คำถามที่พบบ่อยเกี่ยวกับ SAML SSO

SSO API รองรับ SAML เวอร์ชันใด

เรารองรับ SAML v2.0 ในขณะนี้ ไปที่ http://www.oasis-open.org/specs/index.php#samlv2.0 เพื่อดูรายละเอียดเกี่ยวกับมาตรฐาน SAML v2.0

SAML SSO ใช้กับ POP3 หรือ IMAP ได้ไหม

ไม่ได้ SAML ใช้ได้กับเว็บแอปพลิเคชันของ Google Workspace เท่านั้น

SAML SSO ใช้กับฟีด Gmail Atom ได้ไหม

ไม่ได้ ฟีด Gmail Atom ใช้การตรวจสอบสิทธิ์พื้นฐานของ HTTP

SAML SSO ใช้กับ AuthSub ได้ไหม

ได้ SAML ใช้กับ AuthSub ได้

เราจะใช้ RSA แทน DSA ในการดำเนินการลงชื่อเพียงครั้งเดียวได้ไหม

ได้ คุณเลือกใช้อัลกอริทึมการเข้ารหัส RSA หรือ DSA ได้ เรายอมรับได้ทั้ง 2 แบบ

ฉันจะสร้างใบรับรองการยืนยันที่ต้องใช้กับ SSO ได้ไหม

คุณสร้างใบรับรอง X509 ได้โดยใช้คำสั่ง openssl โปรดดูรายละเอียดที่หัวข้อสร้างคีย์และใบรับรองสำหรับ SSO

ถ้าโดเมนของเราใช้ SSO เราจะยังเข้าสู่ระบบ Google ได้โดยตรงไหม

ไม่ เมื่อใช้ SSO แล้ว ผู้ใช้ปลายทางในโดเมนไม่สามารถเข้าสู่ระบบ Google ได้โดยตรง ผู้ดูแลระบบขั้นสูงจะยังคงเข้าสู่ระบบแผงควบคุมของ Google ได้ (เช่น http://www.google.com/a/example.com)

ฉันจะลบคุกกี้เซสชันที่ไม่ถาวรซึ่งระบุผู้ใช้ในระหว่างเซสชันของเบราว์เซอร์ได้อย่างไร (เช่น เมื่อออกจากระบบ)

หลังจากตรวจสอบสิทธิ์ผ่าน SAML สำเร็จแล้ว Google จะตั้งค่าคุกกี้เซสชันเพื่อ ระบุเซสชันของผู้ใช้ เมื่อผู้ใช้ออกจากระบบอย่างชัดเจน (เช่น โดยการคลิก ปุ่มออกจากระบบ) คุณต้องทำลายคุกกี้นี้ หากการติดตั้งใช้งาน เกี่ยวข้องกับการจัดการเซสชันแบบถาวร (ฟังก์ชัน "จดจำฉันในคอมพิวเตอร์เครื่องนี้") คุณอาจต้องควบคุมวิธีและเวลาที่จะทำลายคุกกี้นี้ เมื่อออกจากระบบ Google จะเปลี่ยนเส้นทางไปยังเซิร์ฟเล็ตการออกจากระบบ ในเซอร์วิเล็ตการออกจากระบบ คุณอาจแสดงตัวเลือกบางอย่างแก่ผู้ใช้ซึ่งอาจกำหนดได้ว่าจะลบคุกกี้เซสชันหรือไม่

ทำไม URL เปลี่ยนรหัสผ่านจึงใช้ไม่ได้

การเปลี่ยนแปลง URL การเปลี่ยนรหัสผ่านในการตั้งค่า SSO จะใช้เวลาประมาณ 1 ชั่วโมงจึงจะมีผล

ทำไมแบบฟอร์ม SAMLResponse HTML ทำงานใน Firefox แต่ไม่ทำงานใน Internet Explorer

ปัญหานี้อาจเกิดเพราะ Internet Explorer ตีความ RelayState ผิด Internet Explorer จะตีความ "&ltmpl" เป็น "<mpl" จึงควรยกเว้นอักขระพิเศษ XML ใน RelayState เพื่อป้องกันไม่ให้เกิดกรณีนี้ เปลี่ยน { &, <, >, ', " } เป็น { &amp;, <, >, &apos;, &quot; }

ฉันจะอนุญาตให้ผู้ใช้ดูหน้าเริ่มต้นของพาร์ทเนอร์โดยไม่ต้องตรวจสอบสิทธิ์ได้อย่างไร

โปรดดูหัวข้อนี้ในกลุ่มสนทนาเพื่อดู SAMLResponse ตัวอย่าง

แอตทริบิวต์ Recipient ที่ต้องใช้ในการตอบกลับ SAML คืออะไร

จากหัวข้อ 4.1.4.2 ในข้อมูลจำเพาะของโปรไฟล์ SAML 2.0 แอตทริบิวต์ Recipient ควรเท่ากับ Assertion Consumer Service (ACS) URL ในที่ต่อไปนี้

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

โปรดดูคำถามเกี่ยวกับวิธีเพิ่ม Recipient ในตอบสนองของ SAML ด้านล่าง

ฉันจะแน่ใจได้อย่างไรว่าผู้ให้บริการข้อมูลประจำตัวบุคคลที่สามระบุแอตทริบิวต์ Recipient ที่ถูกต้อง

ถ้าผู้ให้บริการข้อมูลประจำตัวเชิงพาณิชย์หรือโอเพนซอร์สรองรับ SAML 2.0 ผู้ให้บริการควรระบุแอตทริบิวต์ Recipient ที่ถูกต้องอยู่แล้ว หากได้รับข้อความแสดงข้อผิดพลาดดังกล่าวข้างต้น ก็หมายความว่าแอตทริบิวต์ Recipeint ไม่ถูกต้อง ในกรณีนี้ โปรดติดต่อผู้ให้บริการหรือผู้บำรุงรักษาซอฟต์แวร์ แล้วส่งลิงก์ไปยังหน้านี้ไปให้

ผู้ใช้จะตรวจสอบสิทธิ์ตัวเองโดยใช้ URL สำหรับเข้าสู่ระบบแผงควบคุมผู้ดูแลระบบกับ SSO ได้ไหม

ได้ การลงชื่อเพียงครั้งเดียว (SSO) ที่ใช้ SAML ช่วยให้คุณโอนสิทธิ์การเข้าสู่ระบบ Google Workspace ไปยังซอฟต์แวร์ผู้ให้บริการข้อมูลประจำตัวของคุณเองได้ (เช่น พอร์ทัลการเข้าสู่ระบบที่มีอยู่) ซอฟต์แวร์ของคุณจะควบคุมและจัดการการตรวจสอบสิทธิ์ของบัญชีผู้ใช้ และ Google Workspace จะเปลี่ยนเส้นทางการพยายามเข้าสู่ระบบไปยังพอร์ทัล SSO แต่อย่าลืมว่าผู้ดูแลระบบของคุณจะยังจัดการบริการเหล่านี้ได้โดยใช้ URL สำหรับเข้าสู่ระบบของผู้ดูแลระบบในคอนโซลผู้ดูแลระบบของ Google (https://www.google.com/a/example.com) ซึ่งจะช่วยให้ความสะดวกแก่คุณหากพอร์ทัล SSO มีปัญหาหรือจำเป็นต้องอัปเดต

ข้อความแสดงข้อผิดพลาด "เข้าถึงบริการนี้ไม่ได้เพราะคำขอเข้าสู่ระบบไม่มีข้อมูลผู้รับ" หมายความว่าอย่างไร

หมายความว่าการตอบกลับ SAML ไม่มีแอตทริบิวต์ Recipient ที่ต้องใช้

ข้อความแสดงข้อผิดพลาด "เข้าถึงบริการนี้ไม่ได้เพราะคำขอเข้าสู่ระบบมีข้อมูลผู้รับที่ไม่ถูกต้อง" หมายความว่าอย่างไร

หมายความว่าแอตทริบิวต์ Recipient ในการตอบกลับ SAML ไม่ตรงกับ Assertion Consumer Service (ACS) URL

ข้อความแสดงข้อผิดพลาด "ไม่สามารถเข้าถึงบัญชีนี้ เนื่องจากไม่สามารถยืนยันข้อมูลการเข้าสู่ระบบ" หมายความว่าอย่างไร

โดยปกติแล้วปัญหานี้หมายความว่ารหัสส่วนตัวที่ใช้ลงนามใน SAMLResponse ไม่ตรงกับใบรับรองคีย์สาธารณะที่ Google Workspace มีในไฟล์ โปรดอัปโหลดใบรับรองในการตั้งค่า SSO ในแผงควบคุม แล้วลองใหม่