SAML SSO 常见问题解答

SSO API 支持哪个版本的 SAML？

我们目前支持 SAML 2.0 版。如需详细了解 SAML v2.0 标准，请访问 http://www.oasis-open.org/specs/index.php#samlv2.0。

SAML SSO 可用于 POP3 或 IMAP 吗？

不能，SAML 仅适用于 Google Workspace Web 应用。

SAML SSO 可用于 Gmail Atom Feed 吗？

不可以，Gmail Atom Feed 使用的是 HTTP 基本身份验证。

SAML SSO 可用于 AuthSub 吗？

可以，SAML 可与 AuthSub 一起使用。

可以使用 RSA（而非 DSA）来实施单点登录吗？

可以，您可以选择使用 RSA 或 DSA 加密算法。我们两者都接受。

如何生成 SSO 要求的验证证书？

您可以使用 openssl 命令生成 X509 证书。如需了解详情，请参阅为 SSO 生成密钥和证书。

如果我们的网域实施了 SSO，还可以直接登录 Google 吗？

不能。实施单点登录后，网域最终用户无法直接登录 Google。 超级管理员仍然可以登录 Google 控制面板（例如 http://www.google.com/a/example.com）。

如何删除用于在浏览器会话过程中识别用户的临时会话 Cookie（例如，退出时）？

通过 SAML 成功进行身份验证后，Google 会设置一个会话 Cookie 来标识用户的会话。当用户明确退出登录状态（例如，通过点击退出按钮）时，需要销毁此 Cookie。如果您的实现涉及持久会话管理（“在此计算机上记住我”功能），您可能需要控制此 Cookie 的销毁方式和时间。在退出后，Google 将重定向到您的退出 servlet。在您的注销 servlet 中，您可以向用户显示一些选项，这些选项可以确定是否应删除会话 Cookie。

为什么“更改密码”网址无效？

对单点登录设置中的“更改密码网址”所做的更改大约需要一小时才能生效。

为什么 SAMLResponse HTML 表单在 Firefox 中可以使用，而在 Internet Explorer 中无法使用？

这可能是因为 Internet Explorer 误译了 RelayState。Internet Explorer 将“&ltmpl”解释为“<mpl”。要防止发生这种情况，您必须在 RelayState 中避免使用 XML 特殊字符。将 { &, <, >, ', " } 更改为 { &amp;, <, >, &apos;, &quot; }。

如何允许用户在不进行身份验证的情况下查看合作伙伴初始页？

请在论坛上参阅此主题，了解 SAMLResponses 示例。

SAML 响应中要求的收件人属性是什么？

根据 SAML 2.0 配置文件规范的 4.1.4.2 部分，收件人属性应该与声明消费者服务 (ACS) 网址一致，其位置如下：

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

查看以下问题，了解如何向 SAML 响应添加收件人。

如何确保我的第三方身份提供商指定了正确的收件人属性？

如果您的商业身份提供商或开放源代码身份提供商支持 SAML 2.0，则它应该已指定正确的收件人属性。如果您收到以上某个错误消息，则表示收件人属性不正确。如果是这种情况，请与软件的供应商或维护者联系，并向其发送指向此页面的链接。

启用单点登录后，我的用户能否使用管理控制台登录网址进行身份验证？

可以。借助基于 SAML 的单点登录 (SSO)，您可以将 Google Workspace 登录权限转移到您自己的身份提供方软件（例如，现有的登录门户）。您的软件控制和管理用户账号的身份验证，Google Workspace 会将登录尝试重定向到您的 SSO 门户。但是，请务必注意，您的管理员仍然可以使用 Google 管理控制台的管理员登录网址（https://www.google.com/a/<示例>.com）管理这些服务。这样一来，当 SSO 门户出现问题或需要更新时，您就可以灵活处理。

“您的登录请求中未包含收件人信息，因此无法访问该服务”这条错误消息是什么意思？

这表示 SAML 响应缺少所需的收件人属性。

“此服务无法访问，因为您的登录请求包含无效的 recipient 信息”这条错误消息是什么意思？

这表示 SAML 响应中的收件人属性与声明消费者服务 (ACS) 网址不一致。

错误消息“由于无法验证登录凭据，因此无法访问此账号”是什么意思？

这通常意味着，用于签署 SAMLResponse 的私钥与 Google Workspace 存档的公钥证书不匹配。请在控制台中的“SSO 设置”中上传该证书，然后重试。