Система единого входа для суперадминистраторов поддерживается, только если вы используете устаревший профиль SSO и только в определенных случаях (описаны ниже). Она не поддерживается более новыми профилями SSO.
Использование SSO суперадминистраторами имеет как преимущества, так и определенные риски. Если все пользователи (включая администраторов) будут выполнять аутентификацию с помощью SSO, это минимизирует количество систем, применяемых для управления учетными данными пользователей. Однако в случае взлома систем поставщика идентификационной информации злоумышленник может получить доступ к консоли администратора Google и всем аспектам аккаунта организации.
Если вы включите SSO для суперадминистраторов, рекомендуем также активировать двухэтапную аутентификацию для суперадминистраторов как у поставщика идентификационной информации, так и в Google. Это поможет снизить риск.
Как отключить SSO для суперадминистраторов
Чтобы отключить SSO для суперадминистраторов, используйте более новые профили SSO. Подробнее о том, как перейти с устаревшего профиля SSO на новые профили SSO…
Условия, при которых суперадминистраторы могут использовать SSO
Если вы используете устаревший профиль SSO, суперадминистраторы могут входить с помощью SSO в следующих случаях:
- Для параметра URL сервисов, относящиеся к домену, задано автоматическое перенаправление пользователей на сайт стороннего поставщика идентификационной информации.
- Если вход суперадминистратора инициировал поставщик идентификационной информации (система единого входа, инициируемая поставщиком идентификационной информации).
- Если суперадминистратор изначально вошел в Google, используя аккаунт администратора, а после перенаправления к поставщику идентификационной информации предоставил учетные данные суперадминистратора. В этом случае Google примет утверждение идентификационной информации суперадминистратора от поставщика.
Условия, при которых суперадминистраторы не могут использовать SSO
Даже при использовании устаревшего профиля SSO суперадминистраторы не могут входить с помощью SSO в описанных ниже случаях.
Консоль администратора
Чтобы войти в консоль администратора на странице admin.google.com, суперадминистратор должен ввести учетные данные не для SSO, а для сервисов Google (полный адрес электронной почты и пароль своего аккаунта Google), а затем нажать кнопку Войти. При этом суперадминистраторы не перенаправляются на страницу системы единого входа.
Клиент синхронизации для Google Диска
Когда суперадминистраторы входят в клиент синхронизации для Google Диска, Google не перенаправляет их на страницу системы единого входа. Этот механизм действует для всех устройств, программ и сервисов, включая браузеры, мобильные приложения (например, Диск и Gmail для iOS), процедуру активации аккаунта Android и т. д.