כאדמינים, אתם צריכים את הרכיבים והמאפיינים שמפורטים בטבלאות הבאות עבור טענות נכונות (assertions) של SAML 2.0 SSO שמוחזרות ל-Google Assertion Consumer Service (ACS) אחרי שספק הזהויות (IdP) אימת את המשתמש.
הנחיות לגבי מאפיינים
אם הגדרתם כניסה יחידה (SSO) באמצעות ספק זהויות (IdP) של צד שלישי והצהרת ה-SAML של ספק הזהויות כוללת <AttributeStatement>, Google תשמור את המאפיינים האלה עד שתוקף הסשן של חשבון Google של המשתמש יפוג. (אורך הסשן משתנה וניתן להגדרה על ידי האדמין). אחרי שתוקף הסשן בחשבון יפוג, פרטי המאפיינים יימחקו באופן סופי תוך שבוע.
בדומה למאפיינים מותאמים אישית בספרייה, מאפייני הצהרה לא צריכים לכלול פרטים אישיים מזהים (PII) רגישים, כמו פרטי כניסה לחשבון, מספרי תעודות מזהות ממשלתיות, נתוני בעלי כרטיסים, נתונים של חשבונות פיננסיים, מידע רפואי או מידע רגיש על הרקע.
שימושים מומלצים במאפייני הצהרה:
- מזהי משתמשים למערכות IT פנימיות
- תפקידים ספציפיים לסשן
אפשר להעביר עד 2KB של נתוני מאפיינים בהצהרות. טענות שחורגות מהגודל המקסימלי המותר יידחו לחלוטין, ויגרמו לכניסה להיכשל.
מערכות תווים נתמכות
קבוצת התווים הנתמכת תלויה בשאלה אם משתמשים בפרופילי SSO או בפרופיל ה-SSO מדור קודם:
- פרופיל SSO מדור קודם – ערכי המאפיינים צריכים להיות מחרוזות ASCII נמוכות (אין תמיכה בתווי Unicode/UTF-8, והם יגרמו לכניסה להיכשל).
- פרופילי SSO – יש תמיכה בתווי Unicode/UTF-8.
החזרת טענות ל-ACS
פתרון בעיות
כדי לפתור בעיות שקשורות להצהרות האלה, אפשר להשתמש בכלי לבדיקת רשת. הוראות מפורטות זמינות בדף HAR Analyzer בארגז הכלים של Google Admin.
אם אתם צריכים לפנות לתמיכה, השתמשו בחשבון בדיקה זמני כי הקובץ שנוצר ב-HTTP Archive (HAR) מכיל את שם המשתמש והסיסמה בטקסט רגיל. לחלופין, אפשר לערוך את הקובץ כדי למחוק אינטראקציות רגישות בין המשתמש לבין ספק הזהויות. פנו לתמיכה של Google Workspace.
ה-SAMLRequest שנשלח ל-IdP מכיל את ה-AssertionConsumerServiceURL הרלוונטי. אם ה-SAMLResponse נשלח לכתובת URL אחרת, יכול להיות שיש בעיה בהגדרות של ספק הזהויות (IdP).
שימוש ברכיבים ובמאפיינים – פרופילי SSO
רכיב מזהה השם
| שדה | רכיב NameID ברכיב Subject. |
|---|---|
| תיאור |
NameID מזהה את הנושא, שהוא כתובת האימייל הראשית של המשתמש. הוא תלוי אותיות רישיות. |
|
חובה ערך |
user@example.com |
| דוגמה | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
מאפיין נמען
| שדה | המאפיין Recipient באלמנט SubjectConfirmationData |
|---|---|
| תיאור |
הנמען מציין את כתובת ה-URL של Assertion Consumer Service של ספק השירות שאליו מיועדת ההצהרה. |
|
חובה ערך |
הערך של כתובת ה-URL של ACS מקטע הפרטים של ספק השירות (SP) בפרופיל ה-SSO. |
| דוגמה | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
רכיב קהל
| שדה | רכיב Audience ברכיב האב AudienceRestriction |
|---|---|
| תיאור |
קהל הוא הפניה ל-URI שמזהה את הקהל המיועד של הטענה. |
|
חובה ערך |
הערך של מזהה היישות מקטע הפרטים של ספק השירות (SP) בפרופיל ה-SSO. |
| דוגמה |
|
מאפיין יעד
| שדה | מאפיין היעד של רכיב התגובה |
|---|---|
| תיאור |
יעד הוא הפניה ל-URI שמציינת את הכתובת שאליה התשובה הזו נשלחה. |
|
חובה ערך |
זהו מאפיין אופציונלי. אם הוא מוגדר, הוא צריך להיות ערך כתובת ה-URL של ACS מקטע הפרטים של ספק השירות (SP) בפרופיל הכניסה היחידה. |
| דוגמה | <saml:Response |
שימוש ברכיבים ובמאפיינים – פרופיל SSO מדור קודם
הערה: הצהרת ה-SAML יכולה להכיל רק תווים רגילים מסוג ASCII.
רכיב מזהה השם
| שדה | רכיב NameID ברכיב Subject. |
|---|---|
| תיאור |
NameID מזהה את הנושא, שהוא כתובת האימייל הראשית של המשתמש. הוא תלוי אותיות רישיות. |
|
חובה ערך |
user@example.com |
| דוגמה | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
מאפיין נמען
| שדה | המאפיין Recipient באלמנט SubjectConfirmationData |
|---|---|
| תיאור |
מקבל מציין נתונים נוספים שנדרשים לגבי הנושא. example.com הוא כנראה הדומיין הראשי של חשבון Google Workspace או Cloud Identity שלכם, גם אם המשתמש שעובר אימות משתמש בדומיין משני באותו חשבון Google Workspace או Cloud Identity. |
|
חובה ערך |
https://www.google.com/a/example.com/acs או https://accounts.google.com/a/example.com/acs |
| דוגמה | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
רכיב קהל
| שדה | רכיב Audience ברכיב האב AudienceRestriction |
|---|---|
| תיאור |
קהל הוא מזהה משאב אחיד (URI) שמזהה את קהל היעד שנדרש לו הערך של ה-URI של ACS. example.com הוא כנראה הדומיין הראשי של חשבון Google Workspace או Cloud Identity שלכם, גם אם המשתמש שעובר אימות משתמש בדומיין משני באותו חשבון Google Workspace או Cloud Identity. הערך של הרכיב הזה לא יכול להיות ריק. |
|
חובה ערך |
אחת מהאפשרויות הבאות:
|
| דוגמה |
|
מאפיין יעד
| שדה | מאפיין היעד של רכיב התגובה |
|---|---|
| תיאור |
יעד הוא מזהה המשאבים האחיד (URI) של המקום שאליו נשלחת טענת הנכוֹנוּת (assertion) של SAML. זהו מאפיין אופציונלי, אבל אם הוא מוצהר, צריך לציין בו את ערך ה-URI של ACS. example.com הוא כנראה הדומיין הראשי של חשבון Google Workspace או Cloud Identity שלכם, גם אם המשתמש שעובר אימות משתמש בדומיין משני באותו חשבון Google Workspace או Cloud Identity. |
|
חובה ערך |
https://www.google.com/a/example.com/acs או https://accounts.google.com/a/example.com/acs |
| דוגמה | <samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" |