Valfria SSO-inställningar och underhåll

Så här roterar du certifikat

Om du laddar upp två certifikat till en SAML SSO-profil (enkel inloggning) kan Google använda båda certifikaten för att validera ett SAML-svar från din IdP. På så sätt kan du på ett säkert sätt växla till ett certifikat som löper ut på IdP-sidan. Följ de här stegen minst 24 timmar innan ett certifikat löper ut:

  1. Skapa ett nytt certifikat på IdP.
  2. Ladda upp certifikatet som det andra certifikatet till administratörskonsolen. Anvisningar finns i Skapa en SAML-profil.
  3. Vänta i 24 timmar så att Google-användarkonton kan uppdateras med det nya certifikatet.
  4. Konfigurera identitetsleverantören så att den använder det nya certifikatet i stället för det som löper ut.
  5. (Valfritt) När användarna har bekräftat att de kan logga in tar du bort det gamla certifikatet från administratörskonsolen. Sedan kan du ladda upp ett nytt certifikat i framtiden vid behov.

Använda Autofyll e-post för att förenkla SSO-inloggningar

Hjälp användarna att logga in genom att aktivera Autofyll e-post när du skapar eller uppdaterar en profil för inkommande SAML SSO.

Autofyll e-post fyller automatiskt i e-postadressfältet på inloggningssidan för din identitetsleverantör från tredje part (IdP). Användarna behöver därför bara ange sitt lösenord. Du kan aktivera Autofyll e-post när du skapar en ny SSO-profil för inkommande SAML eller uppdaterar en befintlig.

Autofyll e-post använder parametern inloggningstips för att skicka användarnas e-postadresser till IdP:n på ett säkert sätt. Den här parametern är en vanlig funktion som många externa IdP:er har stöd för IdP-initierade inloggningar.

Parametern för inloggningstipset är inte standardiserad, så olika IdP:er använder olika varianter, till exempel:

  • login_hint: (stöds av IdP:er som Microsoft Entra)
  • LoginHint: (stöds av IdP:er som Okta)

På grund av dessa variationer måste du bekräfta vilket format din identitetsleverantör stöder och välja motsvarande inställning i Googles administratörskonsol.

Alternativ för att aktivera Autofyll för e-post

Aktivera Autofyll e-post i en ny profil

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med extern IdP.

    Administratörsbehörigheten Säkerhetsinställningar krävs.

  2. Klicka på Lägg till SAML-profil i avsnittet SSO-profiler från tredje part.
  3. Ange ett profilnamn för SAML SSO-profil.
  4. Välj det alternativ som matchar IdP:ns format för inloggningstips för Autofyll e-post.
  5. Gör så här i avsnittet IdP-uppgifter:
    1. Ange IDP-enhets-id, webbadress till inloggningssidan och webbadress till utloggningssidan som du fick från din IdP.
    2. För Webbadress för att ändra lösenord anger du en webbadress för att ändra lösenord för IdP.
      Användarna besöker den här webbadressen för att återställa sina lösenord.
  6. Klicka på Spara och fortsätt skapa profilen.

Aktivera Autofyll e-post i en befintlig profil

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med extern IdP.

    Administratörsbehörigheten Säkerhetsinställningar krävs.

  2. Klicka på profilen du vill uppdatera i avsnittet SSO-profiler från tredje part.
  3. Klicka på SP-information.
  4. Välj det alternativ som matchar IdP:ns format för inloggningstips för Autofyll e-post.
  5. Klicka på Spara.

Hantera domänspecifika tjänstwebbadresser

Med inställningen Domänspecifika webbadresser till tjänsten kan du styra vad som händer när användare loggar in med webbadresser till tjänsten, till exempel https://mail.google.com/a/example.com.

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med extern IdP.

    Administratörsbehörigheten Säkerhetsinställningar krävs.

  2. Klicka på Domänspecifika webbadresser för att öppna inställningarna.

Det finns två alternativ:

  • Omdirigera användare till den externa identitetsleverantören. Välj det här alternativet om du alltid vill dirigera dessa användare till den externa IdP som du väljer i rullgardinsmenyn för SSO-profilen. Detta kan vara organisationens SSO-profil eller en annan profil från tredje part (om du har lagt till en sådan).

    Viktigt! Om du har organisationsenheter eller grupper som använder olika SSO-profiler ska du inte välja den här inställningen.

  • Kräv att användarna anger användarnamn på Googles inloggningssida först. Med det här alternativet skickas användare som anger domänspecifika webbadresser först till Googles inloggningssida. Om de är SSO-användare omdirigeras de till inloggningssidan för IdP.

Resultat av nätverksmappning

Nätverksmaskar är IP-adresser som representeras med CIDR-notering (Classless Inter-Domain Routing). CIDR anger hur många bitar av IP-adressen som är inkluderade. SSO-profilen för din organisation kan använda nätverksmasker för att avgöra vilka IP-adresser eller IP-adressintervall som ska presenteras för SSO-tjänsten.

Obs! I inställningarna för nätverksmaskar går det endast att omdirigera domänspecifika webbadresser till tjänsten, till exempel service.google.com/a/example.com, till sidan med enkel inloggning.

Det är viktigt att varje nätverksmask använder rätt format. I följande IPv6-exempel representerar snedstrecket (/) och siffran efter det CIDR. De sista 96 bitarna tas inte med i beräkningen och alla IP-adresser i det nätverksintervallet påverkas.

  • 2001:db8::/32

I det här IPv4-exemplet tas de sista åtta bitarna (nollan) inte med i beräkningen och alla IP-adresser i intervallet 64.233.187.0 till 64.233.187.255 påverkas.

  • 64.233.187.0/24

På domäner utan nätverksmask lägger du till användare som inte är avancerade administratörer i identitetsleverantören (IdP).

Användarupplevelse med enkel inloggning vid besök på webbadresser för Googles tjänster

I följande tabell visas användarupplevelsen för direkta besök på webbadresser till Googles tjänster, med och utan nätverksmask:

Utan nätverksmask Avancerade administratörer: Användare:
service.google.com Uppmanas att ange sin e-postadress och sitt lösenord för Google. Uppmanas att ange sin e-postadress och omdirigeras sedan till inloggningssidan för enkel inloggning.
Med nätverksmask Avancerade administratörer och användare:
service.google.com Uppmanas att ange sin e-postadress och sitt lösenord.
service.google.com
/a/din_domän.com*
(inom nätverksmask)		 Omdirigeras till inloggningssidan för enkel inloggning
service.google.com
/a/din_domän.com
(utanför nätverks-
mask)		 Uppmanas att ange sin e-postadress och sitt lösenord.
accounts.google.com/
o/oauth2/v2/auth?login_hint=
xxxxx@example.com

Användare som får åtkomst till Googles OAuth 2.0-ändpunkt med webbadressparametern login_hint omdirigeras till inloggningssidan för SSO.

* Alla tjänster stöder inte detta webbadressmönster. Exempel på tjänster som gör det är Gmail och Drive.

Sessionen löper ut när en nätverksmask har konfigurerats

En användares aktiva Google-session kan avslutas och användaren kan bli ombedd att autentisera sig på nytt när

  • användarsessionen når sin maximala tillåtna längd som anges i inställningen för administratörskonsolen för Google-sessionskontroll
  • administratören har ändrat användarkontot genom att ändra lösenordet eller kräva att användaren ändrar lösenordet vid nästa inloggning (antingen via administratörskonsolen eller med hjälp av Admin SDK).

Användarupplevelse

Om användaren har initierat sessionen på idP från tredje part, rensas sessionen och användaren omdirigeras till inloggningssidan för Google.

Eftersom användaren startade sin Google-session på en extern IdP förstår hen kanske inte varför hen måste logga in på Google för att få åtkomst till sitt konto igen. Användarna kan omdirigeras till en inloggningssida på Google även när de försöker navigera till andra webbadresser på Google.

Om du planerar underhåll som omfattar att avsluta aktiva användarsessioner och vill undvika att användarna blir förvirrade kan du be dem att logga ut från sina sessioner och förbli utloggade tills underhållet är slutfört.

Återställa användare

När en användare ser sidan för inloggning på Google eftersom den aktiva sessionen har avslutats kan hen få åtkomst till sitt konto igen genom att göra något av följande:

  • Om användaren ser meddelandet ”Om du dirigerades till denna sida på grund av ett fel kan du klicka här för att logga ut och sedan försöka logga in igen” kan hen klicka på länken i meddelandet.
  • Om användaren inte ser meddelandet eller länken loggar hen ut och loggar in igen genom att gå till https://accounts.google.com/logout.
  • Användaren kan rensa sina webbläsar-cookies.

När någon av återställningsmetoderna används avslutas användarens Google-session och användaren kan logga in.

Ställa in tvåstegsverifiering med SSO

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av Inloggningsfrågor.

    Kräver administratörsbehörigheten Hantering av användarsäkerhet.

  2. Välj den organisationsenhet där du vill ställa in policyn till vänster.

    Välj organisationsenheten på toppnivå för alla användare. Inledningsvis ärver organisationsenheter inställningarna från sin överordnade.

  3. Klicka på Verifiering efter SSO.

  4. Välj inställningar utifrån hur du använder SSO-profiler i organisationen. Du kan tillämpa en inställning för användare som använder den äldre SSO-profilen och för användare som loggar in med andra SSO-profiler.

  5. Klicka på Spara längst ned till höger.

    Google skapar en post i administratörsgranskningsloggen för att ange policyändringen.

Standardinställningen för verifiering efter enkel inloggning beror på användartypen för enkel inloggning:

  • För användare som loggar in med den äldre SSO-profilen är standardinställningen att hoppa över ytterligare inloggningsfrågor och 2SV.
  • För användare som loggar in med SSO-profiler är standardinställningen att tillämpa ytterligare inloggningsfrågor och 2SV.

Se även


Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.