Single sign-on voor hoofdbeheerders wordt alleen ondersteund als u het verouderde SSO-profiel gebruikt en alleen in sommige gevallen (meer informatie hieronder). De functie wordt niet ondersteund door de nieuwere SSO-profielen.
SSO toestaan voor hoofdbeheerders heeft zowel voordelen als risico's. Als u alle gebruikers (inclusief beheerders) laat verifiëren via SSO, minimaliseert u het gebied waarin gebruikersgegevens worden beheerd. Maar als uw IdP wordt gehackt, heeft een derde toegang tot de Google Beheerdersconsole en elk aspect van het account van uw organisatie.
Als u SSO aanzet voor hoofdbeheerders, raden we u aan ook tweestapsverificatie aan te zetten voor hoofdbeheerders bij zowel uw IdP als Google om dit risico te verkleinen.
SSO voor hoofdbeheerders uitzetten
Als u SSO voor hoofdbeheerders wilt uitzetten, gebruikt u de nieuwere SSO-profielen. Volg deze instructies om te migreren van het verouderde SSO-profiel naar SSO-profielen.
Wanneer hoofdbeheerders kunnen inloggen met SSO
Als u het verouderde SSO-profiel gebruikt, kunnen hoofdbeheerders in de volgende gevallen inloggen met SSO:
- Domeinspecifieke service-URL's is ingesteld om gebruikers automatisch om te leiden naar de IdP van derden.
- Wanneer de inlogprocedure voor hoofdbeheerders wordt gestart door de IdP (door de IdP gestarte SSO).
- Als een hoofdbeheerder in eerste instantie inlogt bij Google met een niet-hoofdbeheerdersaccount en daarna de inloggegevens van de hoofdbeheerder opgeeft wanneer die wordt omgeleid naar de IDP. In dit geval accepteert Google de identiteitsassertie van de hoofdbeheerder van de IdP.
Wanneer hoofdbeheerders niet kunnen inloggen met SSO
Zelfs als u het verouderde SSO-profiel gebruikt, kunnen hoofdbeheerders in de volgende gevallen niet inloggen met SSO:
Beheerdersconsole
Als hoofdbeheerders proberen in te loggen bij een domein met SSO via admin.google.com, moeten ze het volledige e-mailadres van hun Google-beheerdersaccount en het bijbehorende Google-wachtwoord invoeren (niet hun SSO-gebruikersnaam en -wachtwoord) en klikken op Inloggen om de Beheerdersconsole rechtstreeks te openen. Google leidt ze niet naar de SSO-inlogpagina.
Google Drive-synchronisatieclient
Als hoofdbeheerders inloggen bij de Google Drive-synchronisatieclient, slaan ze SSO over. Google leidt ze niet naar de SSO-inlogpagina. Dit geldt als ze inloggen via browsers, mobiele apps (zoals de iOS Drive- en Gmail-apps), de activatiestroom van Android-accounts etc.