שאלות נפוצות בנושא SAML SSO

באיזו גרסה של SAML תומך ה-API של SSO?

נכון לעכשיו, אנחנו תומכים ב-SAML גרסה 2.0. פרטים על תקן SAML v2.0 זמינים בכתובת http://www.oasis-open.org/specs/index.php#samlv2.0.

האם כניסת SAML SSO פועלת עם POP3 או IMAP?

לא, SAML פועל רק עם אפליקציות האינטרנט של Google Workspace.

האם כניסת SSO באמצעות SAML פועלת עם פיד ה-Atom של Gmail?

לא, פיד ה-Atom של Gmail משתמש באימות HTTP בסיסי.

האם כניסה יחידה (SSO) שמבוססת על SAML פועלת עם AuthSub?

כן, SAML פועל עם AuthSub.

האם אפשר להשתמש ב-RSA במקום ב-DSA להטמעה של כניסה יחידה?

כן, אפשר לבחור להשתמש באלגוריתם ההצפנה RSA או DSA. אנחנו מקבלים את שניהם.

איך אפשר ליצור את אישור האימות שנדרש ל-SSO?

אפשר ליצור אישורי X509 באמצעות הפקודה openssl. פרטים נוספים מופיעים במאמר בנושא יצירת מפתחות ואישורים ל-SSO.

אם בדומיין שלנו מיושמת כניסה יחידה (SSO), האם עדיין אפשר להתחבר ל-Google ישירות?

לא, אחרי שמטמיעים SSO, משתמשי קצה בדומיין לא יכולים להתחבר ישירות ל-Google. סופר-אדמינים עדיין יכולים להיכנס ללוח הבקרה של Google (לדוגמה, http://www.google.com/a/example.com).

איך אפשר למחוק קובץ Cookie זמני של סשן שמזהה משתמש במהלך סשן בדפדפן (לדוגמה, אחרי יציאה מהחשבון)?

אחרי אימות מוצלח באמצעות SAML, ‏ Google מגדירה קובץ Cookie זמני כדי לזהות את הסשן של המשתמש. כשמשתמש מתנתק במפורש (למשל, על ידי לחיצה על לחצן ההתנתקות), צריך למחוק את קובץ ה-Cookie הזה. אם ההטמעה שלכם כוללת ניהול סשנים מתמשך (הפונקציונליות 'זכור אותי במחשב הזה'), יכול להיות שתצטרכו לשלוט באופן שבו קובץ ה-Cookie הזה נמחק ומתי הוא נמחק. אחרי שמתנתקים, Google מפנה אתכם אל servlet ההתנתקות. ב-servlet של היציאה מהחשבון, אפשר להציג למשתמש כמה אפשרויות שיקבעו אם קובץ Cookie זמני יימחק או לא.

למה כתובת האתר לשינוי סיסמה לא פועלת?

שינויים בכתובת האתר לשינוי סיסמה בהגדרות ה-SSO נכנסים לתוקף תוך שעה בערך.

למה טופס ה-HTML של SAMLResponse פועל ב-Firefox אבל לא ב-Internet Explorer?

יכול להיות שהסיבה לכך היא ש-Internet Explorer מפרש לא נכון את RelayState. ‫Internet Explorer מפרש את "&ltmpl" כ-"<mpl". כדי למנוע את זה, צריך להשתמש בתווי בריחה (escape) לתווים מיוחדים של XML ב-RelayState. תשנה את { &, <, >, ', " } ל- { &amp;, <, >, &apos;, &quot; }.

איך אפשר לאפשר למשתמשים לראות את דף הפתיחה של השותף בלי לבצע אימות?

אפשר לראות דוגמה ל-SAMLResponse בנושא הזה בקבוצת הדיון.

מהו מאפיין הנמען שנדרש בתגובת SAML?

לפי סעיף 4.1.4.2 של מפרט פרופילי SAML 2.0, מאפיין הנמען צריך להיות שווה לכתובת ה-URL של Assertion Consumer Service‏ (ACS). הוא נמצא כאן:

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

בהמשך מוסבר איך להוסיף את הנמען לתשובת SAML.

איך מוודאים שספק הזהויות של הצד השלישי מציין את מאפיין הנמען הנכון?

אם ספק הזהויות המסחרי או ספק הזהויות בקוד פתוח שלכם תומך ב-SAML 2.0, הוא כבר אמור לציין את מאפיין הנמען הנכון. אם מוצגת אחת מהודעות השגיאה שלמעלה, המשמעות היא שהמאפיין Recipient (נמען) שגוי. במקרה כזה, צריך לפנות לספק או למתחזק של התוכנה ולשלוח להם את הקישור לדף הזה.

האם המשתמשים שלי יכולים לאמת את עצמם באמצעות כתובת ה-URL לכניסה ללוח הבקרה לניהול, אם מוגדרת כניסה יחידה (SSO)?

כן. כניסה יחידה (SSO) שמבוססת על SAML מאפשרת להעביר את סמכות הכניסה ל-Google Workspace לתוכנת ספק הזהויות שלכם (לדוגמה, פורטל כניסה קיים). התוכנה שלכם שולטת באימות של חשבונות המשתמשים ומנהלת אותו, ו-Google Workspace יפנה ניסיון כניסה לפורטל ה-SSO שלכם. אבל חשוב לזכור שהאדמינים עדיין יוכלו לנהל את השירותים האלה באמצעות כתובת ה-URL לכניסה לאדמין במסוף Google Admin (https://www.google.com/a/example.com). האפשרות הזו מספקת גמישות אם יש בעיה בפורטל ה-SSO או אם צריך לעדכן אותו.

מה המשמעות של הודעת השגיאה: "אין אפשרות לגשת לשירות מכיוון שבקשת ההתחברות שלך לא מכילה פרטי נמען"?

המשמעות היא שבתגובת SAML חסר מאפיין Recipient (נמען) שנדרש.

מה המשמעות של הודעת השגיאה: "אין אפשרות לגשת לשירות הזה כי בקשת הכניסה שלך מכילה פרטי נמען לא חוקיים"?

המשמעות היא שמאפיין הנמען בתגובת SAML לא תואם לכתובת ה-URL של Assertion Consumer Service‏ (ACS).

מה המשמעות של הודעת השגיאה "אין אפשרות לגשת לחשבון זה מכיוון שלא ניתן לאמת את אישורי ההתחברות"?

בדרך כלל זה אומר שהמפתח הפרטי ששימש לחתימה על SAMLResponse לא תואם לאישור של מפתח ציבורי ששמור ב-Google Workspace. צריך להעלות את האישור בהגדרות ה-SSO בלוח הבקרה ולנסות שוב.