الأسئلة الشائعة حول الدخول المُوحَّد (SSO) المستند إلى SAML

ما إصدار SAML الذي توفّره واجهة برمجة تطبيقات الدخول المُوحَّد (SSO)؟

نوفّر حاليًا الإصدار 2.0 من SAML. يُرجى الانتقال إلى http://www.oasis-open.org/specs/index.php#samlv2.0 للاطّلاع على تفاصيل حول معيار SAML v2.0.

هل يعمل الدخول المُوحَّد (SSO) المستند إلى SAML مع بروتوكول POP3 أو بروتوكول IMAP؟

لا، يعمل SAML مع تطبيقات الويب في Google Workspace فقط.

هل يعمل الدخول المُوحَّد (SSO) المستند إلى SAML مع خلاصة Gmail Atom؟

لا، تستخدم خلاصة Gmail Atom مصادقة HTTP الأساسية.

هل يعمل الدخول المُوحَّد (SSO) المستند إلى SAML مع AuthSub؟

نعم، يعمل SAML مع AuthSub.

هل يمكننا استخدام RSA بدلاً من DSA لتنفيذ الدخول المُوحَّد؟

نعم، يمكنك اختيار استخدام خوارزمية التشفير RSA أو DSA. ونقبل كليهما.

كيف يمكنني إنشاء شهادة التحقق المطلوبة للدخول المُوحَّد (SSO)؟

يمكنك إنشاء شهادات X509 باستخدام الأمر openssl. لمعرفة التفاصيل، يُرجى الاطّلاع على إنشاء المفاتيح والشهادات للدخول المُوحَّد.

إذا نفّذ نطاقنا الدخول المُوحَّد (SSO)، هل سيظل بإمكاننا تسجيل الدخول إلى Google مباشرةً؟

بتنفيذ الدخول المُوحَّد (SSO)، لا يمكن لمستخدمي النطاق تسجيل الدخول إلى Google مباشرةً. سيظل بإمكان المشرفين المتميزين تسجيل الدخول إلى لوحة تحكم Google (مثل http://www.google.com/a/example.com).

كيف يمكن حذف ملف تعريف الارتباط غير الدائم للجلسة والذي يحدّد مستخدمًا أثناء جلسة متصفّح (عند تسجيل الخروج مثلاً)؟

بعد إجراء مصادقة ناجحة عبر SAML، تضبط Google ملف تعريف ارتباط للجلسة لتحديد جلسة المستخدم. عندما يسجّل المستخدم الخروج صراحةً (على سبيل المثال، من خلال النقر على زر تسجيل الخروج)، يجب إتلاف ملف تعريف الارتباط هذا. إذا كان التنفيذ يتضمن إدارة الجلسة المستمرة (وظيفة "تذكرني على هذا الكمبيوتر")، قد تحتاج إلى التحكم في كيفية تدمير ملف تعريف الارتباط هذا ومتى. عند تسجيل الخروج، تعيد Google التوجيه إلى سيرفلت تسجيل الخروج. في servlet تسجيل الخروج، يمكنك تقديم بعض الخيارات للمستخدم التي يمكن أن تحدد ما إذا كان يجب حذف ملف تعريف الارتباط للجلسة أم لا.

لماذا لا يعمل "تغيير عنوان URL لكلمة المرور"؟

تستغرق التغييرات في عنوان URL لتغيير كلمة المرور في إعدادات الدخول الموحّد (SSO) حوالي ساعة لتصبح سارية المفعول.

لماذا يعمل نموذج HTML لاستجابة SAML في Firefox، ولكن لا يعمل في Internet Explorer؟

قد يكون ذلك بسبب إساءة Internet Explorer لتفسير لغة RelayState. يفسّر Internet Explorer الرمز "&ltmpl" على أنّه "<mpl". لمنع حدوث ذلك، يجب تخطي أحرف XML الخاصة في RelayState. غيِّر { &, <, >, ', " } إلى { &amp;, <, >, &apos;, &quot; }.

كيف يمكنني السماح للمستخدمين بعرض صفحة الشريك الرئيسية بدون مصادقة؟

اطلع على هذا الموضوع في مجموعة المناقشة للحصول على مثال حول استجابة SAML.

ما المقصود بسمة المستلم المطلوبة في استجابة SAML؟

وفقًا للفقرة 4.1.4.2 من مواصفات الملفات الشخصية SAML 2.0، يجب أن تكون سمة المستلم مساوية لعنوان URL لخدمة Assertion Consumer Service (ACS). وتوجد هنا:

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

اطلع على الأسئلة أدناه لمعرفة كيف يمكنك إضافة المستلم إلى استجابة SAML.

كيف يمكنني التأكد من أن موفر الهوية من جهة خارجية يحدد سمة المستلم الصحيحة؟

إذا دعم موفر هوية تجاري أو برنامج مفتوح المصدر SAML 2.0، فمن المفترض تحديد سمة المستلم الصحيحة بالفعل. إذا حصلت على إحدى رسائل الخطأ أعلاه، فهذا يعني أن سمة المستلم غير صحيحة. وفي هذه الحالة، اتصل بالمورد أو مُصلح البرنامج، وأرسل إليه الرابط لهذه الصفحة.

باستخدام الدخول الموحد، هل يمكن للمستخدمين مصادقة أنفسهم باستخدام عنوان URL لصفحة تسجيل دخول لوحة تحكم المشرف؟

نعم. تتيح لك خدمة الدخول المُوحَّد (SSO) المستنِد إلى SAML نقل صلاحية تسجيل الدخول إلى Google Workspace إلى برنامج موفِّر الهوية الخاص بك (على سبيل المثال، بوابة تسجيل دخول حالية). يتحكّم برنامجك في مصادقة حسابات المستخدمين ويديرها، وستعيد Google Workspace توجيه محاولة تسجيل الدخول إلى بوابة الدخول المُوحَّد (SSO). ولكن من المهم تذكر أنه سيظل بإمكان المشرفين إدارة هذه الخدمات باستخدام عنوان URL لصفحة تسجيل الدخول للمشرف في وحدة تحكم المشرف في Google (https://www.google.com/a/example.com). وهذا يمنحك المرونة إذا كانت بوابة الدخول الموحّد (SSO) تواجه مشكلة أو تحتاج إلى التحديث.

ماذا تعني رسالة الخطأ هذه "لا يمكن الوصول إلى هذه الخدمة؛ لأن طلب تسجيل الدخول لا يحتوي على أي معلومات للمستلم"؟

يعني ذلك أن استجابة SAML تفقد سمة المستلم المطلوبة.

ماذا تعني رسالة الخطأ هذه: "لا يمكن الوصول إلى هذه الخدمة لأن طلب تسجيل الدخول يحتوي على معلومات مستلم غير صالحة"؟

يعني ذلك أن سمة المستلم في استجابة SAML لا تطابق عنوان URL لخدمة مستهلك Assertion (ACS).

ما معنى رسالة الخطأ "لا يمكن الوصول إلى هذا الحساب نظرًا لتعذُّر التحقق من صحة بيانات تسجيل الدخول"؟

يعني هذا عادةً أنّ المفتاح الخاص المستخدَم لتوقيع SAMLResponse لا يتطابق مع شهادة المفتاح العام التي يحتفظ بها Google Workspace في الملف. يُرجى تحميل الشهادة في إعدادات الدخول المُوحَّد (SSO) في لوحة التحكم وإعادة المحاولة.