כאדמינים, אתם צריכים את הרכיבים והמאפיינים שמפורטים בטבלאות הבאות בשביל טענות נכונות (assertions) של SAML 2.0 SSO שמוחזרות ל-Google Assertion Consumer Service (ACS) אחרי שספק הזהויות (IdP) מאמת את המשתמש.
הנחיות לגבי מאפיינים
אם הגדרתם SSO באמצעות ספק זהויות של צד שלישי וטענת ה-SAML של ספק הזהויות כוללת <AttributeStatement>, Google תאחסן את המאפיינים האלה עד שתוקף הסשן של המשתמש בחשבון Google יפוג. (משך הסשן משתנה וניתן להגדרה על ידי האדמין). אחרי שהסשן בחשבון מסתיים, פרטי המאפיינים נמחקים באופן סופי תוך שבוע.
כמו מאפיינים מותאמים אישית ב-Directory, מאפייני טענת נכוֹנוּת (Assertion) לא צריכים לכלול פרטים אישיים מזהים (PII) בעלי רגישות גבוהה, כמו פרטי כניסה לחשבון, מספרי תעודות מזהות רשמיות, נתונים של בעלי כרטיסים, הנתונים בחשבון פיננסי, מידע רפואי או מידע רגיש על הרקע של המשתמש.
שימושים מומלצים למאפייני טענת נכוֹנוּת (assertion):
- מזהי משתמשים למערכות IT פנימיות
- תפקידים ספציפיים לפגישה
אפשר להעביר עד 2KB של נתוני מאפיינים בטענות הנכונות (assertion). טענות נכוֹנוּת שחורגות מהגודל המקסימלי המותר יידחו, והכניסה תיכשל.
מערכי תווים נתמכים
קבוצת התווים הנתמכת תלויה בשאלה אם אתם משתמשים בפרופילי SSO או בפרופיל ה-SSO הקודם:
- פרופיל SSO מדור קודם – ערכי המאפיינים חייבים להיות מחרוזות ASCII נמוכות (אין תמיכה בתווי Unicode/UTF-8 והם יגרמו לכשל בכניסה).
- פרופילי SSO – יש תמיכה בתווי Unicode/UTF-8.
החזרת טענות נכוֹנוּת (assertions) ל-ACS
פתרון בעיות
כדי לפתור בעיות שקשורות לטענות הנכונות האלה, אפשר להשתמש בכלי לבדיקת הרשת. הוראות מפורטות זמינות בדף HAR Analyzer בארגז הכלים של Google Admin.
אם אתם צריכים לפנות לתמיכה, השתמשו בחשבון בדיקה חד-פעמי כי קובץ ה-HTTP Archive (HAR) מכיל את שם המשתמש והסיסמה בטקסט פשוט. לחלופין, אפשר לערוך את הקובץ כדי למחוק אינטראקציות רגישות בין המשתמש לבין ה-IdP. פנו לצוות התמיכה למשתמשי Google Workspace.
ה-SAMLRequest שנשלח ל-IdP מכיל את ה-AssertionConsumerServiceURL הרלוונטי. אם ה-SAMLResponse נשלח לכתובת URL אחרת, יכול להיות שיש בעיה בהגדרות של ה-IdP.
שימוש ברכיבים ובמאפיינים – פרופילי SSO
רכיב מזהה השם
| שדה | הרכיב NameID ברכיב Subject. |
|---|---|
| תיאור |
NameID מזהה את הנושא, שהוא כתובת האימייל הראשית של המשתמש. הוא תלוי אותיות רישיות. |
|
חובה ערך |
user@example.com |
| דוגמה | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
מאפיין הנמען
| שדה | המאפיין Recipient ברכיב SubjectConfirmationData |
|---|---|
| תיאור |
נמען מציין את כתובת ה-URL של Assertion Consumer Service של ספק השירות שאליו מיועדת ההצהרה. |
|
חובה ערך |
ערך כתובת ה-URL של ה-ACS מהקטע של פרטי ספק השירות (SP) בפרופיל ה-SSO. |
| דוגמה | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
רכיב הקהל
| שדה | הרכיב Audience ברכיב ההורה AudienceRestriction |
|---|---|
| תיאור |
קהל הוא הפניה ל-URI שמזהה את הקהל המיועד של ההצהרה. |
|
חובה ערך |
הערך של מזהה הישות מהקטע של פרטי ספק השירות (SP) בפרופיל ה-SSO. |
| דוגמה |
|
מאפיין היעד
| שדה | המאפיין Destination של הרכיב Response |
|---|---|
| תיאור |
Destination היא הפניה ל-URI שמציינת את הכתובת שאליה נשלחה התגובה הזו. |
|
חובה ערך |
זהו מאפיין אופציונלי. אם הוא מוגדר, הוא צריך להיות הערך של כתובת ה-URL של ה-ACS מהקטע של פרטי ספק השירות (SP) בפרופיל ה-SSO. |
| דוגמה | <saml:Response |
שימוש ברכיבים ובמאפיינים – פרופיל SSO מדור קודם
הערה: טענת הנכוֹנוּת (assertion) של SAML יכולה להכיל רק תווים רגילים של ASCII.
רכיב מזהה השם
| שדה | הרכיב NameID ברכיב Subject. |
|---|---|
| תיאור |
NameID מזהה את הנושא, שהוא כתובת האימייל הראשית של המשתמש. הוא תלוי אותיות רישיות. |
|
חובה ערך |
user@example.com |
| דוגמה | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
מאפיין הנמען
| שדה | המאפיין Recipient ברכיב SubjectConfirmationData |
|---|---|
| תיאור |
Recipient מציין נתונים נוספים שנדרשים לנושא. example.com הוא כנראה הדומיין הראשי של חשבון Google Workspace או Cloud Identity שלכם, גם אם המשתמש שעובר אימות משתמש בדומיין משני באותו חשבון Google Workspace או Cloud Identity. |
|
חובה ערך |
https://www.google.com/a/example.com/acs או https://accounts.google.com/a/example.com/acs |
| דוגמה | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
רכיב הקהל
| שדה | הרכיב Audience ברכיב ההורה AudienceRestriction |
|---|---|
| תיאור |
קהל הוא מזהה המשאב האחיד (URI) שמזהה את קהל היעד שנדרש לו הערך של ה-URI של ה-ACS. example.com הוא כנראה הדומיין הראשי של חשבון Google Workspace או Cloud Identity שלכם, גם אם המשתמש שעובר אימות משתמש בדומיין משני באותו חשבון Google Workspace או Cloud Identity. הערך של הרכיב הזה לא יכול להיות ריק. |
|
חובה ערך |
אחת מהאפשרויות הבאות:
|
| דוגמה |
|
מאפיין היעד
| שדה | המאפיין Destination של הרכיב Response |
|---|---|
| תיאור |
Destination הוא ה-URI שאליו נשלחת טענת הנכוֹנוּת (assertion) של SAML. זהו מאפיין אופציונלי, אבל אם הוא מוצהר, צריך להזין בו את הערך של ה-URI של ה-ACS. example.com הוא כנראה הדומיין הראשי של חשבון Google Workspace או Cloud Identity שלכם, גם אם המשתמש שעובר אימות משתמש בדומיין משני באותו חשבון Google Workspace או Cloud Identity. |
|
חובה ערך |
https://www.google.com/a/example.com/acs או https://accounts.google.com/a/example.com/acs |
| דוגמה | <samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" |