- SSO API ではどのバージョンの SAML をサポートしていますか？
- SAML SSO は POP3 や IMAP と連携できますか？
- SAML SSO は Gmail Atom フィードと連携できますか？
- SAML SSO は AuthSub と連携できますか？
- シングル サインオンの実装で、DSA の代わりに RSA を使用できますか？
- SSO に必要な認証証明書を生成するにはどうすればよいですか？
- ドメインに SSO を実装しても Google に直接ログインできますか？
- ブラウザ セッション中にユーザーを識別する非永続的なセッション Cookie は、どのように削除できますか（ログアウト時など）？
- [パスワード変更 URL] が機能しないのはなぜですか？
- SAMLResponse HTML フォームが Firefox では機能するのに Internet Explorer では機能しないのはなぜですか？
- 認証なしでパートナーのスタートページをユーザーに表示するにはどうすればよいですか？
- SAML レスポンスに必要な Recipient 属性とは何ですか？
- サードパーティの ID プロバイダが正しい受信者属性を指定するようにするにはどうすればよいですか？
「ログイン リクエストに無効な宛先情報が含まれていたため、このサービスにはアクセスできません」というエラー メッセージはどういう意味ですか？
「ログイン リクエストに宛先情報が含まれていなかったため、このサービスにはアクセスできません」というエラー メッセージは何を意味しますか？
「ログイン資格情報を確認できないため、このアカウントにはアクセスできません」というエラー メッセージはどういう意味ですか？
SSO API ではどのバージョンの SAML をサポートしていますか？
現在のところ、SAML v2.0 をサポートしています。SAML v2.0 標準の詳細については、http://www.oasis-open.org/specs/index.php#samlv2.0 をご覧ください。
SAML SSO は POP3 や IMAP と連携できますか？
いいえ。SAML は Google Workspace ウェブ アプリケーションでのみ機能します。
SAML SSO は Gmail Atom フィードと連携できますか？
いいえ。Gmail Atom フィードでは HTTP 基本認証が使用されます。
SAML SSO は AuthSub と連携できますか？
はい。SAML は AuthSub と連携できます。
シングル サインオンの実装で、DSA の代わりに RSA を使用できますか？
はい。暗号化アルゴリズムとして RSA または DSA を使用するよう選択でき、Google ではどちらも承認します。
SSO に必要な認証証明書を生成するにはどうすればよいですか？
X509 証明書は、openssl コマンドを使用して生成できます。詳細については、SSO 用の鍵と証明書を生成するをご覧ください。
ドメインに SSO を実装しても Google に直接ログインできますか？
いいえ。SSO を実装すると、ドメインのエンドユーザーは Google に直接ログインできなくなります。特権管理者は、引き続き Google コントロール パネル（http://www.google.com/a/example.com など）にログインできます。
ブラウザ セッション中にユーザーを識別する永続的ではないセッション Cookie を（ログアウト時などに）削除するにはどうすればよいですか？
SAML 経由の認証に成功すると、Google はユーザーのセッションを識別するためのセッション Cookie を設定します。ユーザーが明示的にログアウトした場合（ログアウト ボタンをクリックした場合など）、この Cookie は破棄する必要があります。実装に永続的なセッション管理（「このコンピュータで次回から自動的にログインする」機能）が含まれている場合は、この Cookie が破棄されるタイミングと方法を制御する必要がある場合があります。ログアウトすると、ログアウト サーブレットにリダイレクトされます。ログアウト サーブレットで、セッション Cookie を削除するかどうかを決定するオプションをユーザーに提示できます。
[パスワード変更 URL] が機能しないのはなぜですか？
SSO 設定の [パスワード変更用 URL] の変更が有効になるまでには、約 1 時間かかります。
SAMLResponse HTML フォームが Firefox では動作して Internet Explorer では動作しないのはなぜですか？
Internet Explorer による RelayState の解釈に誤りがあることが原因だと考えられます。Internet Explorer は「<mpl」を「<mpl」と解釈します。これを防ぐために、RelayState では XML の特殊文字をエスケープする必要があります。{ &, <, >, ', " } を { &, <, >, ', " } に変更します。
パートナーのスタートページを、認証なしでユーザーが表示できるようにするにはどうすればよいですか？
ヘルプグループのこちらのトピックで SAMLResponse のサンプルをご覧ください。
SAML レスポンスに必要な Recipient 属性とは何ですか？
SAML 2.0 プロファイル仕様の第 4.1.4.2 項によると、Recipient 属性は ACS（Assertion Consumer Service）URL と同じである必要があります。これは次の記述の中にあります。
<samlp:Response ...>
<saml:Assertion ...>
<saml:Subject>
<saml:NameID ...>user@domain.com</saml:NameID>
<saml:SubjectConfirmation ...>
<saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
</saml:SubjectConfirmation>
</saml:Subject>
</saml:Assertion>
</samlp:Response>
SAML レスポンスに Recipient を追加する方法については、以下の質問をご覧ください。
サードパーティの ID プロバイダが正しい Recipient 属性を指定しているかどうか確認するにはどうすればよいですか？
ご利用の商用またはオープンソースの ID プロバイダが SAML 2.0 に対応している場合、正しい Recipient 属性が既に指定されているものと考えられます。上記のエラー メッセージのいずれかが表示される場合は、Recipient 属性が正しくないことを意味します。これに該当する場合は、ソフトウェアのベンダーか管理者に連絡してこのページへのリンクを送信してください。
SSO を使用すると、ユーザーは管理コントロール パネルのログイン URL を使用して自身を認証できますか？
はい。SAML ベースのシングル サインオン（SSO）を使用すると、Google Workspace のログイン権限を独自の ID プロバイダ ソフトウェア（既存のログイン ポータルなど）に転送できます。ソフトウェアがユーザー アカウントの認証を制御および管理し、Google Workspace はログイン試行を SSO ポータルにリダイレクトします。ただし、管理者はこれまでどおり Google 管理コンソール（https://www.google.com/a/[ドメイン名].com）にログインしてこれらのサービスを管理できます。管理コンソールで管理できることにより、SSO ポータルで問題が発生した場合、あるいは更新が必要な場合にも、柔軟に対応できます。
「ログイン リクエストに宛先情報が含まれていなかったため、このサービスにはアクセスできません」というエラー メッセージが表示されるのはなぜですか？
これは、SAML レスポンスに必須の Recipient 属性がないことを意味します。
「ログイン リクエストに無効な宛先情報が含まれていたため、このサービスにはアクセスできません」というエラー メッセージが表示されるのはなぜですか？
これは、SAML レスポンスの Recipient 属性が、ACS（Assertion Consumer Service）URL と一致しないことを意味します。
「ログイン資格情報を確認できないため、このアカウントにはアクセスできません」というエラー メッセージはどういう意味ですか？
通常、これは SAMLResponse の署名に使用された秘密鍵が、Google Workspace に登録されている公開鍵証明書と一致しないことを意味します。コントロール パネルの SSO 設定で証明書をアップロードしてから、もう一度お試しください。