Konfigurera SSO

Du kan konfigurera enkel inloggning med Google som tjänstleverantör på flera sätt, beroende på organisationens behov. Google Workspace har stöd för både SAML-baserad och OIDC-baserad SSO.

• Med SSO-profiler, som innehåller inställningarna för din IdP, kan du tillämpa olika SSO-inställningar på olika användare i organisationen. Skapa SAML-baserade profiler, anpassade OIDC-profiler eller använd standardprofilen för Microsoft Entra OIDC, som inte kräver någon konfiguration.
• När du har skapat SSO-profiler tilldelar du profiler till organisationsenheter eller grupper för att ange IdP för dessa användare. Du kan även inaktivera enkel inloggning för specifika organisationsenheter eller grupper.

Om användarna använder domänspecifika webbadresser till tjänsten för att få åtkomst till Googles tjänster (till exempel https://mail.google.com/a/example.com) kan du även hantera hur dessa webbadresser fungerar med SSO.

Om organisationen behöver villkorlig SSO-omdirigering baserat på IP-adress eller SSO för avancerade administratörer kan du även konfigurera den äldre SSO-profilen.

Konfigurera SSO med SAML

Innan du börjar

Om du vill konfigurera en SAML SSO-profil behöver du en grundläggande konfiguration från IdP:ns supportteam eller dokumentation:

• Enhets-id för IdP: Så här identifierar IdP sig när den kommunicerar med Google.
• Webbadress för inloggningssida: Detta kallas även SSO-webbadress eller SAML 2.0-ändpunkt (HTTP). Här loggar användarna in på din IdP.
• Webbadress för utloggningssida: Sidan där användaren hamnar när hen har lämnat Google-appen eller tjänsten.
• Ändra lösenordswebbadress: Sidan där SSO-användare byter lösenord (i stället för att byta lösenord med Google).
• Certifikat: X.509 PEM-certifikat från din IdP. Certifikatet innehåller den offentliga nyckeln som verifierar inloggning från IdP.

Skapa en SAML SSO-profil

Följ de här stegen för att skapa en SSO-profil från tredje part. Du kan skapa upp till 1 000 profiler i organisationen.

1. I Googles administratörskonsol går du till menyn Säkerhet Autentisering SSO med extern IdP.

   Öppna SSO med extern IdP

   Administratörsbehörigheten Säkerhetsinställningar krävs.

2. Klicka på Lägg till SAML-profil i avsnittet SSO-profiler från tredje part.
3. Ange ett profilnamn för SAML SSO-profil.
4. (Valfritt) Välj det alternativ som matchar IdP-formatet för inloggningstips för Autofyll e-post. Mer information finns i Använda Autofyll e-post för att förenkla SSO-inloggningar.
5. Gör så här i avsnittet IdP-uppgifter:
   1. Ange IDP-enhets-id, webbadress till inloggningssidan och webbadress till utloggningssidan som du fick från din IdP.
   2. För Webbadress för att ändra lösenord anger du en webbadress för att ändra lösenord för IdP. Användarna besöker den här webbadressen för att återställa sina lösenord.

6. Klicka på Ladda upp certifikat.

   Du kan ladda upp till två certifikat, vilket ger dig möjlighet att rotera certifikat vid behov.

7. Klicka på Spara.

8. Kopiera och spara Enhets-id och ACS-webbadress i avsnittet SP-information. Du behöver dessa värden för att konfigurera SSO med Google i administratörskontrollpanelen för IdP.

9. (Valfritt) Om din IdP har stöd för kryptering av kontroller kan du generera och dela ett certifikat med din IdP för att aktivera kryptering. Varje SAML SSO-profil kan ha upp till två SP-certifikat.

   1. Klicka på avsnittet SP-uppgifter för att öppna redigeringsläget.
   2. Klicka på Generera certifikat för SP-certifikat.
   3. Klicka på Spara. Kopiera certifikatets innehåll eller ladda ned det som en fil.
   4. Dela certifikatet med din IdP.
   5. (Valfritt) Om du vill rotera ett certifikat återgår du till SP-information och klickar på Generera ett annat certifikat. Dela sedan det nya certifikatet med din IdP. När du är säker på att IdP använder det nya certifikatet raderar du det ursprungliga certifikatet.

Konfigurera IdP

Om du vill konfigurera IdP:n för att använda den här SSO-profilen anger du informationen från avsnittet Information om tjänstleverantör (SP) i profilen i de fält som är lämpliga i IdP SSO-inställningarna. Både ACS-webbadressen och enhets-id:t är unika för den här profilen.

Migrera från äldre SAML till SSO-profiler

Om organisationen använder den äldre SSO-profilen rekommenderar vi att du migrerar till SSO-profiler, som erbjuder flera fördelar, bland annat OIDC-stöd, modernare API:er och större flexibilitet när du tillämpar SSO-inställningar på dina användargrupper. Läs mer.

Konfigurera SSO med OIDC

Följ de här stegen för att använda OIDC-baserad SSO:

1. Välj ett OIDC-alternativ – skapa antingen en anpassad OIDC-profil där du anger information om OIDC-partnern eller använd den förkonfigurerade Microsoft Entra OIDC-profilen.
2. Följ stegen i Välja vilka användare som ska använda SSO för att tilldela den förkonfigurerade OIDC-profilen till valda organisationsenheter/grupper.

Om du har användare inom en organisationsenhet (till exempel i en underorganisationsenhet) som inte behöver enkel inloggning kan du även använda tilldelningar för att inaktivera enkel inloggning för dessa användare.

Obs! Google Cloud Command Line Interface har för närvarande inte stöd för återautentisering med OIDC.

Innan du börjar

Om du vill konfigurera en anpassad OIDC-profil behöver du en grundläggande konfiguration från IdP:ns supportteam eller dokumentation:

• Utfärdarens webbadress Den fullständiga webbadressen till IdP-auktoriseringsservern.
• En OAuth-klient som identifieras av sitt klient-id och autentiseras av en klienthemlighet.
• Ändra lösenordswebbadress Sidan där SSO-användare byter lösenord (i stället för att byta lösenord med Google).

Google behöver även att din identitetsleverantör gör följande:

• Anspråket email från din IdP måste matcha användarens primära e-postadress på Googles sida.
• Den måste använda flödet för auktoriseringskod.

Skapa en anpassad OIDC-profil

1. I Googles administratörskonsol går du till menyn Säkerhet Autentisering SSO med extern IdP.

   Öppna SSO med extern IdP

   Administratörsbehörigheten Säkerhetsinställningar krävs.

2. Under SSO-profiler från tredje part klickar du på Lägg till OIDC-profil.
3. Ge OIDC-profilen ett namn.
4. Ange OIDC-uppgifter: Klient-id, utfärdaradress, klientlösenord.
5. Klicka på Spara.
6. Kopiera URI för omdirigering på sidan med OIDC SSO-inställningar för den nya profilen. Du måste uppdatera OAuth-klienten på din IdP för att svara på förfrågningar med denna URI.

Om du vill redigera inställningarna håller du muspekaren över OIDC-information och klickar på Redigera .

Använda Microsoft Entra OIDC-profilen

Se till att du har konfigurerat följande förutsättningar för OIDC i organisationens Microsoft Entra ID-klient:

• Microsoft Entra ID-klienten måste vara domänverifierad.
• Slutanvändare måste ha Microsoft 365-licenser.
• Användarnamnet (primär e-postadress) för Google Workspace-administratören som tilldelar SSO-profilen måste matcha den primära e-postadressen för Azure AD-administratörskontot för klienten.

Välja vilka användare som ska använda SSO

Aktivera SSO för en organisationsenhet eller grupp genom att tilldela en SSO-profil och dess tillhörande IdP. Du kan även inaktivera SSO genom att tilldela Ingen för SSO-profilen. Du kan även tillämpa en blandad SSO-policy inom en organisationsenhet eller grupp, till exempel genom att aktivera SSO för organisationsenheten som helhet och sedan inaktivera det för en underorganisationsenhet.

Om du inte har skapat en SAML- eller OIDC-profil gör du det innan du fortsätter. Du kan även tilldela den förkonfigurerade OIDC-profilen.

1. Klicka på Hantera SSO-profiltilldelningar.
2. Om SSO-profilen inte har tilldelats tidigare klickar du på Kom igång. Annars klickar du på Hantera uppgifter.
3. Välj organisationsenheten eller gruppen som ska tilldelas SSO-profilen till vänster.
   • Om en organisationsenhet eller grupp har en annan SSO-profiltilldelning än den som gäller för domänen som helhet visas en varning om åsidosättning när du väljer denna organisationsenhet eller grupp.
   • Det går inte att tilldela enskilda användare en SSO-profil. Du kan kontrollera vilken inställning som gäller för enskilda användare i vyn Användare.
4. Välj en SSO-profiltilldelning för den valda organisationsenheten eller gruppen:
   • Välj Ingen om du vill utesluta organisationsenheten eller gruppen från SSO. Användarna i organisationsenheten eller gruppen loggar in direkt med Google.
   • Om du vill tilldela en annan IdP till organisationsenheten eller gruppen väljer du En annan SSO-profil och väljer sedan SSO-profilen i rullgardinsmenyn.

5. (Endast SAML SSO-profiler) När du har valt en SAML-profil väljer du ett inloggningsalternativ för användare som går direkt till en Google-tjänst utan att först logga in på SSO-profilens externa IdP. Du kan be användarna om deras användarnamn på Google och sedan omdirigera dem till IdP:n eller kräva att användarna anger sitt användarnamn och lösenord på Google.

   Obs! Om du väljer att kräva att användarna anger sitt användarnamn och lösenord för Google ignoreras inställningen Ändra lösenordswebbadress för denna SAML SSO-profil (tillgänglig i SSO-profil > IDP-uppgifter). Detta säkerställer att användarna kan ändra sina Google-lösenord efter behov.

6. Klicka på Spara.

7. (Valfritt) Tilldela SSO-profiler till andra organisationsenheter eller grupper efter behov.

När du har stängt kortet Hantera SSO-profiltilldelningar ser du de uppdaterade tilldelningarna för organisationsenheter och grupper i avsnittet Hantera SSO-profiltilldelningar.

Ange grupprioritet för SSO-profiltilldelningar

Om en användare tillhör flera grupper med olika SSO-profiltilldelningar baseras användarens SSO-profil på gruppordningen i administratörskonsolen. En användares grupptilldelning åsidosätter alltid en tilldelning av organisationsenhet.

I administratörskonsolen:

• En användares grupprioritet utvärderas i fallande ordning uppifrån och ned.
• Om en användare tillhör en underordnad grupp som är kapslad i en överordnad grupp ärver användaren SSO-profilen för den överordnade gruppen. Om både barngruppen och föräldragruppen har SSO-profiltilldelningar har gruppen med högre prioritet i listan företräde.

Så här ändrar du prioriteten för en grupp:

1. I Googles administratörskonsol går du till menyn Säkerhet Autentisering SSO med extern IdP.

   Öppna SSO med extern IdP

   Administratörsbehörigheten Säkerhetsinställningar krävs.

2. Klicka på Hantera SSO-profiltilldelningar.
3. Klicka på Grupper på sidan.
4. Dra en grupp uppåt eller nedåt i listan eller ange ett prioritetsnummer för att ange dess rankning.
5. Klicka på Spara.

Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Mer information om hur grupprioritet fungerar i Google Workspace-tjänster finns i Så här fungerar konfigurationsgrupper.

Ta bort en SSO-profiltilldelning

1. Klicka på namnet på en grupp eller organisationsenhet för att öppna inställningarna för profiltilldelning.
2. Ersätt den befintliga tilldelningsinställningen med inställningen för den överordnade organisationsenheten:
   • För tilldelningar av organisationsenheter klickar du på Ärv.
   • För grupptilldelningar klickar du på Inte angivet.

Obs! Organisationsenheten på toppnivå finns alltid med i listan över profiltilldelningar, även om profilen är inställd på Ingen.

Se även

• Valfria SSO-inställningar och underhåll
• Felsöka enkel inloggning
• Flerpartsgodkännande för känsliga åtgärder

Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.