SSO instellen

U kunt SSO op verschillende manieren instellen met Google als uw serviceprovider, afhankelijk van de behoeften van uw organisatie. Google Workspace ondersteunt zowel op SAML gebaseerde als op OIDC gebaseerde SSO.

Als uw gebruikers domeinspecifieke service-URL's gebruiken voor toegang tot Google-services (bijvoorbeeld https://mail.google.com/a/example.com), kunt u ook beheren hoe deze URL's werken met SSO.

Als uw organisatie voorwaardelijke SSO-omleiding op basis van IP-adres of SSO voor hoofdbeheerders nodig heeft, kunt u ook het verouderde SSO-profiel instellen.

SSO instellen met SAML

Voordat u begint

Als u een SAML SSO-profiel wilt instellen, heeft u enkele basisinstellingen nodig van het supportteam of uit de documentatie van uw IdP:

  • Entiteits-ID IdP: Hiermee identificeert uw IdP zichzelf bij de communicatie met Google.
  • URL inlogpagina: Dit wordt ook wel de SSO-URL of het SAML 2.0-eindpunt (HTTP) genoemd. Hier loggen gebruikers in bij uw IdP.
  • URL uitlogpagina: De pagina waar de gebruiker terechtkomt nadat die de Google-app of -service heeft verlaten.
  • URL voor wachtwoord wijzigen: De pagina waarop SSO-gebruikers hun wachtwoord wijzigen (in plaats van hun wachtwoord wijzigen via Google).
  • Certificaat: Het X.509 PEM-certificaat van uw IdP. Het certificaat bevat de openbare sleutel die de inlogpoging van de IdP verifieert.

Certificaatvereisten

  • Het certificaat moet een X.509-certificaat zijn dat de indeling PEM of DER heeft en een ingesloten openbare sleutel bevat.
  • De openbare sleutel moet zijn gegenereerd met het DSA- of RSA-algoritme.
  • De openbare sleutel van het certificaat moet overeenkomen met de privésleutel waarmee de SAML-reactie wordt ondertekend.

Meestal krijgt u deze certificaten van uw IdP. U kunt ze ook zelf genereren.

Een SAML SSO-profiel maken

Volg deze stappen om een SSO-profiel van derden te maken. U kunt maximaal 1000 profielen maken in uw organisatie.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik in het gedeelte SSO-profielen van derden op SAML-profiel toevoegen.
  3. Voer bij SAML SSO-profiel een profielnaam in.
  4. (Optioneel) Selecteer bij E-mail automatisch invullen de optie die overeenkomt met de indeling voor inloghints die uw IdP ondersteunt. Ga naar E-mail automatisch invullen gebruiken om inloggen met SSO te vereenvoudigen voor meer informatie.
  5. Voer in het gedeelte IdP-gegevens de volgende stappen uit:
    1. Voer de entiteits-ID van de IdP, de inlogpagina-URL en de uitlogpagina-URL in die u van uw IdP heeft gekregen.
    2. Voer bij URL voor wachtwoord wijzigen een URL voor wachtwoordwijzigingen in voor uw IdP. Gebruikers worden doorgestuurd naar deze URL om hun wachtwoord te resetten.

  6. Klik op Certificaat uploaden.

    U kunt maximaal 2 certificaten uploaden. Zo kunt u certificaten rouleren als dat nodig is.

  7. Klik op Opslaan.

  8. Kopieer in het gedeelte SP-gegevens de Entiteits-ID en ACS-URL en sla deze op. U heeft deze waarden nodig om SSO te configureren met Google in het beheerdersdashboard van de IdP.

  9. (Optioneel) Als uw IdP het versleutelen van asserties ondersteunt, kunt u een certificaat genereren en delen met de IdP om versleuteling aan te zetten. Elk SAML SSO-profiel kan maximaal 2 SP-certificaten hebben.

    1. Klik op het gedeelte SP-gegevens om de bewerkingsmodus te openen.
    2. Klik bij SP-certificaat op Certificaat genereren.
    3. Klik op Opslaan. Kopieer de inhoud van het certificaat of download het als bestand.
    4. Deel het certificaat met uw IdP.
    5. (Optioneel) Als u een certificaat wilt rouleren, gaat u terug naar SP-gegevens en klikt u op Nog een certificaat genereren. Deel het nieuwe certificaat daarna met uw IdP. Zodra u zeker weet dat uw IdP het nieuwe certificaat gebruikt, verwijdert u het oorspronkelijke certificaat.

Uw IdP configureren

Als u uw IdP wilt configureren om dit SSO-profiel te gebruiken, voert u de informatie uit het profielgedeelte Gegevens van de serviceprovider (SP) in de juiste velden in bij de SSO-instellingen van uw IdP. Zowel de ACS-URL als de entiteits-ID zijn uniek voor dit profiel.

Het verouderde SSO-profiel instellen

Het verouderde SSO-profiel wordt ondersteund voor gebruikers die niet zijn gemigreerd naar SSO-profielen. Het ondersteunt alleen gebruik met één IdP.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik onder SSO-profielen van derden op SAML-profiel toevoegen.
  3. Klik onderaan de pagina IdP-gegevens op Naar instellingen voor verouderd SSO-profiel gaan.
  4. Vink op de pagina Verouderd SSO-profiel het vakje aan voor SSO aanzetten met identiteitsprovider van derden.
  5. Vul de volgende gegevens in voor uw IdP:
    • Voer de inlogpagina-URL en de uitlogpagina-URL van de IdP in.

      Opmerking: Alle URL's moeten worden ingevoerd en moeten beginnen met HTTPS, bijvoorbeeld https://sso.example.com.

    • Klik op Certificaat uploaden en zoek en upload het X.509-certificaat dat wordt geleverd door uw IdP. Ga naar Certificaatvereisten voor meer informatie.
    • Kies of u een domeinspecifieke uitgever wilt gebruiken in de SAML-aanvraag van Google.

      Als u meerdere domeinen met SSO gebruikt bij uw IdP, gebruikt u een domeinspecifieke uitgever om te bepalen welk domein de SAML-aanvraag heeft verstuurd.

      • Aangevinkt: Google stuurt een uitgever die specifiek is voor uw domein: google.com/a/example.com (waarbij example.com uw primaire Google Workspace-domeinnaam is)
      • Niet aangevinkt: Google stuurt de standaarduitgever in het SAML-verzoek: google.com
    • (Optioneel) Als u SSO wilt toepassen op een groep gebruikers binnen specifieke IP-adresbereiken, voert u een netwerkmasker in. Ga naar Resultaten netwerktoewijzingen voor meer informatie.

      Opmerking: U kunt ook gedeeltelijke SSO instellen door het SSO-profiel toe te wijzen aan specifieke organisatie-eenheden of groepen.

    • Vul een URL voor wachtwoord wijzigen in voor uw IdP. Gebruikers worden doorgestuurd naar de pagina van deze URL (in plaats van naar de Google-pagina voor wachtwoord wijzigen) om hun wachtwoord te resetten. Alle gebruikers, behalve hoofdbeheerders, die hun wachtwoord proberen te wijzigen op https://myaccount.google.com/, worden doorgestuurd naar de URL die u opgeeft. Deze instelling geldt ongeacht netwerkmaskers en geldt zelfs als u SSO niet aanzet voor uw organisatie. Als u geen SSO en Password Sync gebruikt, wist u dit veld.
  6. Klik op Opslaan.

Nadat u heeft opgeslagen, staat het verouderde SSO-profiel in de tabel SSO-profielen.

Uw IdP configureren

Als u uw IdP wilt configureren om dit SSO-profiel te gebruiken, voert u de informatie uit het profielgedeelte Gegevens van de serviceprovider (SP) in de juiste velden in bij de SSO-instellingen van uw IdP. Zowel de ACS-URL als de entiteits-ID zijn uniek voor dit profiel.

Indeling
ACS-URL https://accounts.google.com/a/{domain.com}/acs
Waarbij {domain.com} de Workspace-domeinnaam van uw organisatie is
Entity ID (Entiteits-ID) Een van de volgende:
  • google.com
  • google.com/a/customerprimarydomain (als u een domeinspecifieke uitgever wilt gebruiken bij het configureren van het verouderde profiel).

Over verouderde ACS-URL's en SSO-profielen

Als uw organisatie het oude profiel heeft aangezet, accepteert Google asserties die naar de ACS-URL worden gestuurd, bijvoorbeeld https://accounts.google.com/a/your-company.com/acs, zelfs als de gebruiker een hoofdbeheerder is of is toegewezen aan een ander profiel. De ondertekende reactie wordt geverifieerd door het certificaat van het oude SSO-profiel, zelfs als de gebruiker zich in een organisatie-eenheid of groep bevindt waaraan een SAML SSO-profiel is toegewezen.

Het verouderde SSO-profiel uitzetten

  1. Klik in de lijst SSO-profielen van derden op Verouderd SSO-profiel.
  2. Vink SSO aanzetten met identiteitsprovider van derden in de instellingen van het Verouderde SSO-profiel uit.
  3. Bevestig dat u wilt doorgaan en klik op Opslaan.

In de lijst SSO-profielen staat het Verouderd SSO-profiel nu Uitgezet.

  • Bij organisatie-eenheden waaraan het verouderde SSO-profiel is toegewezen, staat een waarschuwing in de kolom Toegewezen profiel.
  • Voor de organisatie-eenheid op het hoogste niveau staat Geen in de kolom Toegewezen profiel.
  • In SSO-profieltoewijzingen beheren staat het Verouderde SSO-profiel als inactief.

Migreren van verouderde SAML-profielen naar SSO-profielen

Als uw organisatie het verouderde SSO-profiel gebruikt, raden we aan te migreren naar SSO-profielen. Deze bieden verschillende voordelen, waaronder OIDC-ondersteuning, modernere API's en meer flexibiliteit bij het toepassen van SSO-instellingen op uw gebruikersgroepen. Meer informatie.

SSO met OIDC instellen

Volg deze stappen om op OIDC gebaseerde SSO te gebruiken:

  1. Kies een OIDC-optie: maak een aangepast OIDC-profiel waarin u informatie voor uw OIDC-partner geeft of gebruik het vooraf geconfigureerde OIDC-profiel van Microsoft Entra.
  2. Volg de stappen in Bepalen welke gebruikers SSO moeten gebruiken om het vooraf geconfigureerde OIDC-profiel toe te wijzen aan specifieke organisatie-eenheden/groepen.

Als u binnen een organisatie-eenheid (bijvoorbeeld in een suborganisatie-eenheid) gebruikers heeft die SSO niet nodig hebben, kunt u ook toewijzingen gebruiken om SSO voor deze gebruikers uit te zetten.

Opmerking: Opnieuw verifiëren met OIDC wordt momenteel niet ondersteund in de Google Cloud Command Line Interface.

Voordat u begint

Als u een aangepast OIDC-profiel wilt instellen, heeft u enkele basisgegevens nodig van de documentatie of het supportteam van uw IdP:

  • URL van uitgever: De volledige URL van de IdP-autorisatieserver.
  • Een OAuth-client, geïdentificeerd door de client-ID en geverifieerd door een clientgeheim.
  • URL voor wachtwoord wijzigen: De pagina waarop SSO-gebruikers hun wachtwoord wijzigen (in plaats van hun wachtwoord wijzigen via Google).

Google heeft je IdP ook nodig voor het volgende:

  • De email-claim van uw IdP moet overeenkomen met het primaire e-mailadres van de gebruiker bij Google.
  • Deze moet het autorisatiecodeproces gebruiken.

Een aangepast OIDC-profiel maken

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik onder SSO-profielen van derden op OIDC-profiel toevoegen.
  3. Geef het OIDC-profiel een naam.
  4. Voer de OIDC-gegevens in: client-ID, URL van de uitgever en clientgeheim.
  5. Klik op Opslaan.
  6. Kopieer op de pagina met OIDC SSO-instellingen voor het nieuwe profiel de omleidings-URI. U moet uw OAuth-client bij uw IdP updaten om te reageren op verzoeken met deze URI.

Als u instellingen wilt bewerken, plaatst u de cursor op OIDC-gegevens en klikt u op Bewerken .

Het OIDC-profiel van Microsoft Entra gebruiken

Zorg dat u de volgende vereisten voor OIDC heeft ingesteld in de Microsoft Entra ID-tenant van uw organisatie:

  • De Microsoft Entra ID-tenant moet domeingeverifieerd zijn.
  • Eindgebruikers moeten een Microsoft 365-licentie hebben.
  • De gebruikersnaam (primair e-mailadres) van de Google Workspace-beheerder die het SSO-profiel toewijst, moet overeenkomen met het primaire e-mailadres van het beheerdersaccount van uw Azure AD-tenant.

Bepalen welke gebruikers SSO moeten gebruiken

Zet SSO aan voor een organisatie-eenheid of groep door een SSO-profiel en de bijbehorende IdP toe te wijzen. Of zet SSO uit door Geen toe te wijzen aan het SSO-profiel. U kunt ook een gemengd SSO-beleid toepassen binnen een organisatie-eenheid of groep. U kunt bijvoorbeeld SSO aanzetten voor de hele organisatie-eenheid, maar uitzetten voor een suborganisatie-eenheid.

Als u nog geen SAML- of OIDC-profiel heeft gemaakt, doet u dat voordat u doorgaat. U kunt ook het vooraf geconfigureerde OIDC-profiel toewijzen.

  1. Klik op SSO-profieltoewijzingen beheren.
  2. Als dit de eerste keer is dat u het SSO-profiel toewijst, klikt u op Aan de slag. Klik anders op Toewijzingen beheren.
  3. Selecteer links de organisatie-eenheid of groep waarvoor u het SSO-profiel toewijst.
    • Als de SSO-profieltoewijzing voor een organisatie-eenheid of groep verschilt van de domeinbrede profieltoewijzing, verschijnt er een overschrijfwaarschuwing als u die organisatie-eenheid of groep selecteert.
    • U kunt het SSO-profiel niet per gebruiker toewijzen. In de weergave Gebruikers kunt u de instelling voor een specifieke gebruiker controleren.
  4. Kies een SSO-profieltoewijzing voor de geselecteerde organisatie-eenheid of groep:
    • Als u de organisatie-eenheid of groep wilt uitsluiten van SSO, kiest u Geen. Gebruikers in de organisatie-eenheid of groep loggen rechtstreeks bij Google in.
    • Als u een andere IdP wilt toewijzen aan de organisatie-eenheid of groep, kiest u Een ander SSO-profiel en selecteert u het SSO-profiel in het dropdownmenu.

  5. (Alleen SAML SSO-profielen) Nadat u een SAML-profiel heeft geselecteerd, kiest u een inlogoptie voor gebruikers die rechtstreeks naar een Google-service gaan zonder eerst in te loggen bij de IdP van derden van het SSO-profiel. U kunt gebruikers om hun Google-gebruikersnaam vragen en ze vervolgens omleiden naar de IdP. U kunt ook vereisen dat gebruikers hun Google-gebruikersnaam en -wachtwoord invoeren.

    Opmerking: Als u vereist dat gebruikers hun Google-gebruikersnaam en -wachtwoord opgeven, wordt de instelling URL voor wachtwoord wijzigen van dit SAML SSO-profiel (beschikbaar via SSO-profiel > IdP-gegevens) genegeerd. Zo kunnen gebruikers hun Google-wachtwoord wijzigen als dat nodig is.

  6. Klik op Opslaan.

  7. (Optioneel) Wijs indien nodig SSO-profielen toe aan andere organisatie-eenheden of groepen.

Nadat u de kaart SSO-profieltoewijzingen beheren heeft gesloten, ziet u de geüpdatete toewijzingen voor organisatie-eenheden en groepen in het gedeelte SSO-profieltoewijzingen beheren.

Groepsprioriteit instellen voor SSO-profieltoewijzingen

Als een gebruiker bij meerdere groepen hoort waaraan verschillende SSO-profielen zijn toegewezen, is het SSO-profiel voor de gebruiker gebaseerd op de groepsvolgorde in de Beheerdersconsole. De groepstoewijzing van een gebruiker overschrijft altijd een toewijzing aan een organisatie-eenheid.

In de Beheerdersconsole:

  • De groepsprioriteit van een gebruiker wordt in aflopende volgorde van boven naar beneden geëvalueerd.
  • Als een gebruiker lid is van een onderliggende groep die is genest in een bovenliggende groep, neemt de gebruiker het SSO-profiel van de bovenliggende groep over. Als zowel de onderliggende groep als de bovenliggende groep SSO-profieltoewijzingen hebben, heeft de groep met de hogere prioriteit in de lijst voorrang.

Zo wijzigt u de prioriteit van een groep:

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik op SSO-profieltoewijzingen beheren.
  3. Klik aan de zijkant op Groepen.
  4. Sleep een groep omhoog of omlaag in de lijst of voer een prioriteitsnummer in om de positie in te stellen.
  5. Klik op Opslaan.
Het kan tot 24 uur duren voordat wijzigingen zijn verwerkt, maar meestal gaat dit sneller. Meer informatie

Ga naar Hoe configuratiegroepen werken voor meer informatie over hoe groepsprioriteit werkt in Google Workspace-services.

Een SSO-profieltoewijzing verwijderen

  1. Klik op de naam van een groep of organisatie-eenheid om de instellingen voor profieltoewijzing te openen.
  2. Vervang de bestaande toewijzingsinstelling door die van de bovenliggende organisatie-eenheid:
    • Klik voor toewijzingen van organisatie-eenheden op Overnemen.
    • Klik voor toewijzingen van groepen op Niet ingesteld.

Opmerking: De organisatie-eenheid op het hoogste niveau staat altijd in de lijst met profieltoewijzingen, zelfs als het profiel is ingesteld op Geen.

Zie ook:


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.