Als Administrator müssen Sie sicherstellen, dass die in den folgenden Tabellen aufgeführten Elemente und Attribute für SAML 2.0 SSO-Assertions an den Google Assertion Consumer Service (ACS) gesendet werden, nachdem der Nutzer vom Identitätsanbieter authentifiziert wurde.
Anleitung für Attribute
Wenn Sie die Einmalanmeldung (SSO) über einen externen Identitätsanbieter eingerichtet haben und die SAML-Assertion Ihres IdP ein <AttributeStatement> enthält, speichert Google diese Attribute, bis die Google-Konto-Sitzung des Nutzers abläuft. Die Sitzungslänge variiert und kann vom Administrator konfiguriert werden. Nach Ablauf der Kontositzung werden die Attributinformationen innerhalb einer Woche endgültig gelöscht.
Wie bei benutzerdefinierten Attributen im Verzeichnis sollten Assertion-Attribute keine vertraulichen personenidentifizierbaren Informationen enthalten, z. B. Anmeldedaten für Konten, behördliche Identifikationsnummern, Karteninhaberdaten, Finanzdaten, Gesundheitsdaten oder vertrauliche Hintergrundinformationen.
Empfohlene Verwendungen für Assertion-Attribute:
- Nutzer-IDs für interne IT-Systeme
- Sitzungsspezifische Rollen
Sie können in Ihren Assertions maximal 2 KB an Attributdaten übergeben. Assertions, die die maximal zulässige Größe überschreiten, werden vollständig abgelehnt. Dadurch kann die Anmeldung fehlschlagen.
Unterstützte Zeichensätze
Der unterstützte Zeichensatz hängt davon ab, ob Sie SSO-Profile oder das alte SSO-Profil verwenden:
- Älteres SSO-Profil: Attributwerte müssen niedrige ASCII-Strings sein. Unicode-/UTF-8-Zeichen werden nicht unterstützt und führen dazu, dass die Anmeldung fehlschlägt.
- SSO-Profile: Unicode-/UTF-8-Zeichen werden unterstützt.
Assertions an den ACS senden
Fehlerbehebung
Zur Fehlerbehebung stehen Ihnen Tools zur Netzwerkanalyse zur Verfügung. Eine Anleitung finden Sie auf der Seite HAR Analyzer der Google Admin Toolbox.
Wenn Sie den Support kontaktieren müssen, verwenden Sie ein Einweg-Testkonto, da die HTTP-Archiv-Erfassung (HAR) den Nutzernamen und das Passwort im Klartext enthält. Alternativ können Sie auch die sensiblen Interaktionen zwischen dem Nutzer und dem Identitätsanbieter aus der Datei löschen. Google Workspace-Support kontaktieren
Die SAML-Anfrage, die an Ihren Identitätsanbieter gesendet wird, enthält die relevante AssertionConsumerServiceURL. Wird die SAML-Antwort nicht an diese, sondern an eine andere URL gesendet, ist der Identitätsanbieter möglicherweise falsch konfiguriert.
Elemente und Attribute verwenden – SSO-Profile
Element „NameID“
| Feld | NameID-Element im Subject-Element. |
|---|---|
| Beschreibung |
NameID steht für die primäre E-Mail-Adresse des Nutzers. Es wird zwischen Groß- und Kleinschreibung unterschieden. |
|
Erforderlich Wert |
nutzer@beispiel.de |
| Beispiel | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
Attribut „Recipient“
| Feld | Attribut Recipient im Element SubjectConfirmationData |
|---|---|
| Beschreibung |
Mit Recipient wird die Assertion Consumer Service-URL des Dienstanbieters angegeben, für den die Assertion bestimmt ist. |
|
Erforderlich Wert |
Der Wert für die ACS-URL aus dem Abschnitt „Details zum Dienstanbieter“ des SSO-Profils. |
| Beispiel | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
Zielgruppenelement
| Feld | Element Audience im übergeordneten Element AudienceRestriction |
|---|---|
| Beschreibung |
Audience ist eine URI-Referenz, die die gewünschte Zielgruppe der Assertion identifiziert. |
|
Erforderlich Wert |
Der Wert für die Entitäts-ID aus dem Abschnitt mit den Details zum Dienstanbieter des SSO-Profils. |
| Beispiel |
|
Attribut „Ziel“
| Feld | Destination-Attribut des Response-Elements |
|---|---|
| Beschreibung |
Destination ist ein URI-Verweis, der die Adresse angibt, an die diese Antwort gesendet wurde. |
|
Erforderlich Wert |
Dies ist ein optionales Attribut. Wenn es festgelegt ist, sollte es der ACS-URL-Wert aus dem Abschnitt mit den Details zum Dienstanbieter (SP) des SSO-Profils sein. |
| Beispiel | <saml:Response |
Elemente und Attribute verwenden – Legacy-SSO-Profil
Hinweis: Die SAML-Assertion darf nur standardmäßige ASCII-Zeichen enthalten.
Element „NameID“
| Feld | NameID-Element im Subject-Element. |
|---|---|
| Beschreibung |
NameID steht für die primäre E-Mail-Adresse des Nutzers. Es wird zwischen Groß- und Kleinschreibung unterschieden. |
|
Erforderlich Wert |
nutzer@beispiel.de |
| Beispiel | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
Attribut „Recipient“
| Feld | Attribut Recipient im Element SubjectConfirmationData |
|---|---|
| Beschreibung |
Recipient gibt zusätzliche Daten an, die für "Subject" erforderlich sind. example.com ist wahrscheinlich die primäre Domain Ihres Google Workspace- oder Cloud Identity-Kontos, auch wenn der zu authentifizierende Nutzer eine sekundäre Domain im selben Google Workspace- oder Cloud Identity-Konto verwendet. |
|
Erforderlich Wert |
https://www.google.com/a/example.com/acs oder https://accounts.google.com/a/example.com/acs |
| Beispiel | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
Zielgruppenelement
| Feld | Element Audience im übergeordneten Element AudienceRestriction |
|---|---|
| Beschreibung |
Audience ist der Uniform Resource Identifier (URI), mit dem die Zielgruppe identifiziert wird, die den Wert des ACS-URI erfordert. example.com ist wahrscheinlich die primäre Domain Ihres Google Workspace- oder Cloud Identity-Kontos, auch wenn der zu authentifizierende Nutzer eine sekundäre Domain im selben Google Workspace- oder Cloud Identity-Konto verwendet. Der Wert dieses Elements darf nicht leer sein. |
|
Erforderlich Wert |
Eine der folgenden:
|
| Beispiel |
|
Attribut „Ziel“
| Feld | Destination-Attribut des Response-Elements |
|---|---|
| Beschreibung |
Destination ist der URI, an den die SAML-Assertion gesendet werden soll. Das Attribut ist optional. Wenn es angegeben wird, ist dafür der Wert des ACS-URI erforderlich. example.com ist wahrscheinlich die primäre Domain Ihres Google Workspace- oder Cloud Identity-Kontos, auch wenn der zu authentifizierende Nutzer eine sekundäre Domain im selben Google Workspace- oder Cloud Identity-Konto verwendet. |
|
Erforderlich Wert |
https://www.google.com/a/example.com/acs oder https://accounts.google.com/a/example.com/acs |
| Beispiel | <samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" |