הגדרות SSO אופציונליות ותחזוקה

איך מחליפים אישורים

אם מעלים שני אישורים לפרופיל של כניסה יחידה (SSO) ב-SAML, ‏ Google יכולה להשתמש בכל אחד מהאישורים כדי לאמת תגובה של SAML מה-IdP. כך תוכלו להחליף בבטחה אישור שתוקפו עומד לפוג בצד של ספק הזהויות. צריך לפעול לפי השלבים הבאים לפחות 24 שעות לפני שתוקף האישור עומד לפוג:

  1. יוצרים אישור חדש בספק הזהויות.
  2. מעלים את האישור בתור האישור השני למסוף Admin. הוראות מפורטות זמינות במאמר יצירת פרופיל SAML.
  3. צריך להמתין 24 שעות כדי לאפשר לחשבונות המשתמשים ב-Google להתעדכן עם האישור החדש.
  4. מגדירים את ה-IdP כך שישתמש באישור החדש במקום באישור שתוקפו עומד לפוג.
  5. (אופציונלי) אחרי שהמשתמשים יאשרו שהם יכולים להיכנס, מסירים את האישור הישן ממסוף Admin. אחר כך תוכלו להעלות אישור חדש לפי הצורך.

שימוש במילוי אוטומטי של כתובת אימייל כדי לפשט את הכניסה באמצעות SSO

כדי לעזור למשתמשים להיכנס לחשבון, מומלץ להפעיל את האפשרות מילוי אוטומטי של כתובת האימייל כשיוצרים או מעדכנים פרופיל של כניסה יחידה (SSO) ב-SAML נכנס.

מילוי אוטומטי של כתובת האימייל ממלא אוטומטית את השדה של כתובת האימייל בדף הכניסה של ספק הזהויות (IdP) של צד שלישי. לכן, המשתמשים צריכים להזין רק את הסיסמה שלהם. אתם יכולים להפעיל את האפשרות מילוי אוטומטי של כתובת אימייל כשאתם יוצרים פרופיל חדש של שירות SAML SSO נכנס או מעדכנים פרופיל קיים.

התכונה 'מילוי אוטומטי של כתובת אימייל' משתמשת בפרמטר רמז להתחברות כדי לשלוח בצורה מאובטחת את כתובות האימייל של המשתמשים ל-IdP. הפרמטר הזה הוא תכונה נפוצה שספקי זהויות רבים של צד שלישי תומכים בה לצורך כניסות שמתחילות בספק הזהויות.

הפרמטר של רמז ההתחברות לא עבר סטנדרטיזציה, ולכן ספקי IdP שונים משתמשים בווריאציות שונות, כמו:

  • ‫login_hint: (נתמך על ידי ספקי IdP כמו Microsoft Entra)
  • ‫LoginHint: (נתמך על ידי ספקי זהויות כמו Okta)

בגלל השונות הזו, תצטרכו לוודא איזה פורמט ספק הזהויות תומך בו ולבחור את ההגדרה המתאימה במסוף Google Admin.

אפשרויות להפעלת מילוי אוטומטי של כתובת אימייל

הפעלת מילוי אוטומטי של כתובת אימייל בפרופיל חדש

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילים של צד שלישי ל-SSO, לוחצים על הוספת פרופיל SAML.
  3. בשדה SAML SSO profile (פרופיל SAML SSO), מזינים שם לפרופיל.
  4. בקטע מילוי אוטומטי של כתובת האימייל, בוחרים באפשרות שמתאימה לפורמט הרמזים להתחברות שנתמך על ידי ספק ה-IdP.
  5. בקטע פרטי ספק הזהויות, מבצעים את הפעולות הבאות:
    1. מזינים את מזהה הישות ב-SAML של ה-IdP, את כתובת ה-URL של דף הכניסה ואת כתובת ה-URL של דף היציאה שקיבלתם מה-IdP.
    2. בקטע כתובת URL לשינוי סיסמה, מזינים כתובת URL לשינוי סיסמה עבור ספק הזהויות.
      המשתמשים יופנו אל כתובת ה-URL הזו כדי לאפס את הסיסמאות שלהם.
  6. לוחצים על שמירה וממשיכים ליצור את הפרופיל.

הפעלת מילוי אוטומטי של כתובת אימייל בפרופיל קיים

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילי SSO מצד שלישי, לוחצים על הפרופיל שרוצים לעדכן.
  3. לוחצים על פרטי ספק השירות.
  4. בקטע מילוי אוטומטי של כתובת האימייל, בוחרים באפשרות שמתאימה לפורמט הרמזים להתחברות שנתמך על ידי ספק ה-IdP.
  5. לוחצים על שמירה.

ניהול כתובות URL של שירותים בדומיין מסוים

ההגדרה כתובות URL של שירותים ספציפיים לדומיין מאפשרת לכם לקבוע מה יקרה כשמשתמשים ייכנסו באמצעות כתובות URL של שירותים כמו https://mail.google.com/a/example.com.

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. לוחצים על כתובות URL של שירותים ספציפיים לדומיין כדי לפתוח את ההגדרות.

יש שתי אפשרויות:

  • הפניה אוטומטית של משתמשים אל ספק הזהויות של צד שלישי בוחרים באפשרות הזו כדי להפנות את המשתמשים האלה תמיד אל ספק ה-IdP מצד שלישי שבוחרים בתפריט הנפתח של פרופיל ה-SSO. זה יכול להיות פרופיל ה-SSO של הארגון, או פרופיל אחר של צד שלישי (אם הוספתם כזה).

    חשוב: אם יש לכם יחידות ארגוניות או קבוצות שמשתמשות בפרופילים שונים של SSO, אל תבחרו בהגדרה הזו.

  • המשתמשים צריכים להזין את שם המשתמש שלהם בדף הכניסה של Google. אם בוחרים באפשרות הזו, משתמשים שמזינים כתובות URL ספציפיות לדומיין מועברים קודם לדף הכניסה לחשבון Google. אם הם משתמשים בכניסה יחידה (SSO), הם מופנים לדף הכניסה של ספק הזהויות (IdP).

תוצאות של מיפוי רשת

מסכות רשת הן כתובות IP שמיוצגות באמצעות סימון Classless Inter-Domain Routing‏ (CIDR). ה-CIDR מציין כמה ביטים מכתובת ה-IP כלולים. בפרופיל ה-SSO של הארגון אפשר להשתמש במסיכות רשת כדי לקבוע אילו כתובות IP או טווחי כתובות IP יוצגו בשירות ה-SSO.

הערה: בהגדרות של מסכות הרשת, רק כתובות URL של שירותים ספציפיים לדומיין, לדוגמה service.google.com/a/example.com, מפנות כרגע לדף הכניסה ל-SSO.

חשוב ליצור את כל מסיכות הרשת בתבנית הנכונה. בדוגמה הבאה של IPv6, הקו הנטוי (/) והמספר שאחריו מייצגים את ה-CIDR. לא נלקחים בחשבון 96 הביטים האחרונים, וכל כתובות ה-IP בטווח הרשת הזה מושפעות.

  • ‎2001:db8::/32

בדוגמה הזו של IPv4, ‏ 8 הביטים האחרונים (האפס) לא נלקחים בחשבון, וכל כתובות ה-IP שהיו בטווח 64.233.187.0 עד 64.233.187.255 יושפעו.

  • 64.233.187.0/24

בדומיינים ללא מסכת רשת, צריך להוסיף לספק הזהויות (IdP) משתמשים שאינם סופר-אדמינים.

חוויית המשתמש ב-SSO כשנכנסים לכתובות URL של שירותי Google

בטבלה הבאה מוצגת חוויית המשתמש בביקורים ישירים בכתובות URL של שירותי Google, עם מסכת רשת ובלי מסכת רשת:

ללא מסכת רשת סופר-אדמינים הם: המשתמשים הם:
‫service.google.com מופיעה בקשה להזין את כתובת האימייל והסיסמה לחשבון Google. המשתמשים מתבקשים להזין את כתובת האימייל שלהם, ואז מופנים לדף הכניסה ל-SSO.
עם מסכת רשת סופר-אדמינים ומשתמשים:
‫service.google.com הם מתבקשים להזין את כתובת האימייל והסיסמה שלהם.
‫service.google.com
/a/your_domain.com*
(within network mask)		 הפניה אוטומטית לדף הכניסה של ה-SSO.
‫service.google.com
/a/your_domain.com
(מחוץ למסכת הרשת
)		 הם מתבקשים להזין את כתובת האימייל והסיסמה שלהם.
accounts.google.com/
o/oauth2/v2/auth?login_hint=
xxxxx@example.com

משתמשים שניגשים אל נקודת הקצה של Google OAuth 2.0 באמצעות פרמטר כתובת ה-URL login_hint מופנים אוטומטית לדף הכניסה של ה-SSO.

* לא כל השירותים תומכים בתבנית כתובת ה-URL הזו. דוגמאות לשירותים כאלה הם Gmail ו-Drive.

תפוגת תוקף של סשן כשמוגדרת מסכת רשת

יכול להיות שהסשן הפעיל של משתמש ב-Google יסתיים והמשתמש יתבקש לבצע אימות מחדש במקרים הבאים:

  • הסשן של המשתמש מגיע למשך הזמן המקסימלי המותר שצוין בהגדרה שליטה בסשן ב-Google במסוף Admin.
  • האדמין שינה את חשבון המשתמש על ידי שינוי הסיסמה או דרישה מהמשתמש לשנות את הסיסמה בכניסה הבאה שלו (דרך מסוף Admin או באמצעות SDK לאדמינים).

חוויית משתמש

אם המשתמש התחיל את הסשן בספק זהויות (IdP) של צד שלישי, הסשן ינוקה והמשתמש יופנה לדף הכניסה לחשבון Google.

יכול להיות שהמשתמש לא יבין למה הוא צריך להיכנס לחשבון Google כדי לקבל שוב גישה לחשבון, כי הוא התחיל את הסשן שלו ב-Google דרך ספק זהויות (IdP) של צד שלישי. יכול להיות שהמשתמשים יופנו לדף הכניסה לחשבון Google גם כשהם מנסים לנווט לכתובות URL אחרות של Google.

אם אתם מתכננים לבצע תחזוקה שכוללת סיום של סשנים פעילים של משתמשים, ואתם רוצים למנוע בלבול בקרב המשתמשים, כדאי להנחות אותם להתנתק מהסשנים שלהם ולהישאר מנותקים עד לסיום התחזוקה.

שחזור משתמש

אם משתמש רואה את דף הכניסה לחשבון Google כי הסשן הפעיל שלו הסתיים, הוא יכול לקבל שוב גישה לחשבון באחת מהדרכים הבאות:

  • אם המשתמש רואה את ההודעה 'אם הגעת לדף הזה בטעות, צריך ללחוץ כאן כדי לצאת מהחשבון, ולאחר מכן אפשר לנסות להיכנס שוב', הוא יכול ללחוץ על הקישור בהודעה.
  • אם המשתמש לא רואה את ההודעה או הקישור, הוא צריך להתנתק ולהתחבר שוב בכתובת https://accounts.google.com/logout.
  • המשתמש יכול למחוק את קובצי ה-Cookie בדפדפן.

אחרי שהם משתמשים באחת משיטות השחזור, הסשן שלהם ב-Google מסתיים לגמרי והם יכולים להיכנס לחשבון.

הגדרת אימות דו-שלבי באמצעות SSO

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז אימותי זהות.

    כדי לעשות את זה צריך הרשאת אדמין לניהול אבטחת המשתמשים.

  2. בצד ימין, בוחרים את היחידה הארגונית שרוצים להגדיר בה את המדיניות.

    אם רוצים להגדיר את המדיניות לכל המשתמשים, בוחרים את היחידה הארגונית שברמה העליונה. בשלב הראשוני, היחידות הארגוניות יורשות את ההגדרות של היחידה הארגונית הראשית.

  3. לוחצים על אימות אחרי כניסה יחידה (SSO).

  4. בוחרים הגדרות בהתאם לאופן השימוש בפרופילי SSO בארגון. אתם יכולים להחיל הגדרה על משתמשים שמשתמשים בפרופיל ה-SSO מדור קודם ועל משתמשים שנכנסים באמצעות פרופילי SSO אחרים.

  5. בפינה השמאלית התחתונה, לוחצים על שמירה.

    ‫Google יוצרת רשומה ביומן הביקורת של האדמין כדי לציין שינוי במדיניות.

הגדרת האימות שמוגדרת כברירת מחדל אחרי כניסה יחידה (SSO) משתנה לפי סוג המשתמש ב-SSO:

  • למשתמשים שנכנסים באמצעות פרופיל ה-SSO מדור קודם, הגדרת ברירת המחדל היא לדלג על אתגרי אימות זהות נוספים בכניסה ועל אימות דו-שלבי.
  • למשתמשים שנכנסים באמצעות פרופילי SSO, הגדרת ברירת המחדל היא הפעלת אתגרי אימות זהות נוספים בכניסה ואימות דו-שלבי.

מידע נוסף


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.