Tworzenie i przesyłanie klucza oraz certyfikatu weryfikacji
Aby skonfigurować logowanie jednokrotne przy użyciu konfiguracji SAML, gdzie dostawcą usług jest Google, musisz wygenerować zestaw kluczy publicznych i prywatnych oraz certyfikat X.509, który zawiera klucz publiczny. Klucze publiczne i certyfikaty muszą być wygenerowane przy użyciu algorytmów RSA i DSA oraz zarejestrowane w Google. Aby zarejestrować klucz i certyfikat, prześlij je przy użyciu konsoli administracyjnej Google.
Sposób generowania kluczy i certyfikatów często zależy od platformy i języka programowania. Certyfikaty X509 możesz wygenerować przy użyciu polecenia openssl. Do tworzenia par kluczy publicznych i prywatnych można użyć narzędzia OpenSSL, narzędzia do tworzenia certyfikatów i narzędzia Pvk2pfx w języku .NET, narzędzia Keytool w języku Java oraz oprogramowania Java Cryptography Architecture. Więcej informacji znajdziesz w artykule Generowanie kluczy i certyfikatów do logowania jednokrotnego.
- Prześlij certyfikat weryfikacji.
Plik certyfikatu musi zawierać certyfikat sformatowany na podstawie specyfikacji X.509 z umieszczonym kluczem publicznym.
Plik certyfikatu musi zawierać klucz publiczny, aby umożliwić Google weryfikację żądań logowania.
Klucz publiczny musi być wygenerowany przy użyciu algorytmu DSA lub RSA. Ten klucz jest używany do weryfikowania odpowiedzi SAML wysyłanej do Google (tzn. czy potwierdzenie SSO pochodzi od Ciebie). Pozwala on także sprawdzić, czy potwierdzenie nie zostało zmodyfikowane podczas transmisji.
Ważne jest dopasowanie klucza publicznego umieszczonego w certyfikacie X.509 do klucza prywatnego, którego używasz do podpisania odpowiedzi SAML.
Tylko Chrome potwierdza, że certyfikat został przesłany. Inne przeglądarki tego nie robią. - Możesz też zaznaczyć pole Użyj wystawcy właściwego dla domeny, aby włączyć takiego wystawcę. Jeśli włączysz tę funkcję, Google wyśle wystawcę właściwego dla domeny, google.com/a/twoja_domena.com, gdzie twoja_domena.com jest zastępowane rzeczywistą nazwą Twojej domeny.
Jeśli podczas konfigurowania jednokrotnego logowania nie zaznaczysz pola włączania wystawcy właściwego dla domeny, Google wyśle standardowego wystawcę (google.com) w żądaniu SAML.
- Kliknij Zapisz zmiany.
Aby dowiedzieć się więcej, zobacz Obsługiwana przez partnera usługa logowania jednokrotnego oparta na standardzie SAML.
