إعداد الدخول المُوحَّد (SSO)

يمكنك إعداد الدخول المُوحَّد (SSO) عن طريق Google كمقدِّم خدمة بعدة طرق، وفقًا لاحتياجات مؤسستك. تتوافق حزمة Google Workspace مع كلّ من بروتوكول الدخول الموحَّد (SSO) المستنِد إلى SAML والمستنِد إلى OIDC.

إذا كان المستخدمون يستخدمون عناوين URL للخدمة الخاصة بالنطاق للوصول إلى خدمات Google (على سبيل المثال، https://mail.google.com/a/example.com)، يمكنك أيضًا إدارة كيفية عمل عناوين URL هذه مع الدخول المُوحَّد (SSO).

إذا كانت مؤسستك بحاجة إلى إعادة توجيه مشروطة للدخول المُوحَّد استنادًا إلى عنوان IP، أو الدخول المُوحَّد للمشرفين المتميّزين، يمكنك أيضًا ضبط الملف الشخصي القديم للدخول المُوحَّد.

إعداد الدخول المُوحَّد باستخدام "لغة ترميز تأكيد الأمان" (SAML)

قبل البدء

لإعداد ملف شخصي للدخول المُوحَّد (SSO) المستند إلى لغة SAML، ستحتاج إلى بعض الضبط الأساسي من فريق دعم موفِّر الهوية أو مستنداته:

  • رقم تعريف جهة موفِّر الهوية: هذه هي الطريقة التي يعرّف بها موفِّر الهوية نفسه عند التواصل مع Google.
  • عنوان URL لصفحة تسجيل الدخول: يُعرف هذا أيضًا باسم عنوان URL للدخول الموحَّد (SSO) أو نقطة نهاية SAML 2.0 (HTTP). وهذا هو المكان الذي يسجّل فيه المستخدمون الدخول إلى موفِّر الهوية (IdP).
  • عنوان URL لصفحة تسجيل الخروج: الصفحة التي يصل إليها المستخدم بعد الخروج من تطبيق Google أو الخدمة.
  • عنوان URL لتغيير كلمة المرور: الصفحة التي سينتقل إليها مستخدمو الدخول الموحّد (SSO) لتغيير كلمة المرور (بدلاً من تغيير كلمة مرورهم مع Google).
  • الشهادة: شهادة X.509 PEM من موفِّر الهوية. تحتوي الشهادة على المفتاح العام الذي يُستخدم لإثبات صحة عملية تسجيل الدخول من موفِّر الهوية.

متطلبات الشهادة

  • يجب أن تكون الشهادة بمعيار X.509 بتنسيق PEM أو DER مع مفتاح عام مضمّن.
  • يجب إنشاء المفتاح العام باستخدام إما خوارزميات DSA أو RSA.
  • يجب أن يتطابق المفتاح العام في الشهادة مع المفتاح الخاص المستخدَم للتوقيع على استجابة SAML.

ستحصل عادةً على هذه الشهادات من موفِّر الهوية (IdP). ومع ذلك، يمكنك أيضًا إنشاءها بنفسك.

إنشاء ملف شخصي للدخول المُوحَّد (SSO) عبر SAML

اتّبِع الخطوات التالية لإنشاء ملف شخصي للدخول المُوحَّد (SSO) تابع لجهة خارجية. يمكنك إنشاء ما يصل إلى 1,000 ملف شخصي في مؤسستك.

  1. في "وحدة تحكّم المشرف في Google"، انتقِل إلى "القائمة" ثم الأمانثمالمصادقةثمالدخول المُوحَّد (SSO) باستخدام موفِّر هوية خارجي.

    يتطلب الحصول على امتياز مشرف إعدادات الأمان.

  2. في قسم ملفات الدخول المُوحَّد (SSO) التابعة لجهات خارجية، انقر على إضافة ملف شخصي مُستنِد إلى SAML.
  3. بالنسبة إلى الملف الشخصي للدخول المُوحَّد (SSO) المستند إلى لغة SAML، أدخِل اسم ملف شخصي.
  4. (اختياري) بالنسبة إلى ملء البريد الإلكتروني تلقائيًا، اختَر الخيار الذي يتطابق مع تنسيق التلميح أثناء تسجيل الدخول المتوافق مع موفّر الهوية. لمزيد من التفاصيل، يُرجى الانتقال إلى استخدام ميزة "ملء البريد الإلكتروني تلقائيًا" لتسهيل تسجيل الدخول باستخدام الدخول المُوحَّد (SSO).
  5. في قسم تفاصيل موفِّر الهوية، أكمِل الخطوات التالية:
    1. أدخِل رقم تعريف جهة موفِّر الهوية وعنوان URL لصفحة تسجيل الدخول وعنوان URL لصفحة تسجيل الخروج التي حصلت عليها من موفِّر الهوية.
    2. بالنسبة إلى عنوان URL الخاص بتغيير كلمة المرور، أدخِل عنوان URL لتغيير كلمة المرور الخاص بموفِّر الهوية. سينتقل المستخدمون إلى عنوان URL هذا لإعادة ضبط كلمات المرور.

  6. انقر على تحميل الشهادة.

    يمكنك تحميل شهادتَين كحد أقصى، ما يمنحك خيار تبديل الشهادتين عند الضرورة.

  7. انقر على حفظ.

  8. في القسم تفاصيل مقدِّم الخدمة، انسخ رقم تعريف الجهة وعنوان URL لخدمة ACS واحفظهما. ستحتاج إلى هذه القيم لضبط الدخول المُوحَّد (SSO) مع Google في لوحة تحكُّم المشرف لموفِّر الهوية (IdP).

  9. (اختياري) إذا كان موفِّر الهوية يتيح تأكيد التشفير، يمكنك إنشاء شهادة ومشاركتها باستخدام موفِّر الهوية لتفعيل التشفير. يمكن أن يحتوي كل ملف شخصي للدخول المُوحَّد (SSO) عبر SAML على ما يصل إلى شهادتَي مقدِّم الخدمة.

    1. انقر على قسم تفاصيل مقدِّم الخدمة للدخول إلى وضع التعديل.
    2. بالنسبة إلى شهادة مقدّم الخدمة، انقر على إنشاء شهادة.
    3. انقر على حفظ. انسخ محتوى الشهادة أو نزِّلها كملف.
    4. شارِك الشهادة مع موفِّر الهوية.
    5. (اختياري) لتغيير شهادة، يمكنك الرجوع إلى تفاصيل مقدِّم الخدمة والنقر على إنشاء شهادة أخرى، ثم مشاركة الشهادة الجديدة مع موفِّر الهوية. وبعد التأكُّد من استخدام موفِّر الهوية للشهادة الجديدة، يمكنك حذف الشهادة الأصلية.

ضبط موفِّر الهوية

لضبط موفِّر الهوية من أجل استخدام ملف الدخول المُوحَّد هذا، يُرجى إدخال المعلومات الواردة في قسم تفاصيل مقدِّم الخدمة في الملف الشخصي في الحقول المناسبة في إعدادات الدخول المُوحَّد لموفِّر الهوية. يكون كل من عنوان URL لخدمة ACS ورقم تعريف الكيان فريدًا لهذا الملف الشخصي.

ضبط الملف الشخصي القديم للدخول المُوحَّد (SSO)

يتوفّر الملف الشخصي القديم للدخول المُوحَّد (SSO) للمستخدمين الذين لم ينقلوا بياناتهم إلى الملفات الشخصية للدخول المُوحَّد (SSO). ولا يتوافق مع استخدام أكثر من موفِّر هوية واحد.

  1. في "وحدة تحكّم المشرف في Google"، انتقِل إلى "القائمة" ثم الأمانثمالمصادقةثمالدخول المُوحَّد (SSO) باستخدام موفِّر هوية خارجي.

    يتطلب الحصول على امتياز مشرف إعدادات الأمان.

  2. ضمن الملفات الشخصية للدخول المُوحَّد (SSO) التابعة لجهات خارجية، انقر على إضافة ملف شخصي عبر SAML.
  3. في أسفل صفحة تفاصيل موفِّر الهوية، انقر على الانتقال إلى إعدادات الملف الشخصي القديم للدخول المُوحَّد (SSO).
  4. في صفحة الملف الشخصي القديم للدخول المُوحَّد (SSO)، ضَع علامة في المربّع تفعيل الدخول المُوحَّد (SSO) باستخدام موفِّر هوية خارجي.
  5. املأ المعلومات التالية لموفِّر الهوية:
    • أدخِل عنوان URL لصفحة تسجيل الدخول وعنوان URL لصفحة تسجيل الخروج لموفِّر الهوية.

      ملاحظة: يجب إدخال جميع عناوين URL واستخدام بروتوكول HTTPS، مثل https://sso.example.com.

    • انقر على تحميل الشهادة وحدد موقع شهادة X.509 التي قدّمها موفّر الهوية. لمزيد من المعلومات، يُرجى الاطّلاع على متطلبات الشهادة.
    • اختَر ما إذا كنت تريد استخدام جهة إصدار محدّدة للنطاق في طلب SAML من Google.

      إذا كانت لديك عدة نطاقات تستخدم الدخول الموحّد (SSO) مع موفِّر الهوية، استخدِم جهة إصدار محدّدة للنطاق لتحديد النطاق الصحيح الذي يُصدر طلب SAML.

      • تم التحقق منه تُرسل Google جهة إصدار خاصة بنطاقك: google.com/a/example.com (حيث يكون example.com هو اسم النطاق الأساسي على Google Workspace).
      • لم يتم التحقق منه ترسل Google جهة الإصدار العادية في طلب SAML: google.com
    • (اختياري) لتطبيق الدخول المُوحَّد (SSO) على مجموعة من المستخدمين ضمن نطاقات عناوين IP محدّدة، أدخِل قناع شبكة. لمزيد من المعلومات، اطّلِع على نتائج ربط الشبكة.

      ملاحظة: يمكنك أيضًا إعداد الدخول المُوحَّد (SSO) الجزئي من خلال تخصيص الملف الشخصي للدخول المُوحَّد (SSO) لوحدات تنظيمية أو مجموعات مُحدَّدة.

    • أدخِل عنوان URL لتغيير كلمة المرور الخاص بموفِّر الهوية. وسينتقل المستخدمون إلى عنوان URL هذا (بدلاً من صفحة تغيير كلمة مرور Google) لإعادة ضبط كلمة المرور. سيتم توجيه جميع المستخدمين الذين يحاولون تغيير كلمة المرور على https://myaccount.google.com/ إلى عنوان URL الذي تحدده، ويُستثنى من ذلك التوجيه المشرفون المتميّزون. يُطبق هذا الإعداد حتى في حالة عدم تفعيل خدمة الدخول المُوحَّد (SSO). كما لا تُطبق أقنعة الشبكة.

      ملاحظة: إذا أدخلت عنوان URL هنا، سيتم توجيه المستخدمين إلى هذه الصفحة حتى إذا لم تفعّل خدمة الدخول الموحّد (SSO) لمؤسستك.

  6. انقر على حفظ.

بعد الحفظ، يتم إدراج الملف الشخصي القديم للدخول المُوحَّد (SSO) في جدول ملفات الدخول المُوحَّد (SSO).

ضبط موفِّر الهوية

لضبط موفِّر الهوية من أجل استخدام ملف الدخول المُوحَّد هذا، يُرجى إدخال المعلومات الواردة في قسم "تفاصيل مقدِّم الخدمة" في الملف الشخصي في الحقول المناسبة في إعدادات الدخول المُوحَّد لموفِّر الهوية. يكون كل من عنوان URL لخدمة ACS ورقم تعريف الكيان فريدًا لهذا الملف الشخصي.

التنسيق
عنوان URL لخدمة ACS https://accounts.google.com/a/{domain.com}/acs
حيث يكون {domain.com} هو اسم نطاق Workspace الخاص بمؤسستك
معرّف الكيان أيٌّ مما يلي:
  • google.com
  • google.com/a/customerprimarydomain (إذا اخترت استخدام جهة إصدار خاصة بالنطاق عند ضبط الملف الشخصي القديم)

إيقاف الملف الشخصي القديم للدخول المُوحَّد (SSO)

  1. في قائمة ملفات الدخول المُوحَّد (SSO) التابعة لجهات خارجية، انقر على ملف الدخول المُوحَّد (SSO) القديم.
  2. في إعدادات الملف الشخصي القديم للدخول المُوحَّد (SSO)، أزِل العلامة من المربّع تفعيل الدخول المُوحَّد (SSO) باستخدام موفِّر هوية تابع لجهة خارجية.
  3. يُرجى تأكيد رغبتك في المتابعة، ثم انقر على حفظ.

في قائمة ملفات الدخول المُوحَّد (SSO)، يظهر الملف الشخصي القديم للدخول المُوحَّد (SSO) الآن على أنّه غير مفعَّل.

  • ستظهر تنبيهات في عمود الملف الشخصي المخصّص للوحدات التنظيمية التي تم تخصيص الملف الشخصي القديم للدخول المُوحَّد لها.
  • ستعرض الوحدة التنظيمية ذات المستوى الأعلى القيمة بدون في عمود الملف الشخصي المخصّص.
  • في إدارة عمليات تخصيص الملفات الشخصية للدخول المُوحَّد (SSO)، يظهر الملف الشخصي القديم للدخول المُوحَّد (SSO) على أنّه غير نشط.

نقل البيانات من الملفات الشخصية القديمة المستندة إلى لغة SAML إلى الملفات الشخصية للدخول المُوحَّد (SSO)

إذا كانت مؤسستك تستخدم الملف الشخصي القديم للدخول المُوحَّد (SSO)، ننصحك بالانتقال إلى الملفات الشخصية للدخول المُوحَّد (SSO) التي توفّر العديد من المزايا، بما في ذلك توافقها مع بروتوكول OpenID Connect ‫(OIDC) واستخدام واجهات برمجة تطبيقات أكثر حداثة ومرونة أكبر في تطبيق إعدادات الدخول المُوحَّد (SSO) على مجموعات المستخدمين. مزيد من المعلومات

إعداد الدخول المُوحَّد باستخدام بروتوكول OIDC

يُرجى اتّباع الخطوات التالية لاستخدام الدخول المُوحَّد المستنِد إلى بروتوكول OIDC:

  1. يمكنك اختيار أحد خيارات OIDC، إما إنشاء ملف شخصي مخصّص لمعيار OIDC، حيث تقدّم معلومات لشريكك في OIDC، أو استخدام ملف Microsoft Entra OIDC الشخصي الذي تم ضبطه مسبقًا.
  2. يُرجى اتّباع الخطوات الواردة في تحديد المستخدمين الذين عليهم استخدام الدخول المُوحَّد (SSO) لتخصيص ملف OIDC الشخصي الذي تم ضبطه مسبقًا للوحدات التنظيمية/المجموعات المُحدَّدة.

إذا كان لديك مستخدمون داخل وحدة تنظيمية (على سبيل المثال في وحدة تنظيمية فرعية) لا يحتاجون إلى الدخول الموحّد (SSO)، يمكنك أيضًا استخدام المهام لإيقاف الدخول الموحّد لهؤلاء المستخدمين.

ملاحظة: لا تتيح واجهة سطر أوامر Google Cloud حاليًا إعادة المصادقة باستخدام OIDC.

قبل البدء

لإعداد ملف شخصي مخصّص لبروتوكول OIDC، ستحتاج إلى بعض الإعدادات الأساسية من فريق دعم موفِّر الهوية أو مستنداته:

  • عنوان URL لجهة الإصدار: عنوان URL الكامل لخادم مصادقة موفِّر الهوية.
  • عميل OAuth، يتم تحديده من خلال معرّف العميل ويتم مصادقة استخدامه من خلال سر العميل.
  • عنوان URL لتغيير كلمة المرور الصفحة التي سينتقل إليها مستخدمو الدخول الموحّد (SSO) لتغيير كلمة المرور (بدلاً من تغيير كلمة مرورهم مع Google).

تحتاج Google أيضًا إلى موفِّر الهوية لتنفيذ ما يلي:

  • يجب أن تتطابق مطالبة email الواردة من موفِّر الهوية مع عنوان البريد الإلكتروني الأساسي للمستخدم من جانب Google.
  • ويجب أن تستخدم مسار رمز التفويض.

إنشاء ملف شخصي مخصّص لمعيار OIDC

  1. في "وحدة تحكّم المشرف في Google"، انتقِل إلى "القائمة" ثم الأمانثمالمصادقةثمالدخول المُوحَّد (SSO) باستخدام موفِّر هوية خارجي.

    يتطلب الحصول على امتياز مشرف إعدادات الأمان.

  2. ضمن ملفات الدخول المُوحَّد (SSO) التابعة لجهات خارجية، انقر على إضافة ملف شخصي عبر OIDC.
  3. أدخِل اسمًا لملف OIDC الشخصي.
  4. أدخِل تفاصيل OIDC: "معرِّف العميل" و"عنوان URL الخاص بجهة الإصدار" و"سر العميل".
  5. انقر على حفظ.
  6. في صفحة إعدادات الدخول المُوحَّد باستخدام بروتوكول OIDC في الملف الشخصي الجديد، يجب نسخ معرّف الموارد المنتظم (URI) لإعادة التوجيه. ستحتاج إلى تعديل عميل OAuth في موفِّر الهوية للردّ على الطلبات باستخدام معرّف الموارد المنتظم هذا.

لتعديل الإعدادات، مرِّر مؤشر الماوس فوق تفاصيل بروتوكول OIDC، ثم انقر على "تعديل" .

استخدام ملف Microsoft Entra OIDC الشخصي

يُرجى التأكُّد من ضبط المتطلّبات الأساسية التالية لاستخدام OIDC في مستأجر Microsoft Entra ID الخاص بمؤسستك:

تحديد المستخدمين الذين يجب عليهم استخدام الدخول المُوحَّد (SSO)

يمكنك تفعيل الدخول المُوحَّد (SSO) لوحدة تنظيمية أو مجموعة من خلال تخصيص ملف شخصي للدخول المُوحَّد (SSO) وموفِّر الهوية (IdP) المرتبط به. أو يمكنك إيقاف الدخول المُوحَّد (SSO) من خلال تحديد القيمة "بدون" للملف الشخصي الخاص بالدخول المُوحَّد (SSO). يمكنك أيضًا تطبيق سياسة دخول مُوحَّد (SSO) مختلطة على وحدة تنظيمية أو مجموعة، مثل تفعيل الدخول المُوحَّد (SSO) للوحدة التنظيمية بالكامل ثم إيقافها لوحدة تنظيمية فرعية.

إذا لم يسبق لك إنشاء ملف SAML أو OIDC، يجب إجراء ذلك قبل المتابعة. أو يمكنك تخصيص ملف OIDC الشخصي الذي تم ضبطه مسبقًا.

  1. انقر على إدارة عمليات تخصيص الملفات الشخصية للدخول المُوحَّد (SSO).
  2. إذا كانت هذه هي المرة الأولى التي تُخصِّص فيها الملف الشخصي للدخول المُوحَّد (SSO)، انقر على "البدء". بخلاف ذلك، يمكنك النقر على إدارة المهام.
  3. على يمين الصفحة، اختَر الوحدة التنظيمية أو المجموعة التي تريد أن تخصص لها الملف الشخصي للدخول المُوحَّد (SSO).
    • في حال اختلاف تخصيص الملف الشخصي للدخول الموحَّد (SSO) لوحدة تنظيمية أو مجموعة عن تخصيص الملف الشخصي على مستوى النطاق، سيظهر تحذير إلغاء عند اختيار هذه الوحدة التنظيمية أو المجموعة.
    • لا يمكنك تخصيص الملف الشخصي للدخول المُوحَّد (SSO) لكل مستخدم على حدة. تتيح لك طريقة عرض "المستخدمون" التحقّق من الإعداد لمستخدم محدّد.
  4. اختَر تخصيص الملف الشخصي للدخول المُوحَّد (SSO) للوحدة التنظيمية أو المجموعة المحدّدة:
    • لاستبعاد الوحدة التنظيمية أو المجموعة من الدخول المُوحَّد (SSO)، اختَر بدون. وسيسجّل المستخدمون في الوحدة التنظيمية أو المجموعة الدخول مباشرةً باستخدام حساب Google.
    • لتخصيص موفِّر هوية (IdP) آخر للوحدة التنظيمية أو المجموعة، اختَر ملف شخصي آخر للدخول المُوحَّد (SSO)، ثم اختَر الملف الشخصي للدخول المُوحَّد (SSO) من القائمة المنسدلة.

  5. (الملفات الشخصية للدخول الموحَّد (SSO) عبر SAML فقط) بعد اختيار ملف شخصي عبر SAML، حدِّد خيار تسجيل الدخول للمستخدمين الذين ينتقلون مباشرةً إلى خدمة Google بدون تسجيل الدخول أولاً إلى موفِّر الهوية (IdP) التابع لجهة خارجية في الملف الشخصي للدخول المُوحَّد (SSO). يمكنك توجيه المستخدمين إلى اسم مستخدم Google الخاص بهم ثم إعادة توجيههم إلى موفِّر الهوية، أو يمكنك مطالبة المستخدمين بإدخال اسم المستخدم وكلمة المرور لحسابهم على Google.

    ملاحظة: إذا اخترت أن يُطلب من المستخدمين إدخال اسم المستخدم وكلمة المرور لحساب Google، سيتم تجاهُل الإعداد عنوان URL لتغيير كلمة المرور لهذا الملف الشخصي للدخول الموحّد (SSO) عبر SAML (متاح في الملف الشخصي للدخول الموحّد (SSO) > تفاصيل موفِّر الهوية (IDP)). يضمن ذلك قدرة المستخدمين على تغيير كلمات مرور Google حسب الحاجة.

  6. انقر على حفظ.

  7. (اختياري) يمكنك تخصيص ملفات الدخول المُوحَّد (SSO) الشخصية للوحدات التنظيمية أو المجموعات الأخرى حسب الحاجة.

بعد إغلاق بطاقة إدارة عمليات تخصيص الملفات الشخصية للدخول المُوحَّد (SSO)، ستظهر لك عمليات التخصيص التي تم تعديلها للوحدات التنظيمية والمجموعات في القسم إدارة عمليات تخصيص الملفات الشخصية للدخول المُوحَّد (SSO).

إزالة عملية تخصيص ملف شخصي للدخول المُوحَّد (SSO)

  1. انقر على اسم مجموعة أو وحدة تنظيمية لفتح إعدادات تخصيص الملف الشخصي.
  2. استبدِل إعدادات عملية التخصيص الحالية بإعدادات الوحدة التنظيمية الرئيسية:
    • بالنسبة إلى عمليات تخصيص الوحدات التنظيمية، انقر على اكتساب.
    • بالنسبة إلى عمليات التخصيص الجماعية، انقر على غير محدَّد.

ملاحظة: تظهر الوحدة التنظيمية العليا دائمًا في قائمة تخصيص الملف الشخصي، حتى إذا تم ضبط "الملف الشخصي" على "بدون".

انظر أيضًا


إنّ Google وGoogle Workspace والعلامات والشعارات المرتبطة بهما هي علامات تجارية مسجَّلة مملوكة من قِبل شركة Google LLC. وجميع أسماء الشركات والمنتجات الأخرى هي علامات تجارية تملكها الشركات ذات الصلة بها.