Google Workspace offre due modi per configurare il Single Sign-On (SSO) con Google come parte attendibile del tuo provider di identità:
- Profilo SSO legacy: consente di configurare un solo IdP per l'organizzazione.
- Profili SSO: il modo più recente e consigliato per configurare l'accesso SSO. Ti consente di applicare impostazioni SSO diverse a utenti diversi della tua organizzazione, supporta sia SAML che OIDC, dispone di API più moderne e sarà il focus di Google per le nuove funzionalità.
Consigliamo a tutti i clienti di eseguire la migrazione ai profili SSO per usufruire di questi vantaggi. I profili SSO possono coesistere con il profilo SSO della tua organizzazione; pertanto, puoi testare i nuovi profili SSO prima di eseguire la transizione dell'intera organizzazione.
Panoramica del processo di migrazione
- Nella Console di amministrazione, crea un profilo SSO per il tuo IdP e registra il nuovo profilo con il tuo IdP.
- Assegna agli utenti di test il nuovo profilo da utilizzare per verificare che funzioni.
- Assegna l'unità organizzativa principale al nuovo profilo.
- Aggiorna gli URL specifici del dominio per utilizzare il nuovo profilo.
- Pulizia: annulla la registrazione del tuo vecchio fornitore di servizi e verifica che il provisioning automatico degli utenti funzioni ancora.
Passaggio 1: crea un profilo SSO
- Segui questi passaggi per creare un nuovo profilo SAML SSO. Il nuovo profilo deve utilizzare lo stesso IdP del profilo SSO esistente della tua organizzazione.
- Registra il nuovo profilo SSO indicando il tuo IdP come nuovo fornitore di servizi.
L'IdP vedrà il nuovo profilo come un fornitore di servizi distinto (potrebbe chiamarlo "App" o "Parti attendibili"). La modalità di registrazione del nuovo fornitore di servizi varia in base all'IdP, ma in genere richiede la configurazione dell'ID entità e dell'URL Assertion Consumer Service (ACS) per il nuovo profilo.
- Se utilizzi il profilo SSO della tua organizzazione, puoi usare solo l'API Google Workspace Admin Settings per gestire le impostazioni SSO.
- L'API Cloud Identity può gestire i profili SSO come inboundSamlSsoProfiles e assegnarli a gruppi o unità organizzative utilizzando inboundSsoAssignments.
Affermazioni del super amministratore
I profili SSO non accettano asserzioni sui super amministratori. Quando utilizzi il profilo SSO della tua organizzazione, le asserzioni vengono accettate, ma i super amministratori non vengono reindirizzati all'IdP. Ad esempio, le seguenti asserzioni sarebbero accettate:
- L'utente segue un link di avvio dell'app dal tuo IdP (SAML avviato dall'IdP)
- L'utente accede a un URL di servizio specifico del dominio (ad esempio, https://drive.google.com/a/your_domain.com)
- L'utente accede a un Chromebook configurato per passare direttamente al tuo IdP. Scopri di più.
Impostazioni di verifica post-SSO
Le impostazioni che controllano la verifica post-SSO (ad esempio, le verifiche dell'accesso o la verifica in due passaggi) dei profili SSO sono diverse rispetto a quelle del profilo SSO della tua organizzazione. Per evitare di fare confusione, ti consigliamo di impostare entrambe le impostazioni sullo stesso valore. Ulteriori informazioni.
Passaggio 2: assegna gli utenti di test al profilo
Ti consigliamo di testare inizialmente il nuovo profilo SSO sugli utenti di un singolo gruppo o di una singola unità organizzativa prima di effettuare il passaggio di tutti gli utenti. Utilizza un gruppo o un'unità organizzativa esistente oppure creane di nuovi in base alle esigenze.
Se hai dispositivi ChromeOS gestiti, ti consigliamo di eseguire test sulle unità organizzative, poiché puoi assegnare i dispositivi ChromeOS alle unità organizzative, ma non ai gruppi.
- (Facoltativo) Crea una nuova unità organizzativa o un nuovo gruppo di configurazione da assegnare agli utenti di test.
- Segui questi passaggi per assegnare gli utenti al nuovo profilo SSO.
Se hai configurato il servizio SSO per i dispositivi ChromeOS in modo che gli utenti accedano direttamente al tuo IdP, ti consigliamo di testare il comportamento del servizio SSO separatamente per questi utenti.
Tieni presente che, per la riuscita dell'accesso, il profilo SSO assegnato all'unità organizzativa del dispositivo deve corrispondere a quello assegnato all'unità organizzativa dell'utente del dispositivo.
Ad esempio, se al momento hai un'unità organizzativa Vendite per i dipendenti che utilizzano Chromebook gestiti e accedono direttamente al tuo IdP, crea un'unità organizzativa come "sales_sso_testing", assegnala per l'utilizzo del nuovo profilo e sposta alcuni utenti e i Chromebook che utilizzano in quell'unità organizzativa.
Passaggio 3: assegna l'unità organizzativa principale e aggiorna gli URL dei servizi
Dopo aver testato correttamente il nuovo profilo SSO in un gruppo di test o in un'unità organizzativa, puoi passare ad altri utenti.
- Vai su Sicurezza
SSO con IdP di terze parti
- Fai clic su Gestisci.
- Seleziona l'unità organizzativa di primo livello e assegnala al nuovo profilo SSO.
- (Facoltativo) Se al profilo SSO della tua organizzazione sono assegnate altre unità organizzative o altri gruppi, assegnali al nuovo profilo SSO.
SSO con IdP di terze partiPassaggio 4: aggiorna gli URL specifici del dominio
Se la tua organizzazione utilizza URL specifici del dominio (ad esempio, https://mail.google.com/a/your_domain.com), aggiorna l'impostazione per utilizzare il nuovo profilo SSO:
- Vai su Sicurezza
- Nella sezione Reindirizza automaticamente gli utenti all'IdP di terze parti nel profilo SSO seguente, seleziona il nuovo profilo SSO dall'elenco a discesa.
Passaggio 5: pulizia
- In Sicurezza
- Deseleziona Attiva profilo SSO legacy per disattivare il profilo legacy.
- Verifica che il provisioning automatico degli utenti configurato con l'IdP funzioni correttamente con il nuovo profilo SSO.
- Annulla la registrazione del vecchio fornitore di servizi dall'IDP.
