כניסה יחידה לסופר-אדמינים נתמכת רק אם משתמשים בפרופיל SSO מדור קודם, ורק במקרים מסוימים (ראו בהמשך). היא לא נתמכת בפרופילי ה-SSO החדשים יותר.
יש יתרונות וגם סיכונים במתן הרשאה לסופר-אדמינים להשתמש ב-SSO. כך שכל המשתמשים (כולל אדמינים) מאמתים את הזהות שלהם באמצעות SSO, מה שמצמצם את שטח הפנים שבו מנוהלים פרטי הכניסה של המשתמשים. אבל אם ה-IdP שלכם נפרץ, צד שלישי יכול לגשת למסוף Google Admin ולכל היבט בחשבון של הארגון.
כדי לצמצם את הסיכון הזה, אם אתם מפעילים SSO לסופר-אדמינים, מומלץ גם להפעיל אימות דו-שלבי לסופר-אדמינים גם ב-IdP וגם ב-Google.
איך משביתים את ה-SSO של סופר-אדמין
כדי להשבית את ה-SSO של סופר-אדמין, צריך להשתמש בפרופילי ה-SSO החדשים יותר. כדי לעבור מפרופיל SSO מדור קודם לפרופילי SSO, צריך לפעול לפי ההוראות האלה.
מתי סופר-אדמינים יכולים להיכנס באמצעות SSO
אם אתם משתמשים בפרופיל ה-SSO מדור קודם, סופר-אדמינים יכולים להיכנס באמצעות SSO במקרים הבאים:
- ההגדרה כתובות URL של שירותים ספציפיים לדומיין מוגדרת להפנות משתמשים באופן אוטומטי ל-IdP של הצד השלישי.
- כשהכניסה של הסופר-אדמין מתחילה על ידי ה-IdP (כניסה יחידה (SSO) ביוזמת IdP).
- אם סופר-אדמין נכנס ל-Google בהתחלה באמצעות חשבון שאינו של סופר-אדמין, ואז מספק את פרטי הכניסה של הסופר-אדמין כשהוא מופנה ל-IdP. במקרה כזה, Google תקבל את טענת הזהות של הסופר-אדמין מספק הזהויות.
כשסופר-אדמינים לא יכולים להיכנס באמצעות SSO
גם כשמשתמשים בפרופיל ה-SSO הקודם, סופר-אדמינים לא יכולים להיכנס באמצעות SSO במקרים הבאים:
מסוף Admin
כשסופר-אדמינים מנסים להיכנס לדומיין שמופעל בו SSO דרך admin.google.com, הם צריכים להזין את כתובת האימייל המלאה של חשבון האדמין שלהם ב-Google ואת הסיסמה לחשבון ב-Google (ולא את שם המשתמש והסיסמה שלהם ב-SSO), וללחוץ על כניסה כדי לגשת ישירות למסוף Admin. Google לא מפנה אותם אוטומטית לדף הכניסה של ה-SSO.
לקוח סנכרון של Google Drive
כשסופר-אדמינים נכנסים ללקוח הסנכרון של Google Drive, הם עוקפים את ה-SSO – Google לא מפנה אותם אוטומטית לדף הכניסה של ה-SSO. ההגדרה הזו חלה על ניסיונות כניסה מדפדפנים, מאפליקציות לנייד (כמו אפליקציות Drive ו-Gmail ל-iOS), מתהליך הפעלת החשבון ב-Android וכו'.