Chế độ cài đặt SSO không bắt buộc và hoạt động bảo trì

Cách xoay vòng chứng chỉ

Nếu bạn tải hai chứng chỉ lên một hồ sơ Đăng nhập một lần (SSO) dựa trên SAML, thì Google có thể dùng một trong hai chứng chỉ đó để xác thực phản hồi SAML từ IdP của bạn. Nhờ đó, bạn có thể xoay vòng một cách an toàn chứng chỉ sắp hết hạn ở phía IdP. Hãy làm theo các bước sau ít nhất 24 giờ trước khi chứng chỉ hết hạn:

1. Tạo một chứng chỉ mới trên IdP.
2. Tải chứng chỉ lên Bảng điều khiển dành cho quản trị viên dưới dạng chứng chỉ thứ hai. Để xem hướng dẫn, hãy xem bài viết Tạo hồ sơ SAML.
3. Đợi 24 giờ để Tài khoản người dùng Google cập nhật chứng chỉ mới.
4. Định cấu hình IdP để sử dụng chứng chỉ mới thay cho chứng chỉ sắp hết hạn.
5. (Không bắt buộc) Sau khi người dùng xác nhận rằng họ có thể đăng nhập, hãy xoá chứng chỉ cũ khỏi Bảng điều khiển dành cho quản trị viên. Sau đó, bạn có thể tải một chứng chỉ mới lên trong tương lai nếu cần.

Sử dụng tính năng Tự động điền email để đơn giản hoá quy trình đăng nhập một lần

Để giúp người dùng đăng nhập, hãy bật chế độ Tự động điền email khi tạo hoặc cập nhật hồ sơ Đăng nhập một lần (SSO) dựa trên SAML chiều đến.

Tính năng tự động điền email sẽ tự động điền vào trường địa chỉ email trên trang đăng nhập của nhà cung cấp dịch vụ danh tính (IdP) bên thứ ba. Do đó, người dùng chỉ cần nhập mật khẩu. Bạn có thể bật chế độ Tự động điền email khi tạo một hồ sơ mới có tên là Đăng nhập một lần dựa trên SAML chiều đến hoặc cập nhật một hồ sơ hiện có.

Tính năng tự động điền email sử dụng tham số gợi ý đăng nhập để gửi địa chỉ email của người dùng một cách an toàn đến IdP của bạn. Tham số này là một tính năng phổ biến mà nhiều IdP bên thứ ba hỗ trợ cho các lượt đăng nhập do IdP khởi tạo.

Tham số gợi ý đăng nhập không được chuẩn hoá, vì vậy, các IdP khác nhau sẽ sử dụng các biến thể khác nhau, chẳng hạn như:

• login_hint: (được các IdP như Microsoft Entra hỗ trợ)
• LoginHint: (được các IdP như Okta hỗ trợ)

Do những điểm khác biệt này, bạn cần xác nhận định dạng mà IdP hỗ trợ và chọn chế độ cài đặt tương ứng trong Bảng điều khiển dành cho quản trị viên của Google.

Các lựa chọn để bật tính năng Tự động điền email

Quản lý URL dịch vụ dành riêng cho miền

Chế độ cài đặt URL dịch vụ dành riêng cho miền cho phép bạn kiểm soát những điều xảy ra khi người dùng đăng nhập bằng URL dịch vụ, chẳng hạn như https://mail.google.com/a/example.com.

1. Trong Bảng điều khiển dành cho quản trị viên của Google, hãy chuyển đến biểu tượng Trình đơn Bảo mậtXác thựcĐăng nhập một lần (SSO) thông qua IdP bên thứ ba.

   Chuyển đến phần Đăng nhập một lần (SSO) thông qua IdP bên thứ ba

   Bạn phải có đặc quyền Cài đặt bảo mật của quản trị viên.

2. Nhấp vào URL dịch vụ dành riêng cho miền để mở phần cài đặt.

Bạn có hai tùy chọn:

• Chuyển hướng người dùng đến IdP bên thứ ba. Chọn chế độ này để luôn chuyển hướng những người dùng này đến IdP bên thứ ba mà bạn chọn trong danh sách thả xuống hồ sơ SSO. Đây có thể là cấu hình SSO cho tổ chức của bạn hoặc một cấu hình khác của bên thứ ba (nếu bạn đã thêm một cấu hình).

  Quan trọng: Nếu bạn có đơn vị tổ chức hoặc nhóm không sử dụng SSO, thì đừng chọn chế độ cài đặt này. Những người dùng không sử dụng SSO sẽ tự động được chuyển đến IdP và không thể đăng nhập.

• Yêu cầu người dùng nhập tên người dùng của họ trên trang đăng nhập của Google. Với lựa chọn này, người dùng nhập URL dành riêng cho miền sẽ được chuyển đến trang đăng nhập của Google trước. Nếu là người dùng SSO, họ sẽ được chuyển hướng đến trang đăng nhập của IdP.

Kết quả của tính năng Lập bản đồ mạng

Mặt nạ mạng là địa chỉ IP được biểu thị bằng ký hiệu Định tuyến liên miền không phân lớp (CIDR). CIDR chỉ định số lượng bit có trong địa chỉ IP. Cấu hình SSO cho tổ chức của bạn có thể sử dụng mặt nạ mạng để xác định địa chỉ IP hoặc dải địa chỉ IP nào sẽ được cung cấp bằng dịch vụ SSO.

Lưu ý: Đối với chế độ cài đặt mặt nạ mạng, hiện chỉ có các URL dịch vụ dành riêng cho miền (ví dụ: service.google.com/a/example.com) chuyển hướng đến trang đăng nhập bằng SSO.

Mỗi mặt nạ mạng phải sử dụng đúng định dạng. Trong ví dụ về IPv6 sau đây, dấu gạch chéo (/) và số sau dấu gạch chéo biểu thị CIDR. 96 bit cuối cùng không được xem xét và tất cả địa chỉ IP trong dải mạng đó đều bị ảnh hưởng.

• 2001:db8::/32

Trong ví dụ về IPv4 này, 8 bit cuối cùng (số 0) sẽ không được xem xét và tất cả địa chỉ IP nằm trong dải từ 64.233.187.0 đến 64.233.187.255 sẽ bị ảnh hưởng.

• 64.233.187.0/24

Trong các miền không có mặt nạ mạng, bạn phải thêm những người dùng không phải là quản trị viên cấp cao vào nhà cung cấp danh tính (IdP).

Thiết lập tính năng Xác minh 2 bước bằng tính năng Đăng nhập một lần (SSO)

1. Trong Bảng điều khiển dành cho quản trị viên của Google, hãy chuyển đến phần Trình đơn Bảo mậtXác thựcThử thách đăng nhập.

   Chuyển đến phần Xác thực đăng nhập

   Bạn phải có đặc quyền Quản lý chế độ cài đặt bảo mật cho người dùng của quản trị viên.

2. Ở bên trái, hãy chọn đơn vị tổ chức mà bạn muốn thiết lập chính sách.

   Để áp dụng cho tất cả người dùng, hãy chọn đơn vị tổ chức cấp cao nhất. Ban đầu, các đơn vị tổ chức sẽ kế thừa chế độ cài đặt của đơn vị tổ chức mẹ.

3. Nhấp vào Xác minh sau quy trình Đăng nhập một lần (SSO).

4. Chọn chế độ cài đặt theo cách bạn sử dụng cấu hình SSO trong tổ chức. Bạn có thể áp dụng một chế độ cài đặt cho những người dùng sử dụng cấu hình SSO cũ và một chế độ cài đặt khác cho những người dùng đăng nhập bằng các cấu hình SSO khác.

5. Ở dưới cùng bên phải, hãy nhấp vào Lưu.

   Google sẽ tạo một mục trong nhật ký kiểm tra của quản trị viên để cho biết mọi thay đổi về chính sách.

Chế độ cài đặt mặc định cho việc xác minh sau quy trình SSO phụ thuộc vào loại người dùng SSO:

• Đối với những người dùng đăng nhập bằng cấu hình SSO cũ, chế độ cài đặt mặc định là bỏ qua các biện pháp xác thực đăng nhập bổ sung và tính năng xác minh 2 bước.
• Đối với những người dùng đăng nhập bằng cấu hình SSO, chế độ cài đặt mặc định là áp dụng các biện pháp xác thực đăng nhập bổ sung và tính năng xác minh 2 bước.

Xem thêm

• SSO của quản trị viên cấp cao
• Khắc phục sự cố đăng nhập một lần (SSO)

Google, Google Workspace cũng như các nhãn hiệu và biểu trưng có liên quan là các nhãn hiệu của Google LLC. Tất cả các tên sản phẩm và công ty khác là nhãn hiệu của những công ty mà chúng liên kết.