Kuruluşunuzun ihtiyaçlarına göre, servis sağlayıcınız olarak Google ile TOA'yı çeşitli şekillerde ayarlayabilirsiniz. IdP'nizin ayarlarını içeren TOA profilleri, kuruluşunuzdaki farklı kullanıcılara farklı TOA ayarları uygulama esnekliği sağlar.
Google Workspace, hem SAML tabanlı hem de OIDC tabanlı TOA protokollerini destekler:
Tüm kullanıcılarınız SAML kullanarak tek bir IdP üzerinden oturum açacaksa:
- Aşağıdaki Kuruluşunuz için TOA profili yapılandırma bölümünde belirtilen adımları uygulayın.
- Bazı kullanıcıları TOA kullanmasını engellemek (ve doğrudan Google'da oturum açmalarını sağlamak) istiyorsanız Hangi kullanıcıların TOA kullanması gerektiğine karar verme bölümündeki adımları uygulayın. Bu seçenekte TOA profili için "Hiçbiri" seçeneğini atayabilirsiniz.
Kullanıcılarınız için birden çok IdP veya OIDC kullanıyorsanız:
Uygulamanız gereken adımlar, IdP'nizin kullandığı protokole (SAML veya OIDC) bağlıdır:
- SAML
- IdP'lerinizin her biri için TOA profilleri oluşturma başlıklı makalede belirtilen adımları uygulayın.
- Hangi kullanıcıların TOA kullanması gerektiğine karar verin.
- OIDC
- Kuruluşunuzun Azure AD kiracısındaki OIDC için aşağıdaki ön koşulları yapılandırdığınızdan emin olun:
- Azure AD kiracısının alan doğrulaması yapılmış olmalıdır.
- Son kullanıcıların Microsoft 365 lisanslarına sahip olması gerekir.
- Önceden yapılandırılmış OIDC profilini seçilen kuruluş birimlerine/gruplara atamak için Hangi kullanıcıların TOA kullanması gerektiğine karar verme bölümündeki adımları uygulayın.
Not: Google Cloud komut satırı arayüzü şu anda OIDC ile yeniden kimlik doğrulamayı desteklememektedir.
- Kuruluşunuzun Azure AD kiracısındaki OIDC için aşağıdaki ön koşulları yapılandırdığınızdan emin olun:
-
Bir kuruluş birimi içinde (ör. alt kuruluş biriminde) TOA'ya ihtiyacı olmayan kullanıcılarınız varsa atamaları kullanarak TOA'yı bu kullanıcılar için devre dışı da bırakabilirsiniz.
Kullanıcılarınız Google hizmetlerine erişmek için alana özel hizmet URL'leri (ör. https://mail.google.com/a/ornek.com) kullanıyorsa bu URL'lerin TOA ile nasıl çalışacağını da yönetebilirsiniz.
Başlamadan önce
SAML TOA profili oluşturmak için IdP'nizin destek ekibinden veya dokümanlardan bazı temel yapılandırmalara ihtiyacınız olacaktır:
- Oturum açma sayfası URL'si TOA URL'si veya SAML 2.0 Uç Noktası (HTTP) olarak da bilinir. Kullanıcıların IdP'nizde oturum açtığı yer burasıdır.
- Oturum kapatma sayfası URL'si Kullanıcının Google uygulamasından veya hizmetinden çıktıktan sonra yönlendirildiği yerdir.
- Sertifika IdP'nizden gelen X.509 PEM sertifikasıdır. X.509 sertifikaları hakkında daha fazla bilgi için bkz. SAML anahtarı ve doğrulama sertifikası.
- Şifre URL'sini değiştirme TOA kullanıcılarının (şifrelerini Google ile değiştirmek yerine) şifrelerini değiştirmek için kullanacağı sayfadır.
Kuruluşunuz için TOA profilini yapılandırma
TOA kullanan tüm kullanıcılarınız tek bir IdP kullanacaksa bu seçeneği tercih edin.
-
Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
Güvenlik
Kimlik doğrulama
- Kuruluşunuz için üçüncü taraf TOA profili bölümünde, TOA profili ekle'yi tıklayın.
- Üçüncü taraf kimlik sağlayıcı ile TOA ayarlarını yap kutusunu işaretleyin.
IdP'niz için şu bilgileri girin:
- IdP'niz için Oturum açma sayfası URL'sini ve Oturum kapatma sayfası URL'sini girin.
Not: Tüm URL'ler girilmeli ve tüm URL'lerde HTTPS kullanılmalıdır. Örneğin, https://toa.ornek.com.
- Sertifika yükle'yi tıklayın ve IdP'nizin sağladığı X.509 sertifikasını bulup yükleyin. Sertifika oluşturma hakkında bilgi için SAML anahtarı ve doğrulama sertifikası başlıklı makaleye göz atın.
- Google'dan gelen SAML isteğinde alana özel bir yayıncı kullanıp kullanmayacağınızı seçin.
IdP'nizle TOA kullanan birden çok alanınız varsa SAML isteğini gönderen doğru alanı tanımlamak için alana özel bir yayıncı kullanın.
- Kontrol edildi Google, alanınıza özel bir yayıncı gönderir: google.com/a/ornek.com (burada ornek.com birincil Google Workspace alan adınızdır)
- İşaretsiz Google, SAML isteğinde standart yayıncıyı gönderir: google.com
- (İsteğe bağlı) TOA'yı belirli IP adresi aralıklarındaki bir kullanıcı grubuna uygulamak için ağ maskesi girin. Daha fazla bilgi için Ağ eşleme sonuçları başlıklı makaleye göz atın.
Not: TOA profilini belirli kuruluş birimlerine veya gruplarına atayarak da kısmi TOA ayarlarını yapabilirsiniz.
- IdP'niz için şifre değiştirme URL'si girin. Kullanıcılar, şifrelerini sıfırlamak için (Google'ın şifre değiştirme sayfası yerine) bu URL'ye gider.
Not: Buraya bir URL girdiğinizde kuruluşunuz için TOA'yı etkinleştirmeseniz bile kullanıcılar bu sayfaya yönlendirilir.
Tüm kullanıcılar için TOA'yı devre dışı bırakma
Kuruluş birimleri veya gruplar için TOA profili atamasını değiştirmeden tüm kullanıcılarınız için üçüncü taraf kimlik doğrulamasını devre dışı bırakmanız gerekiyorsa üçüncü taraf TOA profilini devre dışı bırakabilirsiniz:
- Üçüncü taraf kimlik sağlayıcı ile TOA oluştur seçeneğinin işaretini kaldırın.
- Kaydet'i tıklayın.
SAML TOA profili oluşturma
Üçüncü taraf bir TOA profili oluşturmak için aşağıdaki adımları uygulayın: Kuruluşunuzda en fazla 1.000 adet profil oluşturabilirsiniz.
-
Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
- Üçüncü taraf TOA profilleri altında SAML profili ekle'yi tıklayın.
- Profil için bir ad girin.
- Oturum açma sayfası URL'si ve IdP'nizden alınan diğer bilgileri girin.
- IdP'niz için şifre değiştirme URL'si girin. Kullanıcılar, şifrelerini sıfırlamak için (Google'ın şifre değiştirme sayfası yerine) bu URL'ye gider.
- Sertifika yükle'yi tıklayın ve sertifika dosyanızı bulup yükleyin. Sertifika oluşturma hakkında bilgi için SAML anahtarı ve doğrulama sertifikası başlıklı makaleye göz atın.
- Kaydet'i tıklayın.
- Servis Sağlayıcı Ayrıntıları bölümünde Varlık Kimliği ve ACS URL'si değerlerini kopyalayıp kaydedin. IdP yönetici kontrol panelinizde Google ile TOA'yı yapılandırmak için bu değerlere ihtiyacınız olacaktır.
- (İsteğe bağlı) IdP'niz şifreleme onaylamalarını destekliyorsa şifrelemeyi etkinleştirmek için bir sertifika oluşturup IdP'nizle paylaşabilirsiniz. Her SAML TOA profilinde en fazla 2 SS sertifikası bulunabilir.
- Düzenleme moduna girmek için SS Ayrıntıları bölümünü tıklayın.
- SS sertifikası bölümünde Sertifika oluştur'u tıklayın. (Sertifika, kaydetmenizden sonra görüntülenir.)
- Kaydet'i tıklayın. Sertifika adı, geçerlilik bitiş tarihi ve içeriği gösterilir.
- Sertifika içeriğini kopyalamak veya dosya olarak indirmek için sertifikanın üzerindeki düğmeleri kullanın, ardından sertifikayı IdP'nizle paylaşın.
- (İsteğe bağlı) Bir sertifikanın rotasyonunu gerçekleştirmeniz gerekiyorsa SS Ayrıntıları'na geri dönün ve Başka bir sertifika oluştur'u tıklayın, ardından yeni sertifikayı IdP'nizle paylaşın. IdP'nizin yeni sertifikayı kullandığından emin olduktan sonra orijinal sertifikayı silebilirsiniz.
Hangi kullanıcıların TOA kullanması gerektiğine karar verme
Bir kuruluş birimi veya grubu için TOA profili ve ilişkili IdP'sini atayarak TOA'yı etkinleştirin. İsterseniz, TOA profili için "Yok" değeri atayarak TOA'yı da kapatabilirsiniz. Bir kuruluş birimi veya gruba karma bir TOA politikası da uygulayabilirsiniz. Örneğin, kuruluş biriminin tamamı için TOA'yı etkinleştirip daha sonra bir alt kuruluş birimi için devre dışı bırakabilirsiniz.
- TOA profili atamalarını yönetin seçeneğini tıklayın.
- TOA profilini ilk kez atıyorsanız Başlayın'ı tıklayın. Aksi takdirde, Yönet'i tıklayın.
- Sol tarafta, TOA profili atadığınız kuruluş birimini veya grubu seçin.
- Bir kuruluş birimi veya gruba ilişkin TOA profili ataması, alan genelindeki profil atamanızdan farklıysa söz konusu kuruluş birimini ya da grubu seçtiğinizde geçersiz kılma uyarısı görüntülenir.
- TOA profilini kullanıcı bazında atayamazsınız. Kullanıcılar görünümü, belirli bir kullanıcının ayarını kontrol edebilmenizi sağlar.
- Seçilen kuruluş birimi veya grubu için TOA profili ataması seçin:
- Kuruluş birimi veya grubunu TOA'nın dışında tutmak için Yok'u seçin. Kuruluş birimindeki veya gruptaki kullanıcılar doğrudan Google ile oturum açar.
- Kuruluş birimine veya gruba başka bir IdP atamak için Başka bir TOA profili'ni ve ardından açılır listeden TOA profilini seçin.
- (Yalnızca SAML TOA profilleri) Bir SAML profili seçtikten sonra, TOA profilinin üçüncü taraf IdP'sinde oturum açmadan doğrudan Google hizmetine giden kullanıcılar için bir oturum açma seçeneği belirleyin. Kullanıcılardan Google kullanıcı adlarını isteyebilir, ardından IdP'ye yönlendirebilir veya kullanıcıların Google kullanıcı adlarını ve şifrelerini girmelerini zorunlu kılabilirsiniz.
Not: Kullanıcıların Google kullanıcı adlarını ve şifrelerini girmelerini zorunlu kılarsanız bu SAML TOA profilinin Şifre URL'sini değiştir ayarı (TOA Profili > IdP ayrıntıları bölümünde bulunabilir) yoksayılır. Bu sayede kullanıcılar Google şifrelerini gerektiği gibi değiştirebilir.
- (Yalnızca Microsoft OIDC TOA profili) Microsoft TOA yapılandırmanızı doğrulamak için Microsoft hesabınızın şifresini girin ve Oturum aç'ı tıklayın.
Azure AD kuruluş yöneticisiyseniz kuruluş adına izin kabul edebilirsiniz. Bu durumda, son kullanıcılardan OAuth izni vermeleri istenmez.
- Kaydet'i tıklayın.
- Gerektiğinde diğer kuruluş birimlerine veya gruplarına TOA profili atayın.
TOA profili atamalarını yönetme kartını kapattıktan sonra TOA profili atamalarını yönetme bölümünde kuruluş birimleri ve grupları için güncellenmiş atamaları görürsünüz.
SSO profili atama listesinden bir atamayı kaldırma
- Bir grubun veya kuruluş biriminin adını tıklayarak profil atama ayarlarını açın.
- Mevcut atama ayarını üst kuruluş birimi ayarıyla değiştirin:
- Kuruluş birimi atamaları için Devral'ı tıklayın.
- Grup atamaları için Ayarı kaldır'ı tıklayın.
- Kuruluşunuz için üçüncü taraf TOA profilini kullanmak istiyorsanız kök kuruluş birimi atamalarını Yok (veya Kuruluşun üçüncü taraf TOA profili) olarak ayarlayın.
Alana özel hizmet URL'lerini yönetme
Alana özel hizmet URL'leri ayarı, kullanıcılar https://mail.google.com/a/ornek.com gibi hizmet URL'lerini kullanarak oturum açtığında ne olacağını kontrol etmenize olanak tanır. Bunun için iki seçeneğiniz vardır:
- Kullanıcıları üçüncü taraf IdP'ye yönlendir. Bu kullanıcıları her zaman TOA profili açılır listesinde seçtiğiniz üçüncü taraf IdP'ye yönlendirmek için bu seçeneği tercih edin. Bu, kuruluşunuzun SSO profili veya (eklediyseniz) başka bir üçüncü taraf profili olabilir.
Önemli: TOA kullanmayan kuruluş birimleriniz veya gruplarınız varsa bu ayarı seçmeyin. TOA kullanmayan kullanıcılarınız otomatik olarak IdP'ye yönlendirilir ve oturum açamaz.
- Kullanıcıların ilk önce Google'ın oturum açma sayfasında kullanıcı adlarını girmesini zorunlu kıl. Bu seçenekle, alana özgü URL giren kullanıcılar önce Google oturum açma sayfasına gönderilir. TOA kullanıcıları ise IdP oturum açma sayfasına yönlendirilir.
