Network mask adalah alamat IP yang dilambangkan menggunakan notasi CIDR (Classless Inter-Domain Routing). CIDR menentukan berapa banyak bit dari alamat IP yang disertakan. Google menggunakan network mask untuk menentukan alamat IP atau rentang alamat IP yang akan dihadirkan dengan layanan SSO.
Catatan: Untuk setelan network mask, hanya URL layanan khusus domain, misalnya service.google.com/a/example.com, yang saat ini dialihkan ke halaman login SSO.
Penting bagi setiap network mask untuk menggunakan format yang tepat. Pada contoh IPv6 berikut, garis miring (/) dan angka setelahnya mewakili CIDR. 96 bit terakhir tidak dipertimbangkan, dan semua alamat IP dalam rentang jaringan tersebut akan terpengaruh.
- 2001:db8::/32
Dalam contoh IPv4 ini, 8 bit terakhir (angka nol) diabaikan, dan semua alamat IP yang berada dalam rentang 64.233.187.0 hingga 64.233.187.255 akan terpengaruh.
- 64.233.187.0/24
Dalam domain tanpa network mask, Anda harus menambahkan pengguna yang bukan administrator super ke penyedia identitas (IdP).
Matriks pemetaan pengguna/jaringan SSO
| tanpa network mask | administrator super | pengguna |
|---|---|---|
| accounts.google.com | Ketika administrator super mencoba login ke accounts.google.com, mereka diminta memasukkan alamat email Google lengkap (termasuk nama pengguna dan domain) beserta sandi, dan dialihkan ke konsol Admin setelah mereka login. Mereka tidak dialihkan ke server SSO. | Ketika pengguna tanpa hak istimewa administrator super mencoba login di accounts.google.com, mereka dialihkan ke halaman login SSO. |
| admin.google.com | Ketika administrator super mencoba login ke admin.google.com, mereka diminta memasukkan alamat email Google lengkap (termasuk nama pengguna dan domain) beserta sandi, dan dialihkan ke konsol Admin setelah mereka login. Mereka tidak dialihkan ke server SSO. |
Ketika pengguna tanpa hak istimewa administrator super, seperti administrator yang didelegasikan, mencoba login ke admin.google.com, mereka dialihkan ke server SSO setelah login dengan detail akun Google mereka. |
| dengan network mask | administrator super | pengguna |
| accounts.google.com/o/oauth2/v2/auth?*login_hint=xxxxx@example.com* | Saat pengguna (dengan atau tanpa hak istimewa administrator super) mencoba memulai alur Google OAuth dari accounts.google.com/o/oauth2/v2/auth dengan parameter URL login_hint, mereka akan dialihkan ke halaman login SSO. | Saat pengguna (dengan atau tanpa hak istimewa administrator super) mencoba memulai alur Google OAuth dari accounts.google.com/o/oauth2/v2/auth dengan parameter URL login_hint, mereka akan dialihkan ke halaman login SSO. |
| service.google.com | Saat pengguna (dengan atau tanpa hak istimewa administrator super) mencoba login ke service.google.com, mereka akan dialihkan ke accounts.google.com dan akan diminta untuk memasukkan alamat email Google lengkap (termasuk nama pengguna dan sandi). | Saat pengguna (dengan atau tanpa hak istimewa administrator super) mencoba login ke service.google.com, mereka akan dialihkan ke accounts.google.com dan akan diminta untuk memasukkan alamat email Google lengkap (termasuk nama pengguna dan sandi). |
| service.google.com /a/example.com* dalam network mask |
Saat pengguna (dengan atau tanpa hak istimewa administrator super) dalam network mask mencoba login ke service.google.com/a/example.com, mereka akan dialihkan ke halaman login SSO. |
Saat pengguna (dengan atau tanpa hak istimewa administrator super) dalam network mask mencoba login ke service.google.com/a/example.com, mereka akan dialihkan ke halaman login SSO. |
| service.google.com /a/example.com* di luar network mask |
Saat pengguna (dengan atau tanpa hak istimewa administrator super) di luar network mask mencoba login ke service.google.com/a/example.com, mereka tidak akan dialihkan ke server SSO. | Saat pengguna (dengan atau tanpa hak istimewa administrator super) di luar network mask mencoba login ke service.google.com/a/example.com, mereka tidak akan dialihkan ke server SSO. |
| permintaan layanan yang tidak diautentikasi service.google.com /a/example.com* |
IP asal dari semua permintaan layanan yang tidak diautentikasi diperiksa saat mengakses melalui service.google.com/a/example.com. Jika IP asal berada dalam network mask (rentang CIDR), pengguna akan dialihkan ke halaman login SSO. Jika IP asal tidak berada dalam network mask, pengguna diminta untuk memasukkan nama pengguna, lalu sandi Google. Sambungan langsung ke accounts.google.com diminta untuk memasukkan nama pengguna, lalu sandi Google. |
IP asal dari semua permintaan layanan yang tidak diautentikasi diperiksa saat mengakses melalui service.google.com/a/example.com. Jika IP asal berada dalam network mask (rentang CIDR), pengguna akan dialihkan ke halaman login SSO. Jika IP asal tidak berada dalam network mask, pengguna diminta untuk memasukkan nama pengguna, lalu sandi Google. Sambungan langsung ke accounts.google.com diminta untuk memasukkan nama pengguna, lalu sandi Google. |
* Tidak semua layanan mendukung pola URL ini. Contoh layanan yang mendukung adalah:
- Gmail
- Google Drive
- Domain Anda memiliki SSO dengan IdP pihak ketiga.
- Domain Anda memiliki network mask.
- Pengguna login melalui IdP pihak ketiga (lihat tabel di “matriks pemetaan pengguna/jaringan SSO”).
- Sesi pengguna mencapai durasi maksimum yang diizinkan sebagaimana ditetapkan di setelan konsol Admin Kontrol sesi Google.
- Admin memodifikasi akun pengguna dengan mengubah sandi atau mewajibkan pengguna mengubah sandi saat login berikutnya (melalui konsol Admin atau menggunakan Admin SDK).
Pengalaman pengguna
Jika pengguna memulai sesi di IdP pihak ketiga, sesi tersebut akan dihapus dan pengguna akan dialihkan ke halaman Login dengan Google.
Karena memulai sesi Google di IdP pihak ketiga, pengguna mungkin tidak memahami alasan kenapa mereka harus login ke Google untuk mendapatkan kembali akses ke akun mereka. Pengguna mungkin dialihkan ke halaman Login dengan Google bahkan saat mereka mencoba membuka URL Google lainnya.
Jika Anda merencanakan pemeliharaan yang mencakup penghentian sesi pengguna aktif dan ingin menghindari kebingungan pengguna, beri tahu pengguna untuk logout dari sesi mereka dan tetap logout sampai pemeliharaan selesai.
Pemulihan pengguna
Jika pengguna melihat halaman Login dengan Google karena sesi aktif mereka diakhiri, mereka bisa mendapatkan kembali akses ke akunnya dengan melakukan salah satu tindakan berikut:
- Jika pengguna melihat pesan "Jika Anda mencapai halaman ini secara keliru, klik di sini untuk logout, lalu coba untuk login lagi", mereka dapat mengklik link pada pesan.
- Jika pengguna tidak melihat pesan atau link, mereka dapat logout dan login lagi dengan membuka https://accounts.google.com/logout.
- Pengguna dapat menghapus cookie browser.
Setelah mereka menggunakan salah satu metode pemulihan, sesi Google mereka akan diakhiri sepenuhnya dan mereka dapat login.
