SAML TOA ile ilgili SSS

SSO API hangi SAML sürümünü destekler?

Şu anda SAML v2.0 desteklenmektedir. SAML v2.0 standardıyla ilgili ayrıntılar için http://www.oasis-open.org/specs/index.php#samlv2.0 adresini ziyaret edin.

SAML TOA, POP3 veya IMAP ile çalışır mı?

Hayır, SAML yalnızca Google Workspace web uygulamalarıyla çalışır.

SAML TOA, Gmail Atom feed'iyle çalışır mı?

Hayır. Gmail Atom feed'i, HTTP temel kimlik doğrulamasını kullanır.

SAML TOA, AuthSub ile çalışır mı?

Evet. SAML, AuthSub ile çalışır.

Tek oturum açma uygulaması için DSA yerine RSA kullanabilir miyiz?

Evet. RSA veya DSA şifreleme algoritması kullanmayı seçebilirsiniz. Her ikisi de kabul edilir.

TOA için gereken doğrulama sertifikasını nasıl oluşturabilirim?

openssl komutunu kullanarak X509 sertifikaları oluşturabilirsiniz. Ayrıntılar için TOA için anahtar ve sertifika oluşturma başlıklı makaleye bakın.

Alanımızda TOA uygulanırsa yine de Google'a doğrudan giriş yapabilir miyiz?

Hayır, TOA uygulandığında alan son kullanıcıları doğrudan Google'a giriş yapamaz. Süper yöneticiler Google denetim masasına (ör.http://www.google.com/a/example.com) giriş yapmaya devam edebilir.

Tarayıcı oturumu sırasında bir kullanıcıyı tanımlayan kalıcı olmayan oturum çerezi nasıl silinebilir (ör. oturumdan çıkış yapıldıktan sonra)?

SAML aracılığıyla başarılı bir kimlik doğrulama yapıldıktan sonra Google, kullanıcının oturumunu tanımlamak için bir oturum çerezi ayarlar. Kullanıcı açıkça çıkış yaptığında (ör. çıkış düğmesini tıklayarak) bu çerezin silinmesi gerekir. Uygulamanız kalıcı oturum yönetimi ("bu bilgisayarda beni hatırla" işlevi) içeriyorsa bu çerezin nasıl ve ne zaman yok edileceğini kontrol etmeniz gerekebilir. Çıkış yaptığında, Google kullanıcıyı çıkış yapma servlet'inize yönlendirir. Oturum kapatma servlet'inizde, kullanıcıya oturum çerezinin silinip silinmeyeceğini belirleyebilecek bazı seçenekler sunabilirsiniz.

"Şifre URL'sini değiştir" ayarı neden çalışmıyor?

TOA ayarlarındaki şifre değiştirme URL'sinde yapılan değişikliklerin geçerlilik kazanması yaklaşık bir saat sürer.

SAMLResponse HTML formu neden Firefox'ta çalışıyor da Internet Explorer'da çalışmıyor?

Bunun nedeni, Internet Explorer'ın RelayState değerini yanlış yorumlaması olabilir. Internet Explorer, "&ltmpl" ifadesini "<mpl" olarak yorumlar. Bunun olmasını önlemek için XML özel karakterleri, RelayState'te kaçış karakterlerinin arasına alınmalıdır. { &, <, >, ', " } karakterlerini { &amp;, <, >, &apos;, &quot; } olarak değiştirin.

Kullanıcıların kimlik doğrulaması olmaksızın iş ortağı başlangıç sayfasını görüntülemesini nasıl sağlayabilirim?

Örnek SAMLResponse için tartışma grubundaki bu konuyu inceleyin.

SAML Response'ta belirtilmesi gereken Recipient (Alıcı) özelliği nedir?

SAML 2.0 profilleri spesifikasyonu bölüm 4.1.4.2'ye göre, Recipient özelliği Onaylama Tüketici Hizmeti (ACS) URL'sine eşit olmalıdır. Şurada bulunur:

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

Recipient özelliğini SAML Response'a nasıl ekleyebileceğinizi öğrenmek için aşağıdaki soruları inceleyin.

Üçüncü taraf kimlik sağlayıcımın doğru Recipient (Alıcı) özelliğini belirttiğinden nasıl emin olabilirim?

Ticari veya açık kaynak kimlik sağlayıcınız SAML 2.0'ı destekliyorsa, zaten doğru Recipient özelliğini belirtir. Yukarıdaki hata mesajlarından birini alıyorsanız alıcı özelliği yanlış demektir. Bu durumda, yazılımın satıcısı veya geliştiricisiyle iletişime geçerek bu sayfanın bağlantısını gönderin.

TOA ile, kullanıcılarım yönetici denetim masası giriş URL'sini kullanarak kendi kendilerine kimlik doğrulaması yapabilir mi?

Evet. SAML tabanlı Tek Oturum Açma (TOA), Google Workspace giriş yetkisini kendi kimlik sağlayıcı yazılımınıza (örneğin, mevcut bir giriş portalı) aktarmanıza olanak tanır. Yazılımınız, kullanıcı hesaplarınızın kimlik doğrulamasını kontrol eder ve yönetir. Google Workspace, giriş denemelerini TOA portalınıza yönlendirir. Ancak, yöneticilerinizin bu hizmetleri yine Google Yönetici konsolunun yönetici giriş URL'sini (https://www.google.com/a/example.com) kullanarak yönetebileceğini unutmayın. Bu, TOA portalınızda sorun olursa veya güncellenmesi gerekirse size esneklik sağlar.

"Giriş isteğiniz alıcı bilgisi içermediği için bu hizmete erişilemiyor" hata mesajı ne anlama geliyor?

SAML Response'ta olması gereken bir Recipient özelliğinin bulunmadığı anlamına gelir.

"Giriş isteğiniz geçersiz alıcı bilgileri içerdiği için bu hizmete erişilemiyor" hata mesajı ne anlama geliyor?

SAML Response'taki Recipient özelliğinin, Onaylama Tüketici Hizmeti (ACS) URL'siyle eşleşmediği anlamına gelir.

"Giriş kimlik bilgileri doğrulanamadığı için bu hesaba erişilemiyor" hata mesajı ne anlama geliyor?

Bu genellikle, SAMLResponse'u imzalamak için kullanılan özel anahtarın, Google Workspace'in dosyasındaki ortak anahtar sertifikasıyla eşleşmediği anlamına gelir. Lütfen denetim masasındaki TOA Ayarları'nda sertifikayı yükleyin ve işlemi yeniden deneyin.