As máscaras de rede são endereços IP representados com a notação do roteamento entre domínios sem classe (CIDR). O CIDR especifica quantos bits do endereço IP são incluídos. O Google usa máscaras de rede para determinar quais endereços IP ou intervalos de endereços IP serão apresentados com o serviço de Logon único (SSO).
Observação: nas configurações das máscaras de rede, apenas URLs de serviço específicos do domínio, como serviço.google.com/a/example.com, redirecionam para a página de login via SSO.
É importante que cada máscara de rede use o formato correto. No exemplo do IPv6 abaixo, a barra (/) e o número depois da barra representam o CIDR. Os últimos 96 bits não são considerados, e todos os IPs no intervalo de rede são afetados.
- 2001:db8::/32
Neste exemplo do IPv4, os últimos 8 bits (o zero) não são levados em conta, e todos os IPs no intervalo 64.233.187.0–64.233.187.255 são afetados.
- 64.233.187.0/24
Em domínios sem máscara de rede, é preciso adicionar usuários que não sejam superadministradores ao Provedor de identidade (idP).
Matriz de mapeamento de usuário/rede do SSO
| sem máscara de rede | superadministradores | usuários |
|---|---|---|
| accounts.google.com | Quando superadministradores tentam fazer login em accounts.google.com, precisam inserir o endereço de e-mail completo do Google (incluindo o nome de usuário e o domínio) e a senha. Após o login, eles são redirecionados para o Admin Console. Eles não são redirecionados para o servidor de SSO. | Quando usuários sem privilégios de superadministrador tentam fazer login em accounts.google.com, eles são redirecionados para a página de login do SSO. |
| admin.google.com | Quando superadministradores tentam fazer login em admin.google.com, precisam inserir o endereço de e-mail completo do Google (incluindo o nome de usuário e o domínio) e a senha. Após o login, eles são redirecionados para o Admin Console. Eles não são redirecionados para o servidor de SSO. |
Quando usuários sem privilégios de superadministrador, como administradores delegados, tentam fazer login em admin.google.com, são redirecionados para o servidor de SSO após terem feito login com os detalhes da Conta do Google. |
| com máscara de rede | superadministradores | usuários |
| accounts.google.com/o/oauth2/v2/auth?*login_hint=xxxxx@example.com* | Quando os usuários (com ou sem privilégios de superadministrador) tentam iniciar o fluxo do Google OAuth de accounts.google.com/o/oauth2/v2/auth com o parâmetro de URL "login_hint", eles são redirecionados para a página de login do SSO. | Quando os usuários (com ou sem privilégios de superadministrador) tentam iniciar o fluxo do Google OAuth de accounts.google.com/o/oauth2/v2/auth com o parâmetro de URL "login_hint", eles são redirecionados para a página de login do SSO. |
| serviço.google.com | Quando usuários (com ou sem privilégios de superadministrador) tentam fazer login no serviço.google.com, eles são redirecionados para accounts.google.com, onde precisam digitar o endereço de e-mail completo do Google (incluindo nome de usuário e senha). | Quando usuários (com ou sem privilégios de superadministrador) tentam fazer login no serviço.google.com, eles são redirecionados para accounts.google.com, onde precisam digitar o endereço de e-mail completo do Google (incluindo nome de usuário e senha). |
| serviço.google.com /a/example.com* em uma máscara de rede |
Quando os usuários (com ou sem privilégios de superadministrador) na máscara de rede tentam fazer login em serviço.google.com/a/example.com, eles são redirecionados para a página de login do SSO. |
Quando os usuários (com ou sem privilégios de superadministrador) na máscara de rede tentam fazer login em serviço.google.com/a/example.com, eles são redirecionados para a página de login do SSO. |
| serviço.google.com /a/example.com* fora de uma máscara de rede |
Quando os usuários (com ou sem privilégios de superadministrador) fora da máscara de rede tentam fazer login em serviço.google.com/a/example.com, eles não são redirecionados para o servidor de SSO. | Quando os usuários (com ou sem privilégios de superadministrador) fora da máscara de rede tentam fazer login em serviço.google.com/a/example.com, eles não são redirecionados para o servidor de SSO. |
| serviço.google.com /a/example.com* solicitações de serviço não autenticadas |
O IP de origem de todas as solicitações de serviço não autenticadas será verificado durante o acesso via serviço.google.com/a/example.com. Se o IP de origem corresponder a uma máscara de rede (intervalo do CIDR), os usuários serão redirecionados para a página de login do SSO. Se o IP de origem não corresponder a uma máscara de rede, o usuário precisará digitar um nome de usuário e uma senha do Google. Conexões diretas com accounts.google.com são solicitadas para um nome de usuário e uma senha do Google. |
O IP de origem de todas as solicitações de serviço não autenticadas será verificado durante o acesso via serviço.google.com/a/example.com. Se o IP de origem corresponder a uma máscara de rede (intervalo do CIDR), os usuários serão redirecionados para a página de login do SSO. Se o IP de origem não corresponder a uma máscara de rede, o usuário precisará digitar um nome de usuário e uma senha do Google. Conexões diretas com accounts.google.com são solicitadas para um nome de usuário e uma senha do Google. |
* Nem todos os serviços são compatíveis com esse padrão do URL. Exemplos de serviços compatíveis:
- Gmail
- Google Drive
- Seu domínio tem SSO com um IdP de terceiros.
- Seu domínio tem uma máscara de rede.
- Um usuário conectado por meio do IdP de terceiros (consulte a tabela em "Matriz de mapeamento de usuário/rede SSO").
- A sessão do usuário atinge a duração máxima permitida, conforme especificado na configuração do controle de sessão do Google no Admin Console.
- O administrador modificou a conta do usuário alterando a senha ou exigindo que o usuário altere a senha no próximo login (por meio do Admin Console ou do SDK Admin).
Experiência do usuário
Se o usuário iniciou a sessão em um IdP de terceiros, a sessão será apagada e o usuário será redirecionado para a página de login do Google.
Como o usuário iniciou a sessão do Google em um IdP de terceiros, ele pode não entender por que precisa fazer login no Google para recuperar o acesso à conta. Os usuários podem ser redirecionados para uma página de Login do Google, mesmo quando tentam acessar outros URLs do Google.
Se você estiver planejando alguma manutenção que inclua o encerramento de sessões ativas, peça aos usuários que saiam das sessões e permaneçam desconectados até que a manutenção seja concluída.
Recuperação de usuários
Quando aparecer a página de login do Google porque a sessão ativa foi encerrada, o usuário pode recuperar o acesso à conta seguindo um destes procedimentos:
- Se aparecer a mensagem "Se você acessou esta página por engano, clique neste link para sair e tente fazer login novamente", o usuário poderá clicar no link da mensagem.
- Se a mensagem ou o link não aparecer, o usuário sairá e fará login novamente acessando https://accounts.google.com/logout.
- O usuário pode limpar os cookies do navegador.
Depois de utilizar um dos métodos de recuperação, a sessão do Google será encerrada, e o usuário poderá fazer login.