הגדרות SSO אופציונליות ותחזוקה

איך מחליפים אישורים

אם אתם מעלים שני אישורים לפרופיל כניסה יחידה (SSO) ב-SAML, ‏ Google יכולה להשתמש בכל אחד מהם כדי לאמת תגובת SAML מה-IdP שלכם. כך אפשר להחליף בבטחה אישור שתוקפו עומד לפוג בצד של ה-IdP. צריך לבצע את השלבים הבאים לפחות 24 שעות לפני שתוקף האישור אמור לפוג:

  1. יוצרים אישור חדש ב-IdP.
  2. מעלים את האישור כאישור השני למסוף Admin. להוראות, ראו יצירת פרופיל SAML.
  3. ממתינים 24 שעות כדי לאפשר לחשבונות המשתמשים ב-Google להתעדכן עם האישור החדש.
  4. מגדירים את ה-IdP כך שישתמש באישור החדש במקום באישור שתוקפו עומד לפוג.
  5. (אופציונלי) אחרי שהמשתמשים מאשרים שהם יכולים להיכנס, מסירים את האישור הישן ממסוף Admin. אחר כך תוכלו להעלות אישור חדש בעתיד לפי הצורך.

שימוש במילוי אוטומטי של כתובת אימייל כדי לפשט את הכניסות באמצעות SSO

כדי לעזור למשתמשים להיכנס לחשבון, אתם יכולים להפעיל את ההגדרה מילוי אוטומטי של כתובת אימייל כשאתם יוצרים או מעדכנים פרופיל של כניסה יחידה (SSO) ב-SAML נכנס.

התכונה "מילוי אוטומטי של כתובת אימייל" ממלאת באופן אוטומטי את השדה של כתובת האימייל בדף הכניסה של ספק הזהויות (IdP) של הצד השלישי. לכן, המשתמשים צריכים להזין רק את הסיסמה שלהם. אתם יכולים להפעיל את ההגדרה מילוי אוטומטי של כתובת אימייל כשאתם יוצרים פרופיל חדש של שירות SAML SSO נכנס או מעדכנים פרופיל קיים.

כדי למלא אוטומטית את כתובת האימייל, המערכת משתמשת בפרמטר רמז להתחברות כדי לשלוח באופן מאובטח את כתובות האימייל של המשתמשים ל-IdP. הפרמטר הזה הוא תכונה נפוצה שהרבה ספקי זהויות של צד שלישי תומכים בה בכניסות ביוזמת ספק הזהויות.

הפרמטר של רמז ההתחברות לא אחיד, ולכן ספקי זהויות שונים משתמשים בגרסאות שונות, למשל:

  • ‫login_hint: (נתמך על ידי ספקי זהויות כמו Microsoft Entra)
  • ‫LoginHint: (נתמך על ידי ספקי זהויות כמו Okta)

בגלל ההבדלים האלה, צריך לבדוק באיזה פורמט ה-IdP תומך ולבחור את ההגדרה המתאימה במסוף Google Admin.

אפשרויות להפעלת מילוי אוטומטי של כתובת אימייל

הפעלת המילוי האוטומטי של כתובת האימייל בפרופיל חדש

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילים של צד שלישי ל-SSO, לוחצים על הוספת פרופיל SAML.
  3. בפרופיל SAML SSO, מזינים שם לפרופיל.
  4. בקטע מילוי אוטומטי של כתובת אימייל, בוחרים את האפשרות שתואמת לפורמט של הרמז להתחברות שנתמך ב-IdP.
  5. בקטע פרטי IdP, מבצעים את הפעולות הבאות:
    1. מזינים את מזהה הישות ב-SAML של ה-IdP, את כתובת ה-URL של דף הכניסה ואת כתובת ה-URL של דף היציאה שקיבלתם מה-IdP.
    2. בשדה כתובת URL לשינוי סיסמה, מזינים את כתובת ה-URL לשינוי סיסמה של ה-IdP.
      המשתמשים יופנו אל כתובת ה-URL הזו כדי לאפס את הסיסמאות שלהם.
  6. לוחצים על שמירה וממשיכים ליצור את הפרופיל.

הפעלת המילוי האוטומטי של כתובת האימייל בפרופיל קיים

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילי SSO של צד שלישי, לוחצים על הפרופיל שרוצים לעדכן.
  3. לוחצים על פרטי ספק השירות.
  4. בקטע מילוי אוטומטי של כתובת אימייל, בוחרים את האפשרות שתואמת לפורמט של הרמז להתחברות שנתמך ב-IdP.
  5. לוחצים על שמירה.

ניהול כתובות URL של שירותים בדומיין מסוים

ההגדרה כתובות URL של שירותים ספציפיים לדומיין מאפשרת לכם לקבוע מה יקרה כשמשתמשים ייכנסו באמצעות כתובות URL של שירותים, כמו https://mail.google.com/a/example.com.

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. לוחצים על כתובות URL של שירותים בדומיין מסוים כדי לפתוח את ההגדרות.

יש שתי אפשרויות:

  • מפנים את המשתמשים ל-IdP של הצד השלישי. צריך לבחור באפשרות הזו כדי לנתב תמיד את המשתמשים האלה ל-IdP של הצד השלישי שבחרתם ברשימה הנפתחת של פרופיל ה-SSO. זה יכול להיות פרופיל ה-SSO של הארגון, או פרופיל אחר של צד שלישי (אם הוספתם אחד).

    חשוב: אם יש לכם יחידות ארגוניות או קבוצות שמשתמשות בפרופילי SSO שונים, אל תבחרו בהגדרה הזו.

  • המשתמשים צריכים להזין את שם המשתמש שלהם בדף הכניסה של Google. באפשרות הזו, משתמשים שמזינים כתובות URL ספציפיות לדומיין מועברים קודם לדף הכניסה של Google. אם הם משתמשי SSO, הם מופנים לדף הכניסה של ה-IdP.

תוצאות מיפוי הרשת

מסכות רשת הן כתובות IP שמיוצגות באמצעות סימון Classless Inter-Domain Routing‏ (CIDR). ה-CIDR מציין כמה ביטים של כתובת ה-IP כלולים. בפרופיל ה-SSO של הארגון אפשר להשתמש במסכות רשת כדי לקבוע אילו כתובות IP או טווחי כתובות IP יוצגו בשירות ה-SSO.

הערה: בהגדרות של מסכות הרשת, רק כתובות URL של שירותים ספציפיים לדומיין, למשל service.google.com/a/example.com, מפנות כרגע לדף הכניסה של ה-SSO.

חשוב ליצור את כל מסיכות הרשת בתבנית הנכונה. בדוגמה הבאה של IPv6, הלוכסן (/) והמספר שאחריו מייצגים את ה-CIDR. ‫96 הביטים האחרונים לא נלקחים בחשבון, וכל כתובות ה-IP בטווח הרשת הזה מושפעות.

  • ‎2001:db8::/32

בדוגמה הזו של IPv4, המערכת לא מתחשבת ב-8 הביטים האחרונים (האפס), וכל כתובות ה-IP בטווח שבין 64.233.187.0 ל-64.233.187.255 יושפעו.

  • 64.233.187.0/24

בדומיינים בלי מסכת רשת, צריך להוסיף לספק הזהויות (IdP) משתמשים שהם לא סופר-אדמינים.

חוויית המשתמש ב-SSO כשנכנסים לכתובות URL של שירותי Google

בטבלה הבאה מוצגת חוויית המשתמש בביקורים ישירים בכתובות URL של שירותי Google, עם ובלי מסכת רשת:

ללא מסכת רשת סופר-אדמינים הם: המשתמשים הם:
service.google.com הם יתבקשו להזין את כתובת האימייל והסיסמה של חשבון Google שלהם. הם יתבקשו להזין את כתובת האימייל שלהם, ואז יופנו לדף הכניסה של ה-SSO.
עם מסכת רשת סופר-אדמינים ומשתמשים:
service.google.com מתבקשים להזין את כתובת האימייל והסיסמה שלהם.
service.google.com
/a/your_domain.com*
(בתוך מסכת הרשת)		 הפנייה אוטומטית לדף הכניסה של ה-SSO.
service.google.com
/a/your_domain.com
(outside network
mask)		 מתבקשים להזין את כתובת האימייל והסיסמה שלהם.
accounts.google.com/
o/oauth2/v2/auth?login_hint=
xxxxx@example.com

משתמשים שניגשים לנקודת הקצה של OAuth 2.0 של Google באמצעות הפרמטר login_hint של כתובת ה-URL מופנים אוטומטית לדף הכניסה של ה-SSO.

* לא כל השירותים תומכים בתבנית הזו של כתובת URL. דוגמאות לשירותים שכן דורשים כניסה לחשבון: Gmail ו-Drive.

תפוגת תוקף של סשן כשמוגדרת מסכת רשת

יכול להיות שהסשן הפעיל של המשתמש ב-Google יסתיים והמשתמש יתבקש לבצע אימות מחדש במקרים הבאים:

  • סשן המשתמש מגיע למשך הזמן המקסימלי שמותר לפי ההגדרה בקרת סשנים ב-Google במסוף Admin.
  • האדמין שינה את חשבון המשתמש על ידי שינוי הסיסמה או דרישה מהמשתמש לשנות את הסיסמה בכניסה הבאה שלו (דרך מסוף Admin או באמצעות SDK לאדמינים).

חוויית משתמש

אם המשתמש התחיל את הסשן ב-IdP של צד שלישי, הסשן נמחק והמשתמש מופנה לדף הכניסה באמצעות חשבון Google.

בגלל שהמשתמש התחיל את הסשן שלו ב-Google דרך ספק זהויות של צד שלישי, יכול להיות שהוא לא יבין למה הוא צריך להיכנס ל-Google כדי לקבל שוב גישה לחשבון שלו. יכול להיות שהמשתמשים יופנו לדף הכניסה באמצעות חשבון Google גם כשהם ינסו להיכנס לכתובות URL אחרות של Google.

אם אתם מתכננים לבצע פעולות תחזוקה שכוללות סגירה של סשנים פעילים של משתמשים, וכדי למנוע בלבול בקרב המשתמשים, כדאי להגיד להם לצאת מהחשבון ולא להיכנס אליו עד שהתחזוקה תסתיים.

שחזור משתמשים

כשמשתמש רואה את דף הכניסה באמצעות חשבון Google כי הסשן הפעיל שלו הסתיים, הוא יכול לקבל שוב גישה לחשבון שלו באחת מהדרכים הבאות:

  • אם למשתמש מוצגת ההודעה "אם הגעת לדף הזה בטעות, צריך ללחוץ כאן כדי לצאת מהחשבון, ולאחר מכן אפשר לנסות להיכנס שוב", הוא יכול ללחוץ על הקישור שבהודעה.
  • אם המשתמש לא רואה את ההודעה או הקישור, הוא צריך לצאת מהחשבון ולהיכנס שוב בכתובת https://accounts.google.com/logout.
  • המשתמש יכול למחוק את קובצי ה-Cookie בדפדפן.

אחרי שהם משתמשים באחת משיטות השחזור, הסשן שלהם ב-Google מסתיים לחלוטין והם יכולים להיכנס לחשבון.

הגדרת אימות דו-שלבי עם SSO

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז אתגרי אימות זהות.

    כדי לעשות את זה צריך הרשאת אדמין לניהול אבטחת המשתמשים.

  2. בצד ימין, בוחרים את היחידה הארגונית שרוצים להגדיר בה את המדיניות.

    אם רוצים להגדיר את המדיניות לכל המשתמשים, בוחרים את היחידה הארגונית שברמה העליונה. בשלב הראשוני, היחידות הארגוניות יורשות את ההגדרות של היחידה הארגונית הראשית.

  3. לוחצים על אימות אחרי כניסה יחידה (SSO).

  4. בוחרים הגדרות בהתאם לאופן השימוש הרצוי בפרופילי SSO בארגון. אתם יכולים להחיל הגדרה על משתמשים שמשתמשים בפרופיל ה-SSO הקודם ועל משתמשים שנכנסים באמצעות פרופילי SSO אחרים.

  5. בפינה השמאלית התחתונה, לוחצים על שמירה.

    ‫Google יוצרת רשומה ביומן הביקורת של האדמין כדי לציין שינוי במדיניות.

הגדרת האימות שמוגדרת כברירת מחדל אחרי כניסה יחידה (SSO) משתנה לפי סוג המשתמש ב-SSO:

  • למשתמשים שנכנסים באמצעות פרופיל ה-SSO מדור קודם, הגדרת ברירת המחדל היא לדלג על אתגרי אימות זהות נוספים בכניסה ועל אימות דו-שלבי.
  • למשתמשים שנכנסים באמצעות פרופילי SSO, הגדרת ברירת המחדל היא להפעיל אתגרי אימות זהות נוספים בכניסה ואימות דו-שלבי.

מידע נוסף


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.