Vanliga frågor om enkel inloggning med SAML

Vilken version av SAML har SSO API stöd för?

Vi stödjer för närvarande SAML v2.0. Besök http://www.oasis-open.org/specs/index.php#samlv2.0 för mer information om SAML v2.0-standarden.

Fungerar SAML SSO med POP3 eller IMAP?

Nej, SAML fungerar bara med Google Workspace-webbappar.

Fungerar SAML SSO med Gmail Atom-flödet?

Nej, Gmail Atom-flödet använder grundläggande HTTP-autentisering.

Fungerar SAML SSO med AuthSub?

Ja, SAML fungerar med AuthSub.

Går det att använda RSA stället för DSA för implementering av enkel inloggning?

Ja, det går att välja att använda RSA- eller DSA-krypteringsalgoritmen. Vi godkänner båda.

Hur skapar jag verifieringscertifikatet som krävs för enkel inloggning?

Du kan generera X509-certifikat med kommandot openssl. Mer information finns i Generera nycklar och certifikat för SSO.

Kan vi logga in på Google direkt även om enkel inloggning tillämpas på domänen?

När enkel inloggning tillämpas kan domänens slutanvändare inte logga in på Google direkt. Avancerade administratörer kan fortfarande logga in på Googles kontrollpanel (t.ex. http://www.google.com/a/example.com).

Hur kan den icke-permanenta sessionscookien som identifierar en användare under en webbläsarsession tas bort (t.ex. vid utloggning)?

Efter en lyckad autentisering via SAML ställer Google in en sessionscookie för att identifiera en användares session. När användaren uttryckligen loggar ut (till exempel genom att klicka på utloggningsknappen) måste cookien förstöras. Om implementeringen inbegriper hantering av beständiga sessioner (funktionen Kom ihåg mig på den här datorn) kan du behöva styra hur och när denna cookie förstörs. Vid utloggning omdirigeringar Google till din servlet för utloggning. I utloggnings-servleten kan du presentera användaren med några alternativ som kan avgöra om sessionscookien ska raderas eller inte.

Varför fungerar inte Ändra lösenordssida?

Det tar ungefär en timme innan ändringar av webbadressen för att ändra lösenord i inställningarna för enkel inloggning träder i kraft.

Varför fungerar HTML-formuläret SAMLResponse i Firefox men inte i Internet Explorer?

Det kan bero på att Internet Explorer feltolkar RelayState. Internet Explorer tolkar &ltmpl som <mpl. För att förhindra att detta händer ska XML-specialtecken anges i RelayState. Ändra { &, <, >, ', " } till { &amp;, <, >, &apos;, &quot; }.

Hur kan jag tillåta användare att se partnerns startsida utan autentisering?

Läs det här ämnet i diskussionsgruppen för ett exempel på SAMLResponse.

Vad är mottagarattributet som krävs i SAML-svaret?

Enligt avsnitt 4.1.4.2 i SAML 2.0-profilspecifikationen ska attributet Recipient vara lika med webbadressen för Assertion Consumer Service (ACS) URL. Det finns här:

<samlp:Response ...>
  <saml:Assertion ...>
    <saml:Subject>
      <saml:NameID ...>user@domain.com</saml:NameID>
      <saml:SubjectConfirmation ...>
        <saml:SubjectConfirmationData Recipient="https://www.google.com/a/domain.com/acs" .../>
      </saml:SubjectConfirmation>
    </saml:Subject>
  </saml:Assertion>
</samlp:Response>

Läs frågorna nedan om hur du kan lägga till mottagaren i SAML-svaret.

Hur säkerställer jag min externa identitetsleverantör anger rätt mottagarattribut?

Om din kommersiella identitetsleverantör eller identitetsleverantör för öppen källkod har stöd för SAML 2.0 bör det rätt Recipient-attribut redan vara angivet. Om du ser ett av felmeddelandena ovan betyder det att Recipient-attributet är felaktigt. Om så är fallet kontaktar du säljaren eller den som utvecklar programvaran och skicka dem länken till den här sidan.

Kan mina användare autentisera sig med administratörskontrollpanelens inloggningswebbadress med enkel inloggning?

Ja. Med SAML-baserad enkel inloggning (SSO) kan du överföra inloggningsbehörigheten för Google Workspace till din egen mjukvara för identitetsleverantör (till exempel en befintlig inloggningsportal). Mjukvaran styr och hanterar autentiseringen av användarkontona och Google Workspace omdirigerar inloggningsförsök till SSO-portalen. Men det är viktigt att komma ihåg att administratörerna fortfarande kan hantera dessa tjänster via inloggningsadressen för Google Administratörskonsol (https://www.google.com/a/example.com). Detta ger dig flexibilitet om SSO-portalen inte fungerar eller behöver uppdateras.

Vad betyder det här felmeddelandet: Det går inte att komma åt den här tjänsten eftersom din begäran om inloggning saknade mottagaruppgifter?

Det betyder SAML-svaret saknar ett obligatoriskt Recipient-attribut.

Vad betyder det här felmeddelandet: Det går inte att komma åt den här tjänsten eftersom din begäran om inloggning innehöll ogiltiga mottagaruppgifter?

Det betyder att Recipient-attributet i SAML-svaret inte matchar ACS-webbadressen (Assertion Consumer Service).

Vad betyder det här felmeddelandet: Det går inte att komma åt det här kontot eftersom det inte gick att verifiera din inloggning?

Detta innebär vanligtvis att den privata nyckeln som används för att signera SAMLResponse inte matchar det offentliga nyckelcertifikatet som Google Workspace har registrerat. Överför certifikatet i SSO-inställningarna på kontrollpanelen och försök igen.