การตั้งค่า SSO

คุณสามารถตั้งค่า SSO โดยให้ Google เป็นผู้ให้บริการได้หลายวิธี ทั้งนี้ขึ้นอยู่กับความต้องการขององค์กร Google Workspace รองรับ SSO ทั้งแบบ SAML และ OIDC ดังนี้

• โปรไฟล์ SSO ที่มีการตั้งค่าสำหรับ IdP ช่วยให้คุณเลือกใช้การตั้งค่า SSO ที่ต่างกันกับผู้ใช้รายต่างๆ ในองค์กรได้อย่างยืดหยุ่น สร้างโปรไฟล์ที่อิงตาม SAML, โปรไฟล์ OIDC ที่กำหนดเอง หรือใช้โปรไฟล์ OIDC เริ่มต้นของ Microsoft Entra ซึ่งไม่ต้องกำหนดค่า
• หลังจากสร้างโปรไฟล์ SSO แล้ว ให้มอบหมายโปรไฟล์ให้กับหน่วยขององค์กรหรือกลุ่มเพื่อตั้งค่า IdP สำหรับผู้ใช้ดังกล่าว นอกจากนี้ คุณยังปิด SSO สำหรับหน่วยขององค์กรหรือกลุ่มที่ต้องการได้ด้วย

หากผู้ใช้ใช้ URL ของบริการที่ใช้ได้เฉพาะในโดเมนนั้นเพื่อเข้าถึงบริการต่างๆ ของ Google (เช่น https://mail.google.com/a/example.com) คุณยังสามารถจัดการหลักการทำงานของ URL เหล่านี้ด้วย SSO ได้

หากองค์กรต้องการการเปลี่ยนเส้นทาง SSO แบบมีเงื่อนไขตามที่อยู่ IP หรือ SSO สำหรับผู้ดูแลระบบขั้นสูง คุณก็มีตัวเลือกในการกำหนดค่าโปรไฟล์ SSO เดิมด้วย

ตั้งค่า SSO ด้วย SAML

ข้อควรทราบก่อนที่จะเริ่มต้น

หากต้องการตั้งค่าโปรไฟล์ SAML SSO คุณจะต้องมีการกำหนดค่าพื้นฐานบางอย่างจากทีมสนับสนุนของ IdP หรือเอกสารประกอบ ดังนี้

• รหัสเอนทิตีของ IdP: วิธีที่ IdP ระบุตัวตนเมื่อสื่อสารกับ Google
• URL ของหน้าลงชื่อเข้าใช้: หรือที่เรียกอีกอย่างว่า URL ของ SSO หรือ SAML 2.0 Endpoint (HTTP) ซึ่งคือตำแหน่งที่ผู้ใช้ลงชื่อเข้าใช้ IdP
• URL ของหน้าออกจากระบบ: หน้าที่ผู้ใช้จะไปถึงหลังจากออกจากแอป Google หรือบริการ
• URL การเปลี่ยนรหัสผ่าน: หน้าเว็บที่ผู้ใช้ SSO จะเข้าไปเปลี่ยนรหัสผ่าน (แทนการเปลี่ยนรหัสผ่านกับ Google)
• ใบรับรอง: ใบรับรอง X.509 PEM จาก IdP ของคุณ ใบรับรองจะมีคีย์สาธารณะที่ยืนยันการลงชื่อเข้าใช้จาก IdP

สร้างโปรไฟล์ SAML SSO

ทำตามขั้นตอนต่อไปนี้เพื่อสร้างโปรไฟล์ SSO ของบุคคลที่สาม คุณสร้างโปรไฟล์ในองค์กรได้สูงสุด 1,000 รายการ

1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู ความปลอดภัย การตรวจสอบสิทธิ์ SSO ด้วย IdP บุคคลที่สาม

   ไปที่ SSO ด้วย IdP บุคคลที่สาม

   ต้องมีสิทธิ์ของผู้ดูแลระบบในการตั้งค่าความปลอดภัย

2. คลิกเพิ่มโปรไฟล์ SAML ในส่วนโปรไฟล์ SSO ของบุคคลที่สาม
3. ในส่วนโปรไฟล์ SAML SSO ให้ป้อนชื่อโปรไฟล์
4. (ไม่บังคับ) ในส่วนป้อนอีเมลโดยอัตโนมัติ ให้เลือกตัวเลือกที่ตรงกับรูปแบบคำแนะนำในการเข้าสู่ระบบที่ IdP รองรับ โปรดดูรายละเอียดที่หัวข้อใช้การป้อนอีเมลอัตโนมัติเพื่อลดความซับซ้อนในการลงชื่อเข้าใช้ SSO
5. ในส่วนรายละเอียด IdP ให้ทำตามขั้นตอนต่อไปนี้
   1. ป้อนรหัสเอนทิตีของ IdP, URL หน้าลงชื่อเข้าใช้ และ URL หน้าออกจากระบบที่คุณได้รับจาก IdP
   2. ในส่วน URL การเปลี่ยนรหัสผ่าน ให้ป้อน URL การเปลี่ยนรหัสผ่านสำหรับ IdP ของคุณ โดยผู้ใช้จะไปที่ URL นี้เพื่อรีเซ็ตรหัสผ่าน

6. คลิกอัปโหลดใบรับรอง

   คุณสามารถอัปโหลดใบรับรองได้สูงสุด 2 รายการ ซึ่งจะช่วยให้คุณมีตัวเลือกในการหมุนเวียนใบรับรองเมื่อจำเป็น

7. คลิกบันทึก

8. คัดลอกและบันทึกรหัสเอนทิตีและ ACS URL ในส่วนรายละเอียด SP คุณจะต้องใช้ค่าเหล่านี้เพื่อกำหนดค่า SSO กับ Google ในแผงควบคุมของผู้ดูแลระบบ IdP

9. (ไม่บังคับ) หาก IdP รองรับการเข้ารหัสการยืนยัน คุณจะสร้างและแชร์ใบรับรองกับ IdP เพื่อเปิดใช้การเข้ารหัสได้ โปรไฟล์ SAML SSO แต่ละรายการมีใบรับรอง SP ได้สูงสุด 2 รายการ

   1. คลิกส่วนรายละเอียด SP เพื่อเข้าสู่โหมดแก้ไข
   2. ในส่วนใบรับรอง SP ให้คลิกสร้างใบรับรอง
   3. คลิกบันทึก คัดลอกเนื้อหาใบรับรองหรือดาวน์โหลดเป็นไฟล์
   4. แชร์ใบรับรองกับ IdP
   5. (ไม่บังคับ) หากต้องการหมุนเวียนใบรับรอง ให้กลับไปที่รายละเอียด SP แล้วคลิกสร้างใบรับรองอื่น จากนั้นแชร์ใบรับรองใหม่กับ IdP ของคุณ เมื่อมั่นใจแล้วว่า IdP ใช้ใบรับรองใหม่อยู่ ให้ลบใบรับรองเดิม

กำหนดค่า IdP

หากต้องการกำหนดค่า IdP ให้ใช้โปรไฟล์ SSO นี้ โดยให้ป้อนข้อมูลจากส่วนรายละเอียดของผู้ให้บริการ (SP) ของโปรไฟล์ลงในช่องที่เหมาะสมในการตั้งค่า SSO ของ IdP ทั้ง ACS URL และรหัสเอนทิตีจะไม่ซ้ำกันสำหรับโปรไฟล์นี้

ย้ายข้อมูลจาก SAML แบบเดิมไปยังโปรไฟล์ SSO

หากองค์กรใช้โปรไฟล์ SSO แบบเดิม เราขอแนะนำให้เปลี่ยนไปใช้โปรไฟล์ SSO ซึ่งมีข้อดีหลายประการ เช่น การรองรับ OIDC, API ที่ทันสมัยมากขึ้น และมีความยืดหยุ่นมากขึ้นในการใช้การตั้งค่า SSO กับกลุ่มผู้ใช้ ดูข้อมูลเพิ่มเติม

ตั้งค่า SSO ด้วย OIDC

ทำตามขั้นตอนต่อไปนี้เพื่อใช้ SSO ที่ใช้ OIDC

1. เลือกตัวเลือก OIDC ซึ่งได้แก่ สร้างโปรไฟล์ OIDC ที่กำหนดเอง ซึ่งเป็นส่วนที่คุณให้ข้อมูลแก่พาร์ทเนอร์ OIDC หรือใช้โปรไฟล์ OIDC ที่กำหนดค่าไว้ล่วงหน้าของ Microsoft Entra
2. ทำตามขั้นตอนในหัวข้อตัดสินใจว่าผู้ใช้รายใดควรใช้ SSO เพื่อกำหนดโปรไฟล์ OIDC ที่กำหนดค่าไว้ล่วงหน้าให้กับหน่วยขององค์กร/กลุ่มที่เลือก

หากมีผู้ใช้ภายในหน่วยขององค์กร (เช่น ในหน่วยขององค์กรย่อย) ที่ไม่จำเป็นต้องใช้ SSO คุณยังใช้การมอบหมายเพื่อปิด SSO ให้กับผู้ใช้เหล่านั้นได้ด้วย

หมายเหตุ: อินเทอร์เฟซบรรทัดคำสั่งของ Google Cloud ยังไม่รองรับการตรวจสอบสิทธิ์อีกครั้งโดยใช้ OIDC ในขณะนี้

ข้อควรทราบก่อนที่จะเริ่มต้น

หากต้องการตั้งค่าโปรไฟล์ OIDC ที่กำหนดเอง คุณต้องมีการกำหนดค่าพื้นฐานบางอย่างจากทีมสนับสนุนของ IdP หรือเอกสารประกอบ ดังนี้

• URL ของผู้ออก URL แบบเต็มของเซิร์ฟเวอร์การให้สิทธิ์ IdP
• ไคลเอ็นต์ OAuth ซึ่งระบุโดยรหัสไคลเอ็นต์และตรวจสอบสิทธิ์โดยรหัสลับไคลเอ็นต์
• URL การเปลี่ยนรหัสผ่าน หน้าเว็บที่ผู้ใช้ SSO จะเข้าไปเปลี่ยนรหัสผ่าน (แทนการเปลี่ยนรหัสผ่านกับ Google)

นอกจากนี้ Google ต้องการให้ IdP ของคุณดำเนินการต่อไปนี้

• การอ้างสิทธิ์ email จาก IdP ต้องตรงกับอีเมลหลักของผู้ใช้ในฝั่ง Google
• ต้องใช้ขั้นตอนรหัสการให้สิทธิ์

สร้างโปรไฟล์ OIDC ที่กำหนดเอง

1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู ความปลอดภัย การตรวจสอบสิทธิ์ SSO ด้วย IdP บุคคลที่สาม

   ไปที่ SSO ด้วย IdP บุคคลที่สาม

   ต้องมีสิทธิ์ของผู้ดูแลระบบในการตั้งค่าความปลอดภัย

2. คลิกเพิ่มโปรไฟล์ OIDC ในส่วนโปรไฟล์ SSO ของบุคคลที่สาม
3. ตั้งชื่อโปรไฟล์ OIDC
4. ป้อนรายละเอียด OIDC: รหัสไคลเอ็นต์, URL ของผู้ออก, รหัสลับไคลเอ็นต์
5. คลิกบันทึก
6. ในหน้าการตั้งค่า SSO ของ OIDC สำหรับโปรไฟล์ใหม่ ให้คัดลอก URI การเปลี่ยนเส้นทาง คุณจะต้องอัปเดตไคลเอ็นต์ OAuth ใน IdP เพื่อตอบกลับคำขอโดยใช้ URI นี้

หากต้องการแก้ไขการตั้งค่า ให้วางเมาส์เหนือรายละเอียด OIDC แล้วคลิกแก้ไข

ใช้โปรไฟล์ OIDC ของ Microsoft Entra

ตรวจสอบว่าคุณได้กำหนดค่าข้อกำหนดเบื้องต้นต่อไปนี้สำหรับ OIDC ในกลุ่มผู้ใช้ Microsoft Entra ID ขององค์กรคุณ

• กลุ่มผู้ใช้ Microsoft Entra ID ต้องยืนยันโดเมน
• ผู้ใช้ปลายทางต้องมีใบอนุญาต Microsoft 365
• ชื่อผู้ใช้ (อีเมลหลัก) ของผู้ดูแลระบบ Google Workspace ที่กำหนดโปรไฟล์ SSO ต้องตรงกับอีเมลหลักของบัญชีผู้ดูแลระบบกลุ่มผู้ใช้ Azure AD

ตัดสินใจว่าผู้ใช้รายใดควรใช้ SSO

เปิดใช้ SSO สำหรับหน่วยขององค์กรหรือกลุ่มโดยกำหนดโปรไฟล์ SSO และ IdP ที่เชื่อมโยงไว้ หรือปิด SSO ด้วยการกำหนด "ไม่มี" ให้กับโปรไฟล์ SSO นอกจากนี้คุณยังใช้นโยบาย SSO แบบผสมภายในหน่วยขององค์กรหรือกลุ่มได้อีกด้วย เช่น เปิด SSO ให้กับหน่วยขององค์กรทั้งหมด จากนั้นปิดสำหรับหน่วยขององค์กรย่อย

หากยังไม่ได้สร้างโปรไฟล์ SAML หรือ OIDC ให้สร้างโปรไฟล์ก่อนดำเนินการต่อ หรือจะกำหนดโปรไฟล์ OIDC ที่กำหนดค่าไว้ล่วงหน้าก็ได้

1. คลิกจัดการการมอบหมายโปรไฟล์ SSO
2. หากมอบหมายโปรไฟล์ SSO เป็นครั้งแรก ให้คลิกเริ่มต้นใช้งาน หรือคลิกจัดการการมอบหมาย
3. ทางด้านซ้าย ให้เลือกหน่วยขององค์กรหรือกลุ่มที่ต้องการมอบหมายโปรไฟล์ SSO
   • หากการมอบหมายโปรไฟล์ SSO ให้กับหน่วยขององค์กรหรือกลุ่มแตกต่างจากการมอบหมายโปรไฟล์ให้กับทั่วทั้งโดเมน คำเตือนการลบล้างจะปรากฏขึ้นเมื่อคุณเลือกหน่วยขององค์กรหรือกลุ่มดังกล่าว
   • คุณจะมอบหมายโปรไฟล์ SSO ให้ผู้ใช้ทีละรายไม่ได้ มุมมองผู้ใช้จะช่วยให้คุณสามารถตรวจสอบการตั้งค่าสำหรับผู้ใช้บางรายได้
4. เลือกการมอบหมายโปรไฟล์ SSO ให้กับหน่วยขององค์กรหรือกลุ่มที่เลือก ดังนี้
   • หากต้องการยกเว้นหน่วยขององค์กรหรือกลุ่มจาก SSO ให้เลือกไม่มี ผู้ใช้ในหน่วยขององค์กรหรือกลุ่มจะลงชื่อเข้าใช้ Google โดยตรง
   • หากต้องการกำหนด IdP อื่นให้กับหน่วยขององค์กรหรือกลุ่ม ให้เลือกโปรไฟล์ SSO อื่น จากนั้นเลือกโปรไฟล์ SSO จากรายการแบบเลื่อนลง

5. (เฉพาะโปรไฟล์ SAML SSO เท่านั้น) หลังจากเลือกโปรไฟล์ SAML แล้ว ให้เลือกตัวเลือกในการลงชื่อเข้าใช้สำหรับผู้ใช้ที่ไปยังบริการของ Google โดยตรงโดยไม่ได้ลงชื่อเข้าใช้ IdP บุคคลที่สามของโปรไฟล์ SSO ก่อน ซึ่งคุณสามารถแจ้งให้ป้อนชื่อผู้ใช้ Google จากนั้นจึงเปลี่ยนเส้นทางผู้ใช้ไปยัง IdP หรือกำหนดให้ผู้ใช้ป้อนชื่อผู้ใช้และรหัสผ่าน Google ได้

   หมายเหตุ: ถ้าคุณเลือกที่จะกำหนดให้ผู้ใช้ป้อนชื่อผู้ใช้ Google และรหัสผ่าน ระบบจะละเว้นการตั้งค่า URL การเปลี่ยนรหัสผ่านสำหรับโปรไฟล์ SAML SSO นี้ (อยู่ในส่วนโปรไฟล์ SSO > รายละเอียด IDP) วิธีนี้ช่วยให้ผู้ใช้เปลี่ยนรหัสผ่าน Google ได้หากจำเป็น

6. คลิกบันทึก

7. (ไม่บังคับ) มอบหมายโปรไฟล์ SSO ให้กับหน่วยขององค์กรหรือกลุ่มอื่นๆ ตามต้องการ

หลังจากปิดการ์ดจัดการการมอบหมายโปรไฟล์ SSO คุณจะเห็นงานที่อัปเดตแล้วสำหรับหน่วยขององค์กรและกลุ่มในส่วนจัดการการมอบหมายโปรไฟล์ SSO

กำหนดลำดับความสำคัญของกลุ่มสำหรับการมอบหมายโปรไฟล์ SSO

หากผู้ใช้อยู่ในหลายกลุ่มที่มีการมอบหมายโปรไฟล์ SSO ที่แตกต่างกัน โปรไฟล์ SSO ของผู้ใช้จะอิงตามลำดับกลุ่มในคอนโซลผู้ดูแลระบบ การมอบหมายกลุ่มของผู้ใช้จะลบล้างการมอบหมายหน่วยขององค์กรเสมอ

ในคอนโซลผู้ดูแลระบบ ให้ทำดังนี้

• ระบบจะประเมินลำดับความสำคัญของกลุ่มของผู้ใช้จากบนลงล่างตามลำดับจากมากไปน้อย
• หากผู้ใช้อยู่ในกลุ่มย่อยที่ซ้อนอยู่ภายในกลุ่มหลัก ผู้ใช้จะรับช่วงโปรไฟล์ SSO ของกลุ่มหลัก หากทั้งกลุ่มย่อยและกลุ่มหลักมีการมอบหมายโปรไฟล์ SSO กลุ่มที่มีลำดับความสำคัญสูงกว่าในรายการจะมีผลเหนือกว่า

วิธีเปลี่ยนลำดับความสำคัญของกลุ่ม

1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู ความปลอดภัย การตรวจสอบสิทธิ์ SSO ด้วย IdP บุคคลที่สาม

   ไปที่ SSO ด้วย IdP บุคคลที่สาม

   ต้องมีสิทธิ์ของผู้ดูแลระบบในการตั้งค่าความปลอดภัย

2. คลิกจัดการการมอบหมายโปรไฟล์ SSO
3. คลิกกลุ่มที่ด้านข้าง
4. ลากกลุ่มขึ้นหรือลงในรายการ หรือป้อนหมายเลขลำดับความสำคัญเพื่อกำหนดอันดับ
5. คลิกบันทึก

การเปลี่ยนแปลงอาจใช้เวลาถึง 24 ชั่วโมง แต่โดยปกติจะใช้เวลาน้อยกว่านั้น ดูข้อมูลเพิ่มเติม

โปรดดูรายละเอียดเกี่ยวกับวิธีการทำงานของลำดับความสำคัญของกลุ่มในบริการต่างๆ ของ Google Workspace ที่หัวข้อวิธีการทำงานของกลุ่มการกำหนดค่า

นำการมอบหมายโปรไฟล์ SSO ออก

1. คลิกชื่อกลุ่มหรือหน่วยขององค์กรเพื่อเปิดการตั้งค่าการมอบหมายโปรไฟล์
2. แทนที่การตั้งค่างานที่มีอยู่ด้วยการตั้งค่าหน่วยขององค์กรหลัก ดังนี้
   • สำหรับการมอบหมายหน่วยขององค์กร ให้คลิกรับค่าเดิม
   • สำหรับการมอบหมายกลุ่ม ให้คลิกยกเลิกการตั้งค่า

หมายเหตุ: หน่วยขององค์กรระดับบนสุดจะอยู่ในรายการการมอบหมายโปรไฟล์เสมอ แม้ว่าจะตั้งค่าโปรไฟล์เป็น "ไม่มี" ก็ตาม

ดูเพิ่มเติม

• การตั้งค่าและการซ่อมบำรุง SSO (ไม่บังคับ)
• แก้ปัญหา SSO
• การอนุมัติจากผู้ที่มีสิทธิ์สำหรับการดำเนินการที่มีความละเอียดอ่อน

Google, Google Workspace รวมถึงเครื่องหมายและโลโก้ที่เกี่ยวข้องเป็นเครื่องหมายการค้าของ Google LLC ชื่อบริษัทและชื่อผลิตภัณฑ์อื่นๆ ทั้งหมดเป็นเครื่องหมายการค้าของบริษัทที่เกี่ยวข้อง