基于 SAML 的单点登录的技术概览

借助单点登录 (SSO)，用户可以访问多个应用，而无需为各个应用输入用户名和密码。安全断言标记语言 (SAML) 是一种 XML 标准，可让安全网络网域交换用户身份验证和授权数据。

服务提供商和身份提供方的角色

Google 提供了基于 SAML 的单点登录服务，合作伙伴公司可以通过它对尝试访问安全内容的托管用户进行授权和身份验证。Google 充当在线服务提供商，提供 Google 日历和 Gmail 等服务。Google 合作伙伴则作为在线身份提供方，为 Google 托管的 Web 应用控制用户名、密码及其他用来对用户进行识别、身份验证和授权的信息。

许多开源和商业身份提供方都可以帮助您在 Google 上实现单点登录。

SAML 验证证书

要通过第三方 IdP 设置单点登录，并将 Google 作为服务提供商，您需要上传一个或多个验证证书。证书包含用于验证来自 IdP 的登录的公钥。

  • 如果您要为贵组织配置第三方单点登录配置文件，请上传一个验证证书。
  • 如果您要创建新的 SAML 单点登录配置文件，则可以上传两个证书，这样就可以选择轮流使用证书。

您通常可从 IdP 获取这些证书。不过，您也可以自行生成它们。

要求

  • 证书必须是 PEM 或 DER 格式的 X.509 证书，并包含嵌入的公钥。
  • 公钥必须采用 DSA 或 RSA 算法生成。
  • 证书中的公钥必须与用于签署 SAML 响应的私钥匹配。

SAML v2.0 规范