O logon único para superadministradores só é possível se você usar o perfil de SSO legado e apenas em alguns casos (consulte abaixo). Ele não é compatível com os perfis de SSO mais recentes.
Permitir o SSO por superadministradores tem benefícios e riscos. Fazer com que todos os usuários (incluindo administradores) façam a autenticação usando o SSO minimiza a área em que as credenciais do usuário são gerenciadas. No entanto, se o IdP for comprometido, terceiros poderão acessar o Google Admin Console e todos os aspectos da conta da sua organização.
Para reduzir esse risco, se você ativar o SSO para superadministradores, recomendamos que também ative a verificação em duas etapas para superadministradores no IdP e no Google.
Como desativar o SSO de superadministrador
Para desativar o SSO de superadministrador, use os perfis de SSO mais recentes. Para migrar do perfil SSO legado para os perfis de SSO, siga estas instruções.
Quando os superadministradores podem fazer login com SSO
Se você estiver usando o perfil de SSO legado, os superadministradores poderão fazer login com SSO nos seguintes casos:
- A configuração URLs de serviço específicos do domínio está definida para redirecionar automaticamente os usuários para o IdP de terceiros.
- Quando o login do superadministrador é iniciado pelo IdP (SSO iniciado pelo IdP).
- Se um superadministrador faz login no Google inicialmente usando uma conta que não é de superadministrador e depois fornece as credenciais ao ser redirecionado para o IdP. Nesse caso, o Google aceita a declaração de identidade de superadministrador do IdP.
Quando os superadministradores não conseguem fazer login com o SSO
Mesmo usando o perfil de SSO legado, os superadministradores não podem fazer login com o SSO nos seguintes casos:
Admin Console
Quando um superadministrador tenta fazer login em um domínio com o SSO ativado em admin.google.com, é neecssário digitar o endereço de e-mail completo da conta de administrador do Google e a senha do Google associada (não o nome de usuário e a senha do SSO) e clicar em Fazer login para acessar o Admin Console. O Google não redireciona o superadministrador para a página de login via SSO.
Cliente de sincronização do Google Drive
Quando um superusuário faz login no cliente de sincronização do Google Drive, ele ignora o SSO. O Google não o redireciona para a página de login do SSO. Isso é aplicável às tentativas de login nos navegadores, nos apps para dispositivos móveis (como os apps Google Drive e Gmail para iOS), no fluxo de ativação da conta do Android etc.