Creare e caricare la chiave e il certificato di verifica
Per configurare il servizio SSO utilizzando l'istanza in cui Google è il provider dei servizi SAML, devi generare un insieme di chiavi pubbliche e private e un certificato X.509 contenente la chiave pubblica. Le chiavi pubbliche e i certificati devono essere generati con gli algoritmi RSA o DSA e registrati su Google. Per registrarli, occorre caricare la chiave e il certificato mediante la Console di amministrazione Google.
Le modalità di generazione di chiavi e certificati dipendono spesso dalla piattaforma di sviluppo e dal linguaggio di programmazione utilizzato. I certificati X509 possono essere generati utilizzando il comando openssl. Per creare coppie di chiavi pubbliche e private puoi utilizzare OpenSSL, gli strumenti Certificate Creation e Pvk2pfx in .NET, Keytool in Java o Java Cryptography Architecture. Per maggiori dettagli, vedi Generare chiavi e certificati per SSO.
- Carica il certificato di verifica.
Il file del certificato deve essere in formato X.509 con una chiave pubblica incorporata.
Il file del certificato deve contenere la chiave pubblica affinché Google possa verificare le richieste di accesso.
La chiave pubblica deve essere stata generata con gli algoritmi DSA o RSA. La chiave viene utilizzata per la verifica della risposta SAML che invii a Google, ossia per dimostrare che l'asserzione SSO proviene effettivamente da te. Consente inoltre di accertare che l'asserzione SSO non è stata modificata durante la trasmissione.
È importante abbinare la chiave pubblica incorporata nel certificato X.509 alla chiave privata che utilizzi per firmare la risposta SAML.
Solo Chrome conferma che il certificato è stato caricato, mentre gli altri browser non lo fanno. - In via facoltativa, puoi selezionare la casella Utilizza una società di emissione di domini specifica per abilitare un'autorità emittente specifica per il dominio. Se abiliti questa funzione, Google indicherà un'autorità emittente specifica per il tuo dominio, google.com/a/tuo_dominio.com, dove tuo_dominio.com è sostituito dal nome del tuo dominio.
Se quando configuri il SSO non selezioni la casella per abilitare un'autorità emittente specifica per il dominio, nella richiesta SAML Google indicherà l'autorità emittente standard google.com.
- Fai clic su Salva modifiche.
Per ulteriori informazioni, vedi Servizio Single Sign-On (SSO) SAML gestito da partner.
