הגדרת SSO

יש כמה דרכים להגדיר את Google כספק השירות שלכם ב-SSO, בהתאם לצורכי הארגון. ‫Google Workspace תומך ב-SSO מבוסס-SAML וגם ב-SSO מבוסס-OIDC.

אם המשתמשים שלכם משתמשים בכתובות URL של שירותים ספציפיים לדומיין כדי לגשת לשירותי Google (לדוגמה, https://mail.google.com/a/example.com), אתם יכולים גם לנהל את האופן שבו כתובות ה-URL האלה פועלות עם SSO.

אם הארגון שלכם צריך הפניה מותנית ל-SSO על סמך כתובת IP, או SSO לסופר-אדמינים, אתם יכולים גם להגדיר את פרופיל ה-SSO הקודם.

הגדרה של SSO עם SAML

לפני שמתחילים

כדי להגדיר פרופיל SSO ב-SAML, תצטרכו כמה הגדרות בסיסיות מצוות התמיכה או מהמסמכים של ה-IdP:

  • מזהה ישות ב-SAML של ה-IdP: כך ה-IdP מזדהה כשהוא מתקשר עם Google.
  • כתובת ה-URL של דף הכניסה: נקראת גם כתובת ה-URL של ה-SSO או נקודת הקצה (HTTP) של SAML 2.0. זה המקום שבו המשתמשים נכנסים ל-IdP שלכם.
  • כתובת ה-URL של דף היציאה: הדף שאליו המשתמש מגיע אחרי שהוא יוצא מאפליקציית Google או מהשירות.
  • כתובת ה-URL לשינוי הסיסמה: הדף שאליו משתמשי SSO יועברו כדי לשנות את הסיסמה שלהם (במקום לשנות את הסיסמה שלהם ב-Google).
  • אישור: אישור X.509 PEM מה-IdP. האישור מכיל את המפתח הציבורי שמאמת את הכניסה מ-IdP.

דרישות לאישורים

  • האישור חייב להיות אישור X.509 בפורמט PEM או DER עם מפתח ציבורי מוטמע.
  • יש ליצור את המפתח הציבורי באמצעות האלגוריתמים DSA או RSA.
  • המפתח הציבורי באישור חייב להתאים למפתח הפרטי שמשמש לחתימה על תגובת ה-SAML.

בדרך כלל מקבלים את האישורים האלה מ-IdP. עם זאת, אתם יכולים גם ליצור אותם בעצמכם.

יצירת פרופיל SAML SSO

כדי ליצור פרופיל SSO של צד שלישי: אתם יכולים ליצור עד 1,000 פרופילים בארגון.

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילים של צד שלישי ל-SSO, לוחצים על הוספת פרופיל SAML.
  3. בפרופיל SAML SSO, מזינים שם לפרופיל.
  4. (אופציונלי) בקטע מילוי אוטומטי של כתובת אימייל, בוחרים את האפשרות שתואמת לפורמט של הרמז להתחברות שנתמך ב-IdP. פרטים נוספים זמינים במאמר בנושא שימוש במילוי אוטומטי של כתובת אימייל כדי לפשט את הכניסות באמצעות SSO.
  5. בקטע פרטי IdP, מבצעים את הפעולות הבאות:
    1. מזינים את מזהה הישות ב-IdP, את כתובת ה-URL של דף הכניסה ואת כתובת ה-URL של דף היציאה שקיבלתם מה-IdP.
    2. בשדה כתובת URL לשינוי סיסמה, מזינים את כתובת ה-URL לשינוי סיסמה של ה-IdP. המשתמשים יופנו אל כתובת ה-URL הזו כדי לאפס את הסיסמאות שלהם.

  6. לוחצים על העלאת אישור.

    אפשר להעלות עד שני אישורים, וכך יש לכם אפשרות להחליף אישורים לפי הצורך.

  7. לוחצים על שמירה.

  8. בקטע פרטי ספק השירות, מעתיקים ושומרים את מזהה הישות ואת כתובת ה-URL של שירות ה-ACS. תצטרכו את הערכים האלה כדי להגדיר כניסה יחידה (SSO) עם Google בלוח הבקרה של האדמין ב-IdP.

  9. (אופציונלי) אם ספק הזהויות תומך בהצפנת טענות נכוֹנוּת (assertion), אתם יכולים ליצור אישור ולשתף אותו עם ספק הזהויות כדי להפעיל את ההצפנה. בכל פרופיל SAML SSO יכולים להיות עד 2 אישורי SP.

    1. לוחצים על הקטע SP Details כדי להיכנס למצב עריכה.
    2. בקטע אישור של ספק שירות (SP), לוחצים על יצירת אישור.
    3. לוחצים על שמירה. מעתיקים את תוכן האישור או מורידים אותו כקובץ.
    4. משתפים את האישור עם ספק הזהויות.
    5. (אופציונלי) כדי להחליף אישור, חוזרים אל פרטי ספק השירות ולוחצים על יצירת אישור נוסף, ואז משתפים את האישור החדש עם ה-IdP. אחרי שמוודאים שה-IdP משתמש באישור החדש, מוחקים את האישור המקורי.

הגדרת ה-IdP

כדי להגדיר את ספק הזהויות לשימוש בפרופיל ה-SSO הזה, מזינים את המידע מהקטע פרטי ספק השירות (SP) של הפרופיל בשדות המתאימים בהגדרות ה-SSO של ספק הזהויות. גם כתובת ה-URL של ה-ACS וגם מזהה הישות ייחודיים לפרופיל הזה.

הגדרת פרופיל SSO מדור קודם

פרופיל ה-SSO מדור קודם נתמך למשתמשים שלא עברו לפרופילי SSO. הוא תומך בשימוש רק עם ספק זהויות אחד.

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילי SSO של צד שלישי, לוחצים על הוספת פרופיל SAML.
  3. בתחתית הדף פרטי IdP, לוחצים על מעבר להגדרות של פרופיל SSO מדור קודם.
  4. בדף פרופיל SSO מדור קודם, מסמנים את התיבה הפעלת SSO עם ספק זהויות של צד שלישי.
  5. ממלאים את הפרטים הבאים של ספק הזהויות:
    • מזינים את כתובת ה-URL של דף הכניסה ואת כתובת ה-URL של דף היציאה של ה-IdP.

      הערה: צריך להזין את כל כתובות ה-URL ולהשתמש ב-HTTPS, לדוגמה https://sso.example.com.

    • לוחצים על העלאת אישור, מאתרים את אישור ה-X.509 שספק הזהויות נתן לכם ומעלים אותו. מידע נוסף זמין במאמר דרישות לגבי אישורים.
    • בוחרים אם להשתמש במנפיק ספציפי לדומיין בבקשת ה-SAML מ-Google.

      אם יש לכם כמה דומיינים שמשתמשים ב-SSO עם ספק הזהויות שלכם, אתם צריכים להשתמש במנפיק ספציפי לדומיין כדי לזהות את הדומיין הנכון שמנפיק את בקשת ה-SAML.

      • מסומנת Google שולחת מנפיק ספציפי לדומיין שלכם: google.com/a/example.com (כאשר example.com הוא שם הדומיין הראשי שלכם ב-Google Workspace)
      • לא מסומנת Google שולחת את המנפיק הרגיל בבקשת ה-SAML: ‏ google.com
    • (אופציונלי) כדי להחיל את הכניסה היחידה על קבוצת משתמשים בטווחים ספציפיים של כתובות IP, מזינים מסכת רשת. מידע נוסף זמין במאמר תוצאות של מיפוי רשת.

      הערה: אפשר גם להגדיר כניסה חלקית באמצעות SSO על ידי הקצאה של פרופיל ה-SSO ליחידות ארגוניות או לקבוצות ספציפיות.

    • מזינים כתובת URL לשינוי סיסמה ל-IdP. המשתמשים יועברו לכתובת ה-URL הזו (ולא לדף שינוי הסיסמה של Google) כדי לאפס את הסיסמאות שלהם. כל המשתמשים, מלבד סופר-אדמינים, שינסו לשנות את הסיסמה שלהם בכתובת https://myaccount.google.com/ יופנו לכתובת ה-URL שציינתם. ההגדרה הזו חלה בלי קשר למסיכות רשת, וגם אם לא הפעלתם SSO בארגון. אם אתם לא משתמשים ב-SSO ובסנכרון סיסמאות, צריך לנקות את השדה הזה.
  6. לוחצים על שמירה.

אחרי השמירה, פרופיל ה-SSO מדור קודם מופיע בטבלה פרופילי SSO.

הגדרת ה-IdP

כדי להגדיר את ספק הזהויות כך שישתמש בפרופיל ה-SSO הזה, צריך להזין את המידע מהקטע "פרטי ספק השירות (SP)" של הפרופיל בשדות המתאימים בהגדרות ה-SSO של ספק הזהויות. כתובת ה-URL של ה-ACS ומזהה הישות ייחודיים לפרופיל הזה.

פורמט
כתובת ה-URL של ה-ACS https://accounts.google.com/a/{domain.com}/acs
כאשר {domain.com} הוא שם הדומיין של הארגון ב-Workspace
מזהה ישות אחת מהאפשרויות הבאות:
  • google.com
  • ‫google.com/a/customerprimarydomain (אם בוחרים להשתמש במנפיק ספציפי לדומיין כשמגדירים את הפרופיל הקודם).

מידע על כתובות URL מדור קודם של ACS ופרופילי SSO

אם הארגון שלכם הפעיל את הפרופיל הקודם, Google תקבל טענות נכוֹנוּת (assertions) שנשלחות לכתובת ה-ACS שלו, למשל https://accounts.google.com/a/your-company.com/acs, גם אם המשתמש הוא סופר-אדמין או מוקצה לפרופיל אחר. התגובה החתומה מאומתת באמצעות האישור של פרופיל ה-SSO הקודם, גם אם המשתמש נמצא ביחידה ארגונית או בקבוצה שהוקצה לה פרופיל SAML SSO.

השבתת פרופיל ה-SSO מדור קודם

  1. ברשימה פרופילי SSO של צד שלישי, לוחצים על פרופיל SSO מדור קודם.
  2. בהגדרות של פרופיל SSO מדור קודם, מבטלים את הסימון של האפשרות הפעלת SSO עם ספק זהויות של צד שלישי.
  3. מאשרים שרוצים להמשיך ולוחצים על שמירה.

ברשימה פרופילי SSO, פרופיל ה-SSO מדור קודם מוצג עכשיו כמושבת.

  • ביחידות ארגוניות שהוקצה להן פרופיל SSO מדור קודם תוצג התראה בעמודה הפרופיל שהוקצה.
  • ביחידה הארגונית ברמה העליונה יוצג הערך ללא בעמודה הפרופיל שהוקצה.
  • בקטע ניהול הקצאות לפרופיל SSO, פרופיל ה-SSO מדור קודם מוצג כלא פעיל.

מעבר מ-SAML מדור קודם לפרופילי SSO

אם הארגון שלכם משתמש בפרופיל ה-SSO מדור קודם, אנחנו ממליצים לעבור לפרופילי SSO, שמציעים כמה יתרונות, כולל תמיכה ב-OIDC, ממשקי API מודרניים יותר וגמישות רבה יותר בהחלת הגדרות SSO על קבוצות המשתמשים שלכם. מידע נוסף

הגדרה של SSO עם OIDC

כדי להשתמש ב-SSO שמבוסס על OIDC:

  1. בוחרים אפשרות OIDC – יוצרים פרופיל OIDC בהתאמה אישית, שבו מספקים מידע לשותף ה-OIDC, או משתמשים בפרופיל Microsoft Entra OIDC שהוגדר מראש.
  2. פועלים לפי השלבים בקטע החלטה אילו משתמשים צריכים להשתמש ב-SSO כדי להקצות את פרופיל ה-OIDC שהוגדר מראש ליחידות או לקבוצות ארגוניות נבחרות.

אם יש לכם משתמשים ביחידה ארגונית (לדוגמה, ביחידת משנה ארגונית) שלא צריכים כניסה יחידה (SSO), אתם יכולים להשתמש בהקצאות גם כדי להשבית את ה-SSO למשתמשים האלה.

הערה: בשלב הזה, ממשק שורת הפקודה של Google Cloud לא תומך באימות מחדש באמצעות OIDC.

לפני שמתחילים

כדי להגדיר פרופיל OIDC בהתאמה אישית, תצטרכו כמה הגדרות בסיסיות מצוות התמיכה או מהמסמכים של ספק הזהויות:

  • כתובת ה-URL של המנפיק כתובת ה-URL המלאה של שרת ההרשאות של ה-IdP.
  • לקוח OAuth, שמזוהה באמצעות מזהה הלקוח שלו ומאומת באמצעות סוד הלקוח.
  • כתובת ה-URL לשינוי הסיסמה הדף שאליו משתמשי SSO יועברו כדי לשנות את הסיסמה שלהם (במקום לשנות את הסיסמה שלהם ב-Google).

בנוסף, Google צריכה שספק הזהויות שלכם יבצע את הפעולות הבאות:

  • ההצהרה email מספק הזהויות צריכה להתאים לכתובת האימייל הראשית של המשתמש ב-Google.
  • הוא צריך להשתמש בתהליך ההרשאה באמצעות קוד.

יצירת פרופיל OIDC בהתאמה אישית

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. בקטע פרופילי SSO של צד שלישי, לוחצים על הוספת פרופיל OIDC.
  3. נותנים שם לפרופיל ה-OIDC.
  4. מזינים את פרטי ה-OIDC: מזהה לקוח, כתובת URL של המנפיק, סוד לקוח.
  5. לוחצים על שמירה.
  6. בדף ההגדרות של ה-SSO ב-OIDC של הפרופיל החדש, מעתיקים את Redirect URI (כתובת ה-URI להפניה אוטומטית). תצטרכו לעדכן את לקוח ה-OAuth ב-IdP כדי להגיב לבקשות באמצעות ה-URI הזה.

כדי לערוך את ההגדרות, מעבירים את העכבר מעל OIDC Details ולוחצים על סמל העריכה .

שימוש בפרופיל Microsoft Entra OIDC

חשוב לוודא שהגדרתם את הדרישות המוקדמות הבאות ל-OIDC בדייר של Microsoft Entra ID בארגון:

מחליטים אילו משתמשים צריכים להשתמש ב-SSO

כדי להפעיל את ה-SSO ביחידה ארגונית או בקבוצה, מקצים פרופיל SSO ואת ה-IdP שמשויך אליו. אפשר גם להשבית את ה-SSO על ידי הקצאת הערך "ללא" לפרופיל ה-SSO. אפשר גם להחיל מדיניות SSO מעורבת בתוך יחידה ארגונית או קבוצה. לדוגמה, להפעיל את ה-SSO ביחידה הארגונית כולה, ואז להשבית אותו ביחידת משנה ארגונית.

אם עדיין לא יצרתם פרופיל SAML או OIDC, אתם צריכים ליצור אותו לפני שתמשיכו. אפשר גם להקצות את פרופיל ה-OIDC שהוגדר מראש.

  1. לוחצים על ניהול הקצאות לפרופיל SSO.
  2. אם זו הפעם הראשונה שאתם מקצים את פרופיל ה-SSO, לחצו על "שנתחיל?". אם לא, לוחצים על ניהול הקצאות.
  3. בצד ימין, בוחרים את היחידה הארגונית או הקבוצה שאליה רוצים להקצות את פרופיל ה-SSO.
    • אם הקצאת פרופיל ה-SSO ליחידה ארגונית או לקבוצה שונה מהקצאת הפרופיל ברמת הדומיין, תופיע אזהרה לגבי שינוי כשתבחרו את היחידה הארגונית או הקבוצה.
    • אי אפשר להקצות את פרופיל ה-SSO ברמת המשתמש. בתצוגה "משתמשים" אפשר לבדוק את ההגדרה של משתמש ספציפי.
  4. בוחרים הקצאת פרופיל SSO ליחידה הארגונית או לקבוצה שנבחרו:
    • כדי להחריג את היחידה הארגונית או הקבוצה מ-SSO, בוחרים באפשרות ללא. המשתמשים ביחידה הארגונית או בקבוצה ייכנסו ישירות באמצעות Google.
    • כדי להקצות IdP אחר ליחידה הארגונית או לקבוצה, בוחרים באפשרות פרופיל SSO אחר, ואז בוחרים את פרופיל ה-SSO מהרשימה הנפתחת.

  5. (רק בפרופילי SSO ב-SAML) אחרי שבוחרים פרופיל SAML, בוחרים אפשרות כניסה למשתמשים שנכנסים ישירות לשירות של Google בלי להיכנס קודם ל-IdP של צד שלישי בפרופיל ה-SSO. אתם יכולים לבקש מהמשתמשים להזין את שם המשתמש שלהם ב-Google ואז להפנות אותם ל-IdP, או לדרוש מהמשתמשים להזין את שם המשתמש והסיסמה שלהם ב-Google.

    הערה: אם בוחרים לדרוש מהמשתמשים להזין את שם המשתמש והסיסמה שלהם ב-Google, המערכת מתעלמת מההגדרה כתובת URL לשינוי סיסמה בפרופיל ה-SSO ב-SAML (זמינה בקטע "פרופיל SSO" > "פרטי IDP"). כך המשתמשים יוכלו לשנות את הסיסמה לחשבון ב-Google לפי הצורך.

  6. לוחצים על שמירה.

  7. (אופציונלי) מקצים פרופילי SSO ליחידות ארגוניות או לקבוצות אחרות לפי הצורך.

אחרי שסוגרים את הכרטיס ניהול הקצאות של פרופילי SSO, ההקצאות המעודכנות ליחידות ארגוניות ולקבוצות מופיעות בקטע ניהול הקצאות של פרופילי SSO.

הגדרת עדיפות הקבוצות להקצאות של פרופילי SSO

אם משתמש שייך לכמה קבוצות שהוקצו להן פרופילי SSO שונים, פרופיל ה-SSO של המשתמש מבוסס על סדר הקבוצות במסוף Admin. הקצאת משתמש לקבוצה תמיד מבטלת את ההקצאה ליחידה ארגונית.

במסוף Admin:

  • סדר העדיפויות של הקבוצות של המשתמש נבדק בסדר יורד מלמעלה למטה.
  • אם משתמש שייך לקבוצת משנה שמוטמעת בקבוצת אם, המשתמש יורש את פרופיל ה-SSO של קבוצת האם. אם גם לתת-הקבוצה וגם לקבוצת האם יש הקצאות של פרופיל SSO, הקבוצה עם העדיפות הגבוהה יותר ברשימה מקבלת קדימות.

כדי לשנות את העדיפות של קבוצה:

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז אימות ואז SSO עם IdP של צד שלישי.

    כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.

  2. לוחצים על ניהול הקצאות לפרופיל SSO.
  3. בצד, לוחצים על קבוצות.
  4. כדי לקבוע את הדירוג של קבוצה, גוררים אותה למעלה או למטה ברשימה או מזינים מספר עדיפות.
  5. לוחצים על שמירה.
השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף

במאמר איך פועלות קבוצות מוגדרות מוסבר איך פועלת עדיפות של קבוצות בשירותי Google Workspace.

הסרת הקצאה של פרופיל SSO

  1. לוחצים על השם של הקבוצה או היחידה הארגונית כדי לפתוח את הגדרות הקצאת הפרופיל שלה.
  2. מחליפים את הגדרת ההקצאה הקיימת בהגדרה של היחידה הארגונית ברמה העליונה:
    • להקצאות של יחידות ארגוניות – לוחצים על ירושה.
    • להקצאות של קבוצות – לוחצים על ביטול ההגדרה.

הערה: היחידה הארגונית ברמה העליונה תמיד מופיעה ברשימת ההקצאות של הפרופיל, גם אם הפרופיל מוגדר כ"ללא".

מידע נוסף


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.