Die Einmalanmeldung (SSO) für Super Admins wird nur unterstützt, wenn Sie das Legacy-SSO-Profil verwenden, und nur in einigen Fällen (siehe unten). Es wird von den neueren SSO-Profilen nicht unterstützt.
Die Einmalanmeldung für Super Admins hat sowohl Vorteile als auch Risiken. Wenn sich alle Nutzer (einschließlich Administratoren) per SSO authentifizieren, wird die Angriffsfläche für die Verwaltung von Nutzeranmeldedaten minimiert. Wenn Ihr IdP jedoch manipuliert wird, kann ein Dritter auf die Admin-Konsole und alle Aspekte des Kontos Ihrer Organisation zugreifen.
Wenn Sie SSO für Super Admins aktivieren, empfehlen wir Ihnen, auch die Bestätigung in zwei Schritten für Super Admins sowohl bei Ihrem IdP als auch bei Google zu aktivieren, um dieses Risiko zu verringern.
SSO für Super Admins deaktivieren
Wenn Sie SSO für Super Admins deaktivieren möchten, verwenden Sie die neueren SSO-Profile. Anleitung zur Migration vom Legacy-SSO-Profil zu SSO-Profilen
Wann sich Super Admins mit SSO anmelden können
Wenn Sie das Legacy-SSO-Profil verwenden, können sich Super Admins in folgenden Fällen mit SSO anmelden:
- Die Einstellung Domainspezifische Dienst-URLs ist so konfiguriert, dass Nutzer automatisch an den externen IdP weitergeleitet werden.
- Wenn die Anmeldung des Super Admins vom IdP initiiert wird (vom IdP initiierte Einmalanmeldung (SSO)).
- Wenn sich ein Super Admin zuerst mit einem Administratorkonto ohne Super Admin-Berechtigungen in Google anmeldet und dann seine Super Admin-Anmeldedaten angibt, wenn er zum IdP weitergeleitet wird. In diesem Fall akzeptiert Google die Identitätsbestätigung des Super Admins vom IdP.
Wann Super Admins sich nicht mit SSO anmelden können
Auch wenn Sie das Legacy-SSO-Profil verwenden, können sich Super Admins in folgenden Fällen nicht mit SSO anmelden:
Admin-Konsole
Wenn Super Admins versuchen, sich in einer Domain mit Einmalanmeldung auf der Seite admin.google.com anzumelden, müssen sie die vollständige E-Mail-Adresse des Google-Administratorkontos und das zugehörige Google-Passwort eingeben (nicht den Nutzernamen und das Passwort für die Einmalanmeldung) und auf Anmelden klicken, um direkt auf die Admin-Konsole zuzugreifen. Sie werden von Google nicht zur SSO-Anmeldeseite weitergeleitet.
Google Drive-Synchronisierungsclient
Wenn Super Admins sich im Sync-Client für Google Drive anmelden, umgehen sie die SSO. Sie werden von Google nicht zur SSO-Anmeldeseite weitergeleitet. Dies gilt für Anmeldeversuche über Browser, mobile Apps wie die iOS Drive App und die Gmail App, den Android-Konto-Aktivierungsprozess usw.