L'authentification unique pour les super-administrateurs n'est disponible que si vous utilisez l'ancien profil SSO et dans certains cas seulement (voir ci-dessous). Elle n'est pas compatible avec les profils SSO plus récents.
L'activation de l'authentification unique par les super-administrateurs présente à la fois des avantages et des risques. L'authentification de tous les utilisateurs (y compris des administrateurs) via le SSO permet de limiter les risques liés à la gestion des identifiants utilisateur. Toutefois, si votre IdP est compromis, un tiers peut accéder à la console d'administration Google et à tous les aspects du compte de votre organisation.
Pour réduire ce risque, si vous activez le SSO pour les super-administrateurs, nous vous recommandons également d'activer la validation en deux étapes pour les super-administrateurs à la fois auprès de votre IdP et de Google.
Désactiver le SSO pour les super-administrateurs
Pour désactiver le SSO pour les super-administrateurs, utilisez les profils SSO plus récents. Pour migrer de l'ancien profil SSO vers les profils SSO, suivez ces instructions.
Cas où les super-administrateurs peuvent se connecter via le SSO
Si vous utilisez l'ancien profil SSO, les super-administrateurs peuvent se connecter via le SSO dans les cas suivants :
- Le paramètre URL de service spécifiques au domaine est configuré de façon à rediriger automatiquement les utilisateurs vers l'IdP tiers.
- Lorsque la connexion du super-administrateur est initiée par le fournisseur d'identité (SSO initié par IdP).
- Si un super-administrateur se connecte initialement à Google à l'aide d'un compte qui n'est pas celui d'un super-administrateur, mais qu'il fournit ses identifiants de super-administrateur au moment où il est redirigé vers l'IdP. Dans ce cas, Google accepte l'assertion d'identité de super-administrateur de l'IdP.
Cas où les super-administrateurs ne peuvent pas se connecter via le SSO
Même lorsqu'ils utilisent l'ancien profil SSO, les super-administrateurs ne peuvent pas se connecter via le SSO dans les cas suivants :
Console d'administration
Lorsque des super-administrateurs tentent de se connecter à un domaine SSO via admin.google.com, ils doivent saisir l'adresse e-mail complète de leur compte d'administrateur Google et le mot de passe Google associé (et non leur nom d'utilisateur et leur mot de passe SSO) et cliquer sur Connexion pour accéder directement à la console d'administration. Google ne les redirige pas vers la page de connexion SSO.
Client de synchronisation Google Drive
Lorsque des super-administrateurs se connectent au client de synchronisation de Google Drive, ils contournent l'authentification unique. Ils ne sont pas redirigés vers la page de connexion SSO. Cette procédure est valable pour les connexions effectuées depuis les navigateurs, les applications mobiles (applications Drive et Gmail pour iOS, par exemple), le flux d'activation des comptes Android, etc.
