Créer et importer la clé et le certificat de vérification
Pour configurer l'authentification unique (SSO) à l'aide d'une instance SAML où Google est le fournisseur de services, vous devez générer un jeu de clés publique et privée, ainsi qu'un certificat X.509 destiné à accueillir la clé publique. Les clés publiques et les certificats doivent être générés avec l'algorithme RSA ou l'algorithme DSA et enregistrés auprès de Google. Cette dernière opération consiste à importer la clé et le certificat dans votre console d'administration Google.
Le choix de la méthode utilisée pour générer les clés et les certificats est souvent dicté par la plate-forme de développement et les préférences de chacun en matière de langage de programmation. Les certificats X509 peuvent être générés à l'aide de la commande openssl. Les paires de clé publique et clé privée peuvent être créées avec les outils suivants : OpenSSL, Certificate Creation et Pvk2pfx en .NET, Keytool en Java ou Java Cryptography Architecture. Pour plus de détails, consultez l'article Générer des clés et des certificats dans le cadre de l'authentification unique.
- Importez votre certificat de vérification.
Le certificat doit être un fichier au format X.509 contenant une clé publique.
Le fichier de certificat doit contenir la clé publique pour que Google soit en mesure de vérifier les demandes de connexion.
Cette dernière peut être générée avec les algorithmes DSA ou RSA. La clé permet de vérifier la réponse SAML que vous envoyez à Google, c'est-à-dire de vérifier que l'assertion SSO provient bien de vous. Elle sert également à garantir que l'assertion n'a pas été modifiée lors de la transmission.
Il est important que la clé publique intégrée au certificat X.509 corresponde à la clé privée avec laquelle vous signez la réponse SAML.
Seul Chrome vous confirme que votre certificat a été importé. Les autres navigateurs ne le font pas. - Vous pouvez aussi, si vous le souhaitez, cocher l'option Utiliser un émetteur de domaine spécifique pour activer un émetteur spécifique au domaine. Si vous activez cette fonctionnalité, Google envoie un émetteur spécifique à votre domaine, google.com/a/votre_domaine.fr, où votre_domaine.fr est remplacé par le véritable nom de votre domaine.
Si vous ne cochez pas cette option lors de la configuration de l'authentification unique, Google envoie l'émetteur standard google.com dans la requête SAML.
- Cliquez sur Enregistrer les modifications.
Pour plus d'informations, consultez l'article Service d'authentification unique (SSO) SAML géré par les partenaires.
