Crear y subir el certificado de verificación y la clave
Para configurar el inicio de sesión único (SSO) mediante SAML cuando Google es el proveedor de servicios (SP), se deben generar un conjunto de claves públicas y privadas, y un certificado X.509 que contenga la clave pública. Los certificados y las claves públicas deben generarse con el algoritmo RSA o DSA y registrarse en Google. Para completar el registro, debes subir la clave y el certificado a través de la consola de administración de Google.
El método para generar claves y certificados depende a menudo de la plataforma de desarrollo y del lenguaje de programación. Los certificados X.509 se pueden generar mediante el comando openssl. Para crear pares de claves públicas y privadas, puedes usar OpenSSL, las herramientas Certificate Creation y Pvk2pfx en .NET, Keytool en Java o Java Cryptography Architecture. Para obtener más información, consulta el artículo Generar claves y certificados para configurar el inicio de sesión único.
- Sube el certificado de verificación.
El archivo de certificado debe estar en formato X.509 y contener una clave pública.
Debe contener dicha clave para que Google pueda verificar las solicitudes de inicio de sesión.
Esta debe generarse con los algoritmos DSA o RSA, y se utiliza para verificar la respuesta de SAML que envías a Google; es decir, para responder a la pregunta: ¿la aserción SSO realmente procede de ti? También se asegura de que la aserción SSO no se haya modificado durante la transmisión.
Es importante que la clave pública incluida en el certificado X.509 coincida con la clave privada que has utilizado para firmar la respuesta de SAML.
Solo Chrome confirma que se ha subido el certificado; el resto de navegadores no lo hacen. - De forma opcional, puedes marcar la casilla Utilizar una determinada entidad emisora de dominios para habilitar una entidad específica. Si habilitas esta función, Google envía una entidad emisora específica a tu dominio, google.com/a/tu_dominio.com, donde debes sustituir tu_dominio.com por el nombre real de tu dominio.
Si no marcas la casilla para habilitar una entidad emisora específica de dominios cuando estableces el inicio de sesión único, Google envía la entidad emisora estándar, google.com, en la solicitud SAML.
- Haz clic en Guardar cambios.
Para obtener más información, consulta el artículo Servicio de inicio de sesión único (SSO) basado en SAML para G Suite proporcionado por partners.
