Schlüssel und Bestätigungszertifikat erstellen und hochladen
Um die Einmalanmeldung (Single Sign-On – SSO) mit der SAML-Instanz und Google als Serviceprovider (SP) einzurichten, müssen Sie einen Satz öffentlicher und privater Schlüssel und ein X.509-Zertifikat generieren, das den öffentlichen Schlüssel enthält. Die öffentlichen Schlüssel und Zertifikate müssen entweder mit dem RSA- oder dem DSA-Algorithmus erstellt und bei Google registriert werden. Für die Registrierung laden Sie den Schlüssel und das Zertifikat über die Google Admin-Konsole hoch.
Wie Sie die Schlüssel und Zertifikate erstellen, hängt häufig davon ab, welche Entwicklungsplattform und Programmiersprache verwendet wird. X.509-Zertifikate können mit dem Befehl openssl generiert werden. Zum Erstellen öffentlicher und privater Schlüsselpaare lassen sich OpenSSL, das Certificate Creation-Tool und das Pvk2pfx-Tool in .NET, das Keytool in Java und Java Cryptography Architecture verwenden. Weitere Informationen finden Sie im Hilfeartikel Schlüssel und Zertifikate für die Einmalanmeldung (SSO) generieren.
- Laden Sie das Bestätigungszertifikat hoch.
Die Zertifikatdatei muss dem Standard X.509 entsprechen und einen eingebetteten öffentlichen Schlüssel aufweisen.
Die Zertifikatdatei muss den öffentlichen Schlüssel beinhalten, sodass Google Anmeldeanfragen bestätigen kann.
Der öffentliche Schlüssel muss mit dem DSA- oder RSA-Algorithmus erstellt werden. Anhand dieses Schlüssels wird die SAML-Antwort geprüft, die Sie an Google senden. So wird sichergestellt, dass die SSO-Assertion auch wirklich von Ihnen stammt und während der Übertragung nicht verändert wurde.
Dazu muss der im X.509-Zertifikat eingebettete öffentliche Schlüssel mit dem privaten Schlüssel übereinstimmen, mit dem Sie die SAML-Antwort signiert haben.
Der Upload Ihres Zertifikats wird nur in Chrome bestätigt. In anderen Browsern erhalten Sie keine Benachrichtigung. - Klicken Sie bei Bedarf auf das Kästchen neben Domainspezifischen Aussteller verwenden. Wenn Sie diese Funktion aktivieren, sendet Google in der SAML-Anfrage den domainspezifischen Aussteller google.com/a/your_domain.com, wobei your_domain.com durch den tatsächlichen Namen Ihrer Domain ersetzt wird.
Wenn Sie bei der Einrichtung der Einmalanmeldung das Kontrollkästchen für den domainspezifischen Aussteller nicht aktivieren, sendet Google in der SAML-Anfrage den Standardaussteller google.com.
- Klicken Sie auf Änderungen speichern.
Weitere Informationen finden Sie im Hilfeartikel Von einem Partner betriebene SAML-Einmalanmeldung (SSO) für die G Suite.
