Veelgestelde vragen over SAML SSO

Welke versie van SAML wordt ondersteund door de SSO API?

Momenteel wordt SAML versie 2.0 ondersteund. Ga naar http://www.oasis-open.org/specs/index.php#samlv2.0 voor meer informatie over de SAML v2.0-standaard.

Werkt SAML SSO met POP3 of IMAP?

Nee, SAML werkt alleen met de web-apps van Google Workspace.

Werkt SAML SSO met de Atom-feed van Gmail?

Nee. De Atom-feed van Gmail gebruikt HTTP-standaardverificatie.

Werkt SAML SSO met AuthSub?

Ja, SAML werkt met AuthSub.

Kunnen we RSA gebruiken in plaats van DSA voor de implementatie van single sign-on?

Ja, u kunt kiezen voor het RSA- of DSA-encryptie-algoritme. Beiden worden geaccepteerd.

Hoe genereer ik het verificatiecertificaat dat is vereist voor SSO?

Je kunt X509-certificaten genereren met de opdracht openssl. Ga naar Sleutels en certificaten genereren voor SSO voor meer informatie.

Kunnen we nog rechtstreeks inloggen bij Google nadat SSO is geïmplementeerd in ons domein?

Nee. Als SSO is geïmplementeerd, kunnen eindgebruikers niet rechtstreeks inloggen bij Google. Hoofdbeheerders kunnen nog steeds inloggen op het Google-dashboard (bijvoorbeeld http://www.google.com/a/example.com).

Hoe kan een niet-permanente cookie waarmee een gebruiker wordt geïdentificeerd tijdens een browsersessie, worden verwijderd (bijvoorbeeld bij het uitloggen)?

Na een geslaagde verificatie via SAML stelt Google een sessiecookie in om de sessie van een gebruiker te identificeren. Als de gebruiker expliciet uitlogt (bijvoorbeeld door op de knop Uitloggen te klikken), moet deze cookie worden verwijderd. Als uw implementatie permanent sessiebeheer omvat (de functionaliteit 'Onthoud mij op deze computer'), moet u misschien bepalen hoe en wanneer deze cookie wordt vernietigd. Als een gebruiker uitlogt, wordt Google doorgestuurd naar uw uitlogservlet. In je uitlogservlet kun je de gebruiker een aantal opties bieden die bepalen of de sessiecookie moet worden verwijderd of niet.

Waarom werkt de URL voor het opnieuw instellen van wachtwoorden niet?

Het duurt ongeveer een uur voordat wijzigingen in de URL voor wachtwoord wijzigen in de SSO-instellingen van kracht worden.

Waarom werkt het HTML-formulier voor de SAML-reactie wel in Firefox maar niet in Internet Explorer?

Dit kan komen doordat Internet Explorer de RelayState verkeerd interpreteert. Internet Explorer interpreteert '&ltmpl' als '<mpl'. Speciale XML-tekens moeten worden gewijzigd in de RelayState om dit te voorkomen. Wijzig { &, <, >, ', " } in { &amp;, <, >, &apos;, &quot; }.

Hoe kan ik toestaan dat gebruikers de startpagina van de partner zien zonder te verifiëren?

Bekijk dit onderwerp in de discussiegroep voor een voorbeeld van een SAML-reactie.

Wat is het Ontvanger-kenmerk dat is vereist in de SAML-reactie?

Volgens gedeelte 4.1.4.2 van deSAML 2.0-profielspecificatie moet het kenmerk Recipient overeenkomen met de Assertion Consumer Service-URL (ACS-URL). U vindt deze hier:

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

Bekijk de vragen hieronder voor informatie over hoe u de Ontvanger kunt toevoegen aan de SAML-reactie.

Hoe zorg ik dat mijn identiteitsprovider van derden het juiste Recipient-kenmerk specificeert?

Als SAML 2.0 wordt ondersteund door uw commerciële of open-source-identiteitsprovider, is het juiste Ontvanger-kenmerk al gespecificeerd. Als u een van bovenstaande foutmeldingen krijgt, betekent dit dat het Ontvanger-kenmerk onjuist is. In dit geval moet u contact opnemen met de leverancier of maintainer van de software en diegene een link naar deze pagina sturen.

Kunnen mijn gebruikers zich met SSO verifiëren via de login-URL van het beheerdersdashboard?

Ja. Met op SAML gebaseerde Single sign-on (SSO) kunt u de inlogbevoegdheid van Google Workspace overdragen aan de software van uw eigen identiteitsprovider (bijvoorbeeld een bestaande inlogportal). Uw software beheert de verificatie van uw gebruikersaccounts en Google Workspace stuurt een inlogpoging door naar uw SSO-portal. Uw beheerders kunnen deze services echter nog steeds beheren met de inlog-URL voor beheerders van de Google Beheerdersconsole (https://www.google.com/a/example.com). Zo kunt u toch inloggen als er een probleem is met uw SSO-portal of deze moet worden geüpdatet.

Wat betekent deze foutmelding: 'U heeft geen toegang tot deze service omdat uw inlogverzoek geen ontvangersgegevens bevatte'?

Dit betekent dat de SAML-reactie niet het vereiste Ontvanger-kenmerk bevat.

Wat betekent deze foutmelding: 'U heeft geen toegang tot deze service omdat uw inlogverzoek ongeldige ontvangersgegevens bevatte'?

Dit betekent dat het Ontvanger-kenmerk in de SAML-reactie niet overeenkomt met de Assertion Consumer Service-URL (ACS-URL).

Wat betekent deze foutmelding: 'U heeft geen toegang tot dit account omdat de inloggegevens niet kunnen worden geverifieerd'?

Dit betekent meestal dat de privésleutel die is gebruikt om de SAMLResponse te ondertekenen, niet overeenkomt met het certificaat met openbare sleutel dat Google Workspace heeft opgeslagen. Upload het certificaat in de SSO-instellingen op het dashboard en probeer het opnieuw.