null) nicht berücksichtigt und alle IP-Adressen im Bereich von 64.233.187.0 bis 64.233.187.255 sind betroffen.
- 64.233.187.0/24
In Domains ohne Netzwerkmaske müssen Sie Nutzer, die keine Poweruser sind, dem Identitätsanbieter hinzufügen.
SSO-Nutzererfahrung beim Aufrufen von Google-Dienst-URLs
In der folgenden Tabelle wird die Nutzererfahrung bei direkten Besuchen von Google-Dienst-URLs mit und ohne Netzwerkmaske dargestellt:
| Ohne Netzwerkmaske | Super Admins: | Nutzer: |
|---|---|---|
| dienst.google.com | werden aufgefordert, die E-Mail-Adresse und das Passwort für Ihr Google-Konto einzugeben. | werden aufgefordert, ihre E-Mail-Adresse einzugeben, und dann zur SSO-Anmeldeseite weitergeleitet. |
| Mit Netzwerkmaske | Poweruser und Nutzer: | |
| dienst.google.com | werden aufgefordert, ihre E-Mail-Adresse und ihr Passwort einzugeben. | |
| dienst.google.com /a/meine_domain.de* (innerhalb der Netzwerkmaske) |
werden zur SSO-Anmeldeseite weitergeleitet. | |
| dienst.google.com /a/meine_domain.de (außerhalb der Netzwerkmaske) |
werden aufgefordert, ihre E-Mail-Adresse und ihr Passwort einzugeben. | |
| accounts.google.com/ o/oauth2/v2/auth?login_hint= xxxxx@example.com |
Nutzer, die über den URL-Parameter login_hint auf den OAuth 2.0-Endpunkt von Google zugreifen, werden zur SSO-Anmeldeseite weitergeleitet. |
|
* Dieses URL-Muster wird nicht von allen Diensten unterstützt. Beispiele für Dienste, die das tun, sind Gmail und Drive.
Ablauf der Sitzung, wenn eine Netzwerkmaske konfiguriert ist
Die aktive Google-Sitzung eines Nutzers wird möglicherweise beendet und der Nutzer wird aufgefordert, sich noch einmal zu authentifizieren, wenn:
- Die Nutzersitzung hat die maximale Dauer erreicht, die in der Admin-Konsole unter Google-Sitzungssteuerung festgelegt ist.
- Der Administrator hat über die Admin-Konsole oder die Admin SDK das Passwort des Nutzerkontos geändert oder verlangt, dass Nutzer das Passwort bei der nächsten Anmeldung ändern.
In der Praxis
Wenn Nutzer die Sitzung mit einem externen Identitätsanbieter beginnen, wird sie gelöscht und die Nutzer werden zur Google Log-in-Seite weitergeleitet.
Da der Nutzer seine Google-Sitzung bei einem externen IdP initiiert hat, versteht er möglicherweise nicht, warum er sich bei Google anmelden muss, um wieder Zugriff auf sein Konto zu erhalten. Nutzer werden möglicherweise auch dann auf eine Google-Anmeldeseite weitergeleitet, wenn sie versuchen, andere Google-URLs aufzurufen.
Wenn Sie Wartungsarbeiten planen, bei denen aktive Nutzersitzungen beendet werden, und Verwirrung bei den Nutzern vermeiden möchten, bitten Sie sie, sich von ihren Sitzungen abzumelden und bis zum Abschluss der Wartungsarbeiten abgemeldet zu bleiben.
Nutzerwiederherstellung
Wenn ein Nutzer die Google-Anmeldeseite sieht, weil seine aktive Sitzung beendet wurde, kann er auf eine der folgenden Arten wieder Zugriff auf sein Konto erhalten:
- Wenn der Nutzer die Meldung „Wenn Sie versehentlich auf diese Seite gelangt sind, klicken Sie hier, um sich abzumelden, und versuchen Sie dann noch einmal, sich anzumelden“ sieht, kann er auf den Link in der Meldung klicken.
- Wenn der Nutzer diese Nachricht oder diesen Link nicht sieht, muss er sich abmelden und unter https://accounts.google.com/logout wieder anmelden.
- Durch Löschen der Cookies im Browser
Jede dieser Optionen zur Wiederherstellung hat zur Folge, dass die Google-Sitzung vollständig beendet wird und Nutzer sich wieder neu anmelden können.
2‑Faktor-Authentifizierung mit SSO einrichten
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Authentifizierung
Identitätsbestätigungen.Hierfür benötigen Sie die Administratorberechtigung Verwaltung der Nutzersicherheit.
Wählen Sie links die Organisationseinheit aus, für die Sie die Richtlinie festlegen möchten.
Wenn die Einstellungen für alle Nutzer in der Organisation gelten sollen, ist das die oberste Organisationsebene. Dabei gehen Einstellungen erst einmal von der übergeordneten Organisationseinheit auf die anderen über.
Klicken Sie auf Identitätsbestätigung nach der Einmalanmeldung (SSO).
Wählen Sie die Einstellungen entsprechend der Verwendung von SSO-Profilen in Ihrer Organisation aus. Sie können eine Einstellung für Nutzer anwenden, die das Legacy-SSO-Profil verwenden, und für Nutzer, die sich mit anderen SSO-Profilen anmelden.
Klicken Sie rechts unten auf Speichern.
Google erstellt einen Eintrag im Audit-Log für die Admin-Konsole, um die Änderung der Richtlinie zu dokumentieren.
Die Standardeinstellung für die Identitätsbestätigung nach der Einmalanmeldung hängt vom SSO-Nutzertyp ab:
- Für Nutzer, die sich mit dem alten SSO-Profil anmelden, ist die Standardeinstellung, dass zusätzliche Identitätsbestätigungen und die 2‑Faktor-Authentifizierung umgangen werden.
- Für Nutzer, die sich mit SSO-Profilen anmelden, ist die Standardeinstellung, dass zusätzliche Identitätsbestätigungen und die 2‑Faktor-Authentifizierung angewendet werden.
Weitere Informationen
Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.