Impostazioni e manutenzione SSO facoltative

Come ruotare i certificati

Se carichi due certificati in un profilo Single Sign-On (SSO) SAML, Google può utilizzare entrambi i certificati per convalidare una risposta SAML dal tuo IdP. In questo modo puoi ruotare in sicurezza un certificato in scadenza lato IdP. Segui questa procedura almeno 24 ore prima della scadenza di un certificato:

  1. Crea un nuovo certificato nell'IdP.
  2. Carica il certificato come secondo certificato nella Console di amministrazione. Per le istruzioni, vedi Crea un profilo SAML.
  3. Attendi 24 ore per consentire l'aggiornamento degli account utente Google con il nuovo certificato.
  4. Configura l'IdP in modo che utilizzi il nuovo certificato al posto di quello in scadenza.
  5. (Facoltativo) Una volta che gli utenti hanno confermato di essere in grado di accedere, rimuovi il vecchio certificato dalla Console di amministrazione. In futuro, potrai caricare un nuovo certificato in base alle tue esigenze.

Utilizza la compilazione automatica dell'indirizzo email per semplificare gli accessi SSO

Per aiutare gli utenti ad accedere, attiva l'opzione Compilazione automatica email durante la creazione o l'aggiornamento di un profilo Single Sign-On (SSO) SAML in entrata.

La compilazione automatica dell'email compila automaticamente il campo dell'indirizzo email nella pagina di accesso del tuo provider di identità (IdP) di terze parti. Pertanto, gli utenti devono solo inserire la password. Puoi attivare l'opzione Compila automaticamente l'indirizzo email quando crei un nuovo profilo SSO SAML in entrata o ne aggiorni uno esistente.

La compilazione automatica dell'email utilizza un parametro login hint (suggerimento di accesso) per inviare in modo sicuro gli indirizzi email dei tuoi utenti al tuo IdP. Questo parametro è una funzionalità comune supportata da molti IdP di terze parti per gli accessi avviati dall'IdP.

Il parametro del suggerimento di accesso non è standardizzato, pertanto IdP diversi utilizzano varianti diverse, ad esempio:

  • login_hint: (supportato da IdP come Microsoft Entra)
  • LoginHint: (supportato da IdP come Okta)

A causa di queste variazioni, dovrai verificare quale formato è supportato dal tuo IdP e scegliere l'impostazione corrispondente nella Console di amministrazione Google.

Opzioni per attivare la compilazione automatica dell'indirizzo email

Attiva la compilazione automatica dell'indirizzo email in un nuovo profilo

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Autenticazione e poi SSO con IdP terzo.

    È necessario disporre del privilegio amministrativo Impostazioni di sicurezza.

  2. Nella sezione Profili SSO di terze parti, fai clic su Aggiungi profilo SAML.
  3. In Profilo SSO SAML, inserisci un nome per il profilo.
  4. Per Compilazione automatica dell'email, seleziona l'opzione corrispondente al formato del suggerimento di accesso supportato dal tuo IdP.
  5. Nella sezione Dettagli IdP, completa i seguenti passaggi:
    1. Inserisci l'ID entità IdP, l'URL della pagina di accesso e l'URL della pagina di uscita che hai ricevuto dall'IdP.
    2. In URL per la modifica della password, inserisci un URL per la modifica della password per l'IdP.
      Gli utenti accederanno a questo URL per reimpostare le password.
  6. Fai clic su Salva e continua a creare il profilo.

Attiva la compilazione automatica dell'indirizzo email in un profilo esistente

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Autenticazione e poi SSO con IdP terzo.

    È necessario disporre del privilegio amministrativo Impostazioni di sicurezza.

  2. Nella sezione Profili SSO di terze parti, fai clic sul profilo che vuoi aggiornare.
  3. Fai clic su Dettagli fornitore di servizi.
  4. Per Compilazione automatica dell'email, seleziona l'opzione corrispondente al formato dei suggerimenti di accesso supportato dal tuo IdP.
  5. Fai clic su Salva.

Gestire gli URL di servizio specifici del dominio

L'impostazione URL di servizio specifici del dominio consente di controllare cosa accade quando gli utenti accedono utilizzando URL di servizio come https://mail.google.com/a/example.com.

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Autenticazione e poi SSO con IdP terzo.

    È necessario disporre del privilegio amministrativo Impostazioni di sicurezza.

  2. Fai clic su URL di servizio specifici del dominio per aprire le impostazioni.

Le opzioni disponibili sono due:

  • Reindirizza gli utenti all'IdP di terze parti. Scegli questa opzione per indirizzare sempre questi utenti all'IdP di terze parti che hai selezionato nell'elenco a discesa del profilo SSO. Può essere il profilo SSO della tua organizzazione o un altro profilo di terze parti (se ne hai aggiunto uno).

    Importante:se hai unità organizzative o gruppi che utilizzano profili SSO diversi, non scegliere questa impostazione.

  • Richiedi agli utenti di inserire il loro nome utente nella pagina di accesso di Google. Con questa opzione, gli utenti che inseriscono URL specifici del dominio vengono reindirizzati prima alla pagina Accedi con Google. Se sono utenti SSO, vengono reindirizzati alla pagina di accesso dell'IdP.

Risultati della mappatura della rete

Le maschere di rete sono indirizzi IP rappresentati utilizzando il metodo Classless Inter-Domain Routing (CIDR). Il CIDR specifica il numero di bit dell'indirizzo IP inclusi. Il profilo SSO della tua organizzazione può utilizzare le maschere di rete per determinare quali indirizzi IP o intervalli di indirizzi IP presentare con il servizio SSO.

Nota: per le impostazioni delle maschere di rete, solo gli URL del servizio specifici del dominio, ad esempio servizio.google.com/a/example.com, attualmente reindirizzano alla pagina di accesso SSO.

È importante utilizzare il formato corretto per ciascuna maschera di rete. Nell'esempio IPv6 seguente, la barra (/) e il numero che la segue rappresentano il CIDR. Gli ultimi 96 bit non vengono presi in considerazione e tutti gli indirizzi IP in quell'intervallo di rete sono interessati.

  • 2001:db8::/32

In questo esempio IPv4, gli ultimi 8 bit (lo zero) non vengono presi in considerazione e tutti gli indirizzi IP compresi nell'intervallo da 64.233.187.0 a 64.233.187.255 saranno interessati.

  • 64.233.187.0/24

Per i domini senza maschera di rete, devi aggiungere al provider di identità (IdP) gli utenti che non sono super amministratori.

Esperienza utente SSO quando si visitano gli URL dei servizi Google

La tabella seguente mostra l'esperienza utente per le visite dirette agli URL dei servizi Google, con e senza una maschera di rete:

Senza maschera di rete I super amministratori sono: Gli utenti sono:
servizio.google.com Gli viene chiesto di inserire l'indirizzo email e la password di Google. Gli viene chiesto l'indirizzo email, quindi viene eseguito il reindirizzamento alla pagina di accesso SSO.
Con maschera di rete I super amministratori e gli utenti sono:
servizio.google.com Gli viene chiesto di inserire l'indirizzo email e la password.
service.google.com
/a/your_domain.com*
(all'interno della maschera di rete)		 Viene reindirizzato alla pagina di accesso SSO.
service.google.com
/a/your_domain.com
(all'esterno della maschera
di rete)		 Gli viene chiesto di inserire l'indirizzo email e la password.
accounts.google.com/
o/oauth2/v2/auth?login_hint=
xxxxx@example.com

Gli utenti che accedono all'endpoint OAuth 2.0 di Google utilizzando il parametro URL login_hint vengono reindirizzati alla pagina di accesso SSO.

*Non tutti i servizi supportano questo pattern URL. Esempi di servizi che lo fanno sono Gmail e Drive.

Scadenza della sessione quando è configurata una maschera di rete

La sessione Google attiva di un utente potrebbe essere terminata e all'utente potrebbe essere chiesto di eseguire nuovamente l'autenticazione quando:

  • La sessione raggiunge la durata massima consentita specificata nell'impostazione Controllo sessione Google della Console di amministrazione.
  • L'amministratore ha modificato l'account dell'utente cambiando la password o richiedendo la modifica della password all'accesso successivo, utilizzando la Console di amministrazione o l'SDK Admin.

Esperienza utente

Se l'utente ha avviato la sessione su un IdP di terze parti, la sessione viene cancellata e l'utente viene reindirizzato alla pagina di accesso di Google.

Poiché l'utente ha avviato la sessione Google su un IdP di terze parti, potrebbe non capire perché deve accedere a Google per recuperare l'accesso al proprio account. Gli utenti potrebbero essere reindirizzati a una pagina di accesso di Google anche quando tentano di accedere ad altri URL di Google.

Se stai pianificando un intervento di manutenzione che include la chiusura delle sessioni utente attive e vuoi evitare confusione, chiedi agli utenti di disconnettersi dalle sessioni e di non accedere fino al termine della manutenzione.

Recupero degli utenti

Quando un utente visualizza la pagina di accesso di Google perché la sua sessione attiva è stata terminata, può riottenere l'accesso al proprio account eseguendo una delle seguenti operazioni:

  • Se l'utente visualizza il messaggio "Se hai raggiunto questa pagina per sbaglio, fai clic qui per uscire, quindi riprova ad accedere", può fare clic sul link nel messaggio.
  • Se l'utente non vede il messaggio o il link, deve uscire e accedere di nuovo andando su https://accounts.google.com/logout.
  • L'utente può cancellare i cookie del browser.

Una volta eseguita una qualsiasi delle operazioni indicate sopra, la sessione Google viene terminata del tutto e l'utente può accedere.

Configurare la verifica in due passaggi con SSO

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Autenticazione e poi Verifiche dell'accesso.

    È necessario disporre dei privilegi amministrativi Gestione della sicurezza degli utenti.

  2. Sulla sinistra, seleziona l'unità organizzativa per cui vuoi impostare la policy.

    Per applicare le impostazioni a tutti gli utenti, seleziona l'unità organizzativa di primo livello. Inizialmente, le unità organizzative ereditano le impostazioni dell'organizzazione di livello superiore.

  3. Fai clic su Verifica post-SSO.

  4. Scegli le impostazioni in base a come utilizzi i profili SSO nella tua organizzazione. Puoi applicare un'impostazione agli utenti che utilizzano il profilo SSO legacy e a quelli che accedono utilizzando altri profili SSO.

  5. In basso a destra, fai clic su Salva.

    Google crea una voce nel log di controllo della Console di amministrazione per indicare la modifica del criterio.

L'impostazione predefinita della verifica post-SSO dipende dal tipo di utente SSO:

  • Per gli utenti che accedono utilizzando il profilo SSO legacy, l'impostazione predefinita è ignorare le verifiche dell'accesso aggiuntive e la V2P.
  • Per gli utenti che accedono utilizzando i profili SSO, l'impostazione predefinita è applicare verifiche dell'accesso aggiuntive e la V2P.

Vedi anche


Google, Google Workspace e i marchi e i loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle società a cui sono associati.