SSO instellen

U kunt SSO op verschillende manieren instellen met Google als uw serviceprovider, afhankelijk van de behoeften van uw organisatie. Google Workspace ondersteunt zowel op SAML gebaseerde als op OIDC gebaseerde SSO.

Als uw gebruikers domeinspecifieke service-URL's gebruiken voor toegang tot Google-services (bijvoorbeeld https://mail.google.com/a/example.com), kunt u ook beheren hoe deze URL's werken met SSO.

Als uw organisatie voorwaardelijke SSO-omleiding op basis van IP-adres of SSO voor hoofdbeheerders nodig heeft, kunt u ook het verouderde SSO-profiel instellen.

SSO instellen met SAML

Voordat u begint

Als u een SAML SSO-profiel wilt instellen, heeft u enkele basisinstellingen nodig van het supportteam of uit de documentatie van uw IdP:

  • Entiteits-ID IdP: Zo identificeert uw IdP zichzelf als deze met Google communiceert.
  • URL inlogpagina: Dit wordt ook wel de SSO-URL of het SAML 2.0-eindpunt (HTTP) genoemd. Hier loggen gebruikers in bij uw IdP.
  • URL uitlogpagina: De pagina waar de gebruiker terechtkomt nadat die de Google-app of -service heeft verlaten.
  • URL voor wachtwoord wijzigen: De pagina waarop SSO-gebruikers hun wachtwoord wijzigen (in plaats van hun wachtwoord te wijzigen via Google).
  • Certificaat: Het X.509 PEM-certificaat van uw IdP. Het certificaat bevat de openbare sleutel die de inlogpoging van de IdP verifieert.

Certificaatvereisten

  • Het certificaat moet een X.509-certificaat zijn dat de indeling PEM of DER heeft en een ingesloten openbare sleutel bevat.
  • De openbare sleutel moet zijn gegenereerd met het DSA- of RSA-algoritme.
  • De openbare sleutel van het certificaat moet overeenkomen met de privésleutel waarmee de SAML-reactie wordt ondertekend.

Meestal krijgt u deze certificaten van uw IdP. U kunt ze ook zelf genereren.

Een SAML SSO-profiel maken

Volg deze stappen om een SSO-profiel van derden te maken. U kunt maximaal 1000 profielen maken in uw organisatie.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik in het gedeelte SSO-profielen van derden op SAML-profiel toevoegen.
  3. Voer bij SAML SSO-profiel een profielnaam in.
  4. (Optioneel) Selecteer bij E-mail automatisch invullen de optie die overeenkomt met de indeling voor inloghints die uw IdP ondersteunt. Ga naar E-mail automatisch invullen gebruiken om inloggen met SSO te vereenvoudigen voor meer informatie.
  5. Voer in het gedeelte IdP-gegevens de volgende stappen uit:
    1. Voer de entiteits-ID van de IdP, de inlogpagina-URL en de uitlogpagina-URL in die u van uw IdP heeft gekregen.
    2. Voer bij URL voor wachtwoord wijzigen een URL voor wachtwoordwijzigingen in voor uw IdP. Gebruikers gaan naar deze URL om hun wachtwoord te resetten.

  6. Klik op Certificaat uploaden.

    U kunt maximaal 2 certificaten uploaden. Zo kunt u certificaten rouleren als dat nodig is.

  7. Klik op Opslaan.

  8. Kopieer in het gedeelte SP-gegevens de Entiteits-ID en ACS-URL en sla deze op. U heeft deze waarden nodig om SSO te configureren met Google in het beheerdersdashboard van de IdP.

  9. (Optioneel) Als uw IdP het versleutelen van asserties ondersteunt, kunt u een certificaat genereren en delen met de IdP om versleuteling aan te zetten. Elk SAML SSO-profiel kan maximaal 2 SP-certificaten hebben.

    1. Klik op het gedeelte SP-gegevens om de bewerkingsmodus te openen.
    2. Klik bij SP-certificaat op Certificaat genereren.
    3. Klik op Opslaan. Kopieer de inhoud van het certificaat of download het als bestand.
    4. Deel het certificaat met uw IdP.
    5. (Optioneel) Als u een certificaat wilt rouleren, gaat u terug naar SP-gegevens en klikt u op Nog een certificaat genereren. Deel het nieuwe certificaat daarna met uw IdP. Zodra u zeker weet dat uw IdP het nieuwe certificaat gebruikt, verwijdert u het oorspronkelijke certificaat.

Uw IdP configureren

Als u uw IdP wilt configureren om dit SSO-profiel te gebruiken, voert u de informatie uit het profielgedeelte Gegevens van de serviceprovider (SP) in de juiste velden in bij de SSO-instellingen van uw IdP. Zowel de ACS-URL als de entiteits-ID zijn uniek voor dit profiel.

Het verouderde SSO-profiel instellen

Het verouderde SSO-profiel wordt ondersteund voor gebruikers die niet zijn gemigreerd naar SSO-profielen. Het ondersteunt alleen gebruik met één IdP.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik onder SSO-profielen van derden op SAML-profiel toevoegen.
  3. Klik onderaan de pagina IdP-gegevens op Naar instellingen voor verouderd SSO-profiel gaan.
  4. Vink op de pagina Verouderd SSO-profiel het vakje aan voor SSO aanzetten met identiteitsprovider van derden.
  5. Vul de volgende gegevens in voor uw IdP:
    • Voer de inlogpagina-URL en de uitlogpagina-URL van de IdP in.

      Opmerking: Alle URL's moeten worden ingevoerd en moeten beginnen met HTTPS, bijvoorbeeld https://sso.example.com.

    • Klik op Certificaat uploaden en zoek en upload het X.509-certificaat dat wordt geleverd door uw IdP. Ga voor meer informatie naar Certificaatvereisten.
    • Kies of u een domeinspecifieke uitgever wilt gebruiken in de SAML-aanvraag van Google.

      Als u meerdere domeinen met SSO gebruikt bij uw IdP, gebruikt u een domeinspecifieke uitgever om te bepalen welk domein de SAML-aanvraag heeft verstuurd.

      • Aangevinkt: Google stuurt een uitgever die specifiek is voor uw domein: google.com/a/example.com (waarbij example.com uw primaire Google Workspace-domeinnaam is)
      • Niet aangevinkt: Google stuurt de standaarduitgever in het SAML-verzoek: google.com
    • (Optioneel) Als u SSO wilt toepassen op een groep gebruikers binnen specifieke IP-adresbereiken, voert u een netwerkmasker in. Ga naar Resultaten netwerktoewijzingen voor meer informatie.

      Opmerking: U kunt ook gedeeltelijke SSO instellen door het SSO-profiel toe te wijzen aan specifieke organisatie-eenheden of groepen.

    • Vul een URL voor wachtwoord wijzigen in voor uw IdP. Gebruikers worden doorgestuurd naar de pagina van deze URL (in plaats van naar de Google-pagina voor wachtwoord wijzigen) om hun wachtwoord te resetten. Alle gebruikers, behalve hoofdbeheerders, die hun wachtwoord proberen te wijzigen op https://myaccount.google.com/, worden doorgestuurd naar de URL die u opgeeft. Deze instelling is van toepassing ongeacht netwerkmaskers en geldt zelfs als u SSO niet aanzet voor uw organisatie. Als u geen SSO en Password Sync gebruikt, wist u dit veld.
  6. Klik op Opslaan.

Nadat u heeft opgeslagen, staat het verouderde SSO-profiel in de tabel SSO-profielen.

Uw IdP configureren

Als u uw IdP wilt configureren om dit SSO-profiel te gebruiken, voert u de informatie uit het profielgedeelte Gegevens van de serviceprovider (SP) in de juiste velden in bij de SSO-instellingen van uw IdP. De ACS-URL en de entiteits-ID zijn uniek voor dit profiel.

Indeling
ACS-URL https://accounts.google.com/a/{domain.com}/acs
waarbij {domain.com} de Workspace-domeinnaam van uw organisatie is.
Entity ID (Entiteits-ID) Een van de volgende:
  • google.com
  • google.com/a/customerprimarydomain (als u een domeinspecifieke uitgever wilt gebruiken bij het configureren van het verouderde profiel).

Over verouderde ACS-URL's en SSO-profielen

Als uw organisatie het verouderde profiel heeft aangezet, accepteert Google asserties die naar de ACS-URL worden gestuurd, bijvoorbeeld https://accounts.google.com/a/uw-bedrijf.com/acs, zelfs als de gebruiker een hoofdbeheerder is of aan een ander profiel is toegewezen. De ondertekende reactie wordt geverifieerd door het certificaat van het verouderde SSO-profiel, zelfs als de gebruiker zich in een organisatie-eenheid of groep bevindt waaraan een SAML SSO-profiel is toegewezen.

Het verouderde SSO-profiel uitzetten

  1. Klik in de lijst SSO-profielen van derden op Verouderd SSO-profiel.
  2. Vink SSO aanzetten met identiteitsprovider van derden uit in de instellingen van het Verouderde SSO-profiel.
  3. Bevestig dat u wilt doorgaan en klik op Opslaan.

In de lijst SSO-profielen staat het Verouderd SSO-profiel nu Uitgezet.

  • Bij organisatie-eenheden waaraan het verouderde SSO-profiel is toegewezen, staat een waarschuwing in de kolom Toegewezen profiel.
  • Bij de organisatie-eenheid op het hoogste niveau staat Geen in de kolom Toegewezen profiel.
  • In SSO-profieltoewijzingen beheren staat het Verouderde SSO-profiel als inactief.

Migreren van verouderde SAML-profielen naar SSO-profielen

Als uw organisatie het verouderde SSO-profiel gebruikt, raden we u aan te migreren naar SSO-profielen. Deze bieden verschillende voordelen, waaronder OIDC-ondersteuning, modernere API's en meer flexibiliteit bij het toepassen van SSO-instellingen op uw gebruikersgroepen. Meer informatie.

SSO met OIDC instellen

Volg deze stappen om op OIDC gebaseerde SSO te gebruiken:

  1. Kies een OIDC-optie: maak een aangepast OIDC-profiel waarin u informatie voor uw OIDC-partner geeft of gebruik het vooraf geconfigureerde OIDC-profiel van Microsoft Entra.
  2. Volg de stappen in Bepalen welke gebruikers SSO moeten gebruiken om het vooraf geconfigureerde OIDC-profiel toe te wijzen aan specifieke organisatie-eenheden/groepen.

Als u binnen een organisatie-eenheid (bijvoorbeeld in een suborganisatie-eenheid) gebruikers heeft die SSO niet nodig hebben, kunt u ook toewijzingen gebruiken om SSO voor deze gebruikers uit te zetten.

Opmerking: Opnieuw verifiëren met OIDC wordt op dit moment niet ondersteund in de Google Cloud Command Line Interface.

Voordat u begint

Als u een aangepast OIDC-profiel wilt instellen, heeft u enkele basisgegevens nodig van de documentatie of het supportteam van uw IdP:

  • URL van uitgever: De volledige URL van de IdP-autorisatieserver.
  • Een OAuth-client, geïdentificeerd door de client-ID en geverifieerd door een clientgeheim.
  • URL voor wachtwoord wijzigen: De pagina waarop SSO-gebruikers hun wachtwoord wijzigen (in plaats van hun wachtwoord wijzigen via Google).

Google heeft je IdP ook nodig voor het volgende:

  • De email-claim van uw IdP moet overeenkomen met het primaire e-mailadres van de gebruiker bij Google.
  • Deze moet het autorisatiecodeproces gebruiken.

Een aangepast OIDC-profiel maken

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met IdP van derden.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Klik onder SSO-profielen van derden op OIDC-profiel toevoegen.
  3. Geef het OIDC-profiel een naam.
  4. Voer de OIDC-gegevens in: client-ID, URL van de uitgever en clientgeheim.
  5. Klik op Opslaan.
  6. Kopieer op de pagina met OIDC SSO-instellingen voor het nieuwe profiel de omleidings-URI. U moet uw OAuth-client bij uw IdP updaten om te reageren op verzoeken met deze URI.

Als u instellingen wilt bewerken, plaatst u de cursor op OIDC-gegevens en klikt u op Bewerken .

Het OIDC-profiel van Microsoft Entra gebruiken

Zorg dat u de volgende vereisten voor OIDC heeft ingesteld in de Microsoft Entra ID-tenant van uw organisatie:

  • De Microsoft Entra ID-tenant moet domeingeverifieerd zijn.
  • Eindgebruikers moeten een Microsoft 365-licentie hebben.
  • De gebruikersnaam (primair e-mailadres) van de Google Workspace-beheerder die het SSO-profiel toewijst, moet overeenkomen met het primaire e-mailadres van het beheerdersaccount van uw Azure AD-tenant.

Bepalen welke gebruikers SSO moeten gebruiken

Zet SSO aan voor een organisatie-eenheid of groep door een SSO-profiel en de bijbehorende IdP toe te wijzen. Of zet SSO uit door 'Geen' toe te wijzen aan het SSO-profiel. U kunt ook een gemengd SSO-beleid toepassen binnen een organisatie-eenheid of groep. U kunt bijvoorbeeld SSO aanzetten voor de hele organisatie-eenheid, maar uitzetten voor een suborganisatie-eenheid.

Als u nog geen SAML- of OIDC-profiel heeft gemaakt, doet u dat voordat u doorgaat. U kunt ook het vooraf geconfigureerde OIDC-profiel toewijzen.

  1. Klik op SSO-profieltoewijzingen beheren.
  2. Als dit de eerste keer is dat u het SSO-profiel toewijst, klikt u op Aan de slag. Klik anders op Toewijzingen beheren.
  3. Selecteer links de organisatie-eenheid of groep waaraan u het SSO-profiel toewijst.
    • Als de SSO-profieltoewijzing voor een organisatie-eenheid of groep verschilt van de domeinbrede profieltoewijzing, verschijnt er een overschrijfwaarschuwing als u die organisatie-eenheid of groep selecteert.
    • U kunt het SSO-profiel niet per gebruiker toewijzen. In de weergave Gebruikers kunt u de instelling voor een specifieke gebruiker controleren.
  4. Kies een SSO-profieltoewijzing voor de geselecteerde organisatie-eenheid of groep:
    • Kies Geen om de organisatie-eenheid of groep uit te sluiten van SSO. Gebruikers in de organisatie-eenheid of groep loggen rechtstreeks in bij Google.
    • Als u een andere IdP wilt toewijzen aan de organisatie-eenheid of groep, kiest u Een ander SSO-profiel en selecteert u het SSO-profiel in het dropdownmenu.

  5. (Alleen SAML SSO-profielen) Nadat u een SAML-profiel heeft geselecteerd, kiest u een inlogoptie voor gebruikers die rechtstreeks naar een Google-service gaan zonder eerst in te loggen bij de IdP van derden van het SSO-profiel. U kunt gebruikers om hun Google-gebruikersnaam vragen en ze vervolgens omleiden naar de IdP. U kunt ook vereisen dat gebruikers hun Google-gebruikersnaam en -wachtwoord invoeren.

    Opmerking: Als u vereist dat gebruikers hun Google-gebruikersnaam en -wachtwoord invoeren, wordt de instelling URL voor wachtwoord wijzigen van dit SAML SSO-profiel (beschikbaar via SSO-profiel > IdP-gegevens) genegeerd. Zo kunnen gebruikers hun Google-wachtwoord wijzigen als dat nodig is.

  6. Klik op Opslaan.

  7. (Optioneel) Wijs indien nodig SSO-profielen toe aan andere organisatie-eenheden of groepen.

Nadat u de kaart SSO-profieltoewijzingen beheren heeft gesloten, ziet u de geüpdatete toewijzingen voor organisatie-eenheden en groepen in het gedeelte SSO-profieltoewijzingen beheren.

Een SSO-profieltoewijzing verwijderen

  1. Klik op de naam van een groep of organisatie-eenheid om de instellingen voor profieltoewijzing te openen.
  2. Vervang de bestaande toewijzingsinstelling door de instelling van de bovenliggende organisatie-eenheid:
    • Klik voor toewijzingen van organisatie-eenheden op Overnemen.
    • Klik voor toewijzingen van groepen op Niet ingesteld.

Opmerking: Uw organisatie-eenheid op het hoogste niveau staat altijd in de lijst met profieltoewijzingen, zelfs als het profiel is ingesteld op Geen.

Zie ook:


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.