Configurar o SSO e o provisionamento de usuários entre o Microsoft Entra ID e o ChromeOS

Como administrador, você pode configurar o provisionamento de usuários e o Logon único (SSO) entre um locatário com ID do Microsoft Entra e sua conta do Google Workspace ou do Cloud Identity. Assim, seus usuários poderão fazer login em uma página de autenticação do Microsoft Entra ID em vez da tela de login do Google nos dispositivos ChromeOS.

Com o suporte para Logon único (SSO) da Linguagem de marcação para autorização de segurança (SAML) para dispositivos ChromeOS, os usuários podem fazer login em um dispositivo com os mesmos mecanismos de autenticação que você usa em toda a organização. As senhas deles podem ficar armazenadas no provedor de identidade (IdP) da organização. Fazer login é muito semelhante a fazer login em uma conta do Google Workspace em um navegador via SSO de SAML. No entanto, como o usuário faz login em um dispositivo, há várias considerações adicionais.

Antes de começar

• Seu domínio é configurado no Microsoft Entra ID e no Google (Workspace ou Cloud Identity).
• Os nomes das contas de usuário são os mesmos para o Microsoft Entra ID e o Google. O diretório de ID do Microsoft Entra contém seu domínio como um subdomínio registrado.
• Essas etapas não exigem uma federação local, como o Active Directory Federation Services (ADFS) No entanto, eles dependem do serviço equivalente baseado na nuvem que acompanha o nível gratuito do Microsoft Entra ID.

Orientações

Etapa 1: criar um app empresarial

1. Faça login no Portal do Microsoft Azure.
2. Na caixa de pesquisa na parte de cima da tela, digite enterprise application e selecione- uma opção na lista de resultados da pesquisa.
3. Na parte de cima do painel de aplicativos empresariais, clique em New application.
4. Em "Cloud platforms", clique em Google Cloud Platform.
5. Clique em Google Cloud/G Suite Connector by Microsoft.
6. Em "Name", digite Google Cloud/G Suite Connector by Microsoft.
7. Clique em Create.

Etapa 2: atribuir um usuário específico ao app empresarial

Ainda no portal do Microsoft Azure:

1. À esquerda, em "Manage", clique em Users and groups. Na página "Overview", clique em Assign users and groups em "Getting started".
2. Na parte de cima do painel "Users and groups", clique em Add user/group.
3. No painel "Add Assignment", à esquerda, em "Users", clique em None selected.
4. No painel "Users", selecione o usuário que você quer.
5. Clique em Select.
6. No painel "Add Assignment", clique em Assign.

Etapa 3: configurar o SSO com SAML

Ainda no portal do Microsoft Azure:

1. À esquerda, em "Manage", clique em Single sign-on.
2. Selecione um método de Logon único. Clique em SAML.
3. Na página de login baseado em SAML, acesse Basic SAML Configuration.
4. Clique em Edit.
5. Configure o identificador (ID da entidade). Adicione os URLs:
   • google.com/a/seudominio.com
   • https://google.com/a/seudominio.com
6. Configure o URL de resposta (URL de serviço de declaração de consumidor):
   1. Adicione os URLs:
      • https://www.google.com/acs
      • https://www.google.com/a/seudominio.com/acs
   2. Defina o padrão:
      • Ao lado de https://www.google.com/a/seudominio.com/acs, marque a caixa Default.
7. Configure o URL de login. Adicione o URL:
   • https://www.google.com/a/seudominio.com/credential?continue=https://mail.google.com
8. Clique em Save.
9. Faça o download da versão Base64 do certificado:
   1. Ainda na página de login baseado em SAML, acesse Certificado de assinatura SAML.
   2. Ao lado de "Certificate (Base64)", clique em Download.
10. Reúna as informações necessárias para configurar o aplicativo Google Cloud/G Suite Connector by Microsoft e vinculá-lo ao ID do Microsoft Entra:
    1. Ainda na página de login baseada em SAML, acesse Configurar o Google Cloud / G Suite Connector by Microsoft.
    2. Copie os URLs:
       • URL de login: a página em que os usuários fazem login no seu sistema e no Google Workspace.
       • URL de saída: a página para onde os usuários são redirecionados após sair.

Etapa 4: configurar o SSO do Microsoft Entra

Definir as configurações do IdP de terceiros

1. Faça login no Google Admin Console.

   Use sua conta de administrador (não termina em @gmail.com).

2.  No Admin Console, acesse Menu  SegurançaVisão geral.
3. Clique em Configurar Logon único (SSO) com um IdP de terceiros.
4. Clique em ADICIONAR PERFIL DE SSO.
5. Marque a caixa Configurar SSO com o provedor de identidade terceirizado.
6. Digite os URLs do IdP de terceiros:
   1. URL da página de login: cole o URL de login que você copiou na Etapa 3 acima.
   2. URL da página para sair: cole o URL de saída que você copiou na Etapa 3 acima.
      Observação: os URLs precisam usar HTTPS.
7. Clique em Substituir certificado.
8. Selecione o arquivo que você quer usar e clique em Abrir.
9. Clique na caixa Usar um emissor específico do domínio.
10. Em "URL para alteração de senha", digite o seguinte:
    • https://account.activedirectory.windowsazure.com/changepassword.aspx
11. Clique em Salvar.

Definir as configurações do usuário

Ainda no Admin Console:

1. No Admin Console, acesse Menu  DispositivosChromeConfigurações. A página Configurações do navegador e usuário é aberta por padrão.

   Se você se inscreveu no Gerenciamento de nuvem do navegador Chrome, acesse Menu  Navegador ChromeConfigurações.

2. Para aplicar a configuração a todos os usuários e navegadores inscritos, deixe a unidade organizacional principal selecionada. Caso contrário, selecione uma unidade organizacional filha.
3. Acesse Segurança.
4. Em "Logon único", selecione Ativar Logon único baseado em SAML para dispositivos Chrome.
5. (Opcional) Na frequência de login com Logon único via SAML, digite um valor menor do que o prazo de validade da senha. Veja mais detalhes sobre a configuração em Definir políticas do Chrome para usuários ou navegadores.
6. Clique em Salvar.

Definir configurações do dispositivo

Ainda no Admin Console:

1. Na parte de cima da página, clique em Configurações do dispositivo. Na página inicial do Admin Console, acesse DispositivosChromeConfiguraçõesDispositivo.
2. Para aplicar a configuração a todos os usuários e navegadores inscritos, deixe a unidade organizacional principal selecionada. Caso contrário, selecione uma unidade organizacional filha.
3. Acesse Configurações de login.
4. Em "Redirecionamento do IdP com Logon único", selecione Permitir que os usuários acessem diretamente a página do IdP de Logon único via SAML. Veja detalhes sobre a configuração em Definir políticas de dispositivos Chrome.
5. Em "Comportamento do cookie de Logon único", selecione Ativar a transferência de cookies de Logon único via SAML na sessão do usuário durante o login. Veja detalhes sobre a configuração em Definir políticas de dispositivos Chrome.
6. Clique em Salvar.

Etapa 5: testar os dispositivos ChromeOS

1. Ative um dispositivo ChromeOS gerenciado.
2. Na página "Fazer login no Chromebook", clique em Próxima.
3. Na página de login da Microsoft, digite seu nome de usuário do Active Directory.
4. Clique em Next.
5. Digite sua senha.
6. Clique em Sign in.
7. Para permanecer na conta e acessar a sessão do usuário, clique em Yes.

Etapa 6: configurar o provisionamento de usuários com o ID do Microsoft Entra

Ao se inscrever no Cloud Identity ou no Google Workspace, você criou uma conta de superadministrador. Embora você possa usá-la para o ID do Microsoft Entra, recomendamos criar uma conta de superadministrador separada para ser usada exclusivamente pelo ID do Microsoft Entra.

Criar usuário

1. Faça login no Google Admin Console.

   Use sua conta de administrador (não termina em @gmail.com).

2. No Admin Console, acesse Menu  DiretórioUsuários.
3. Na parte de cima da página, clique em Adicionar novo usuário.

   

4. Digite as informações da conta. Veja mais detalhes em Adicionar uma conta para um novo usuário.
5. Clique em Adicionar novo usuário.
6. Clique em Concluído para terminar de adicionar o novo usuário.

Transformar o usuário em um superadministrador

Ainda no Admin Console:

1. No Admin Console, acesse Menu  DiretórioUsuários.
2. Na lista "Usuários", encontre o novo usuário que você acabou de criar.
3. Clique no nome do usuário para abrir a página da conta.
4. Clique em Funções e privilégios do administrador.

   

5. Clique em Atribuir funções.
6. Ao lado da função "Superadministrador", clique no controle deslizante para marcar a função como atribuída .
7. Clique em Salvar.
   Dica: peça para o novo administrador adicionar opções de recuperação à conta.

O usuário normalmente recebe as funções de administrador em alguns minutos, mas esse processo pode levar até 24 horas.

Gerenciar o provisionamento de contas de usuário

1. Faça login no Portal do Microsoft Azure.
2. Na caixa de pesquisa na parte de cima da tela, digite enterprise application e selecione- uma opção na lista de resultados da pesquisa.
3. Pesquise e clique em Google Cloud / G Suite Connector by Microsoft.
4. À esquerda, em "Manage", clique em Provisioning.
5. Clique em Get started.
6. No modo de provisionamento, selecione Automatic.
7. Clique em Admin Credentials.
8. Clique em Authorize.
9. Faça login na nova conta de superadministrador que você acabou de criar.
10. Clique em Allow para confirmar o acesso à API Cloud Identity.
11. Em "Admin Credentials", clique em Test Connection. Você vai ver uma mensagem informando se tem autorização para ativar o provisionamento.
12. (Opcional) Em "Mappings", configure o provisionamento de usuários ou grupos. Recomendamos que você use a configuração padrão.
13. Clique em Salvar.
14. Na parte de cima da página "Provisioning", clique em Start provisioning.
15. Aguarde a conclusão da sincronização.

Temas relacionados

• Configurar o Logon único via SAML nos dispositivos ChromeOS
• Provisionamento de usuários e logon único do Micrsoft Entra ID
• Tutorial: integração do SSO Micrsoft Entra com o Google Cloud/G Suite Connector da Microsoft

Google e marcas e logotipos relacionados são marcas registradas da Google LLC. Todos os outros nomes de empresas e produtos são marcas registradas das empresas às quais eles estão associados.