Nätverksmaskar är IP-adresser som representeras med CIDR-notering (Classless Inter-Domain Routing). CIDR anger hur många bitar av IP-adressen som är inkluderade. Google använder nätverksmaskar för att avgöra vilka IP-adresser eller intervall av IP-adresser som inkluderas i SSO-tjänsten.
Obs! I inställningarna för nätverksmaskar går det endast att omdirigera domänspecifika webbadresser till tjänsten, till exempel service.google.com/a/example.com, till sidan med enkel inloggning.
Det är viktigt att varje nätverksmask använder rätt format. I följande IPv6-exempel representeras CIDR av snedstrecket (/) och talet efter det. De sista 96 bitarna räknas inte och alla IP-adresser i nätverksintervallet omfattas.
- 2001:db8::/32
I detta exempel skulle de sista 8 bitarna (nollan) inte räknas, och alla IP-adresser från 64.233.187.0 till 64.233.187.255 omfattas.
- 64.233.187.0/24
På domäner utan nätverksmask lägger du till användare som inte är avancerade administratörer i identitetsleverantören (IdP).
SSO-användare/matris för nätverkskartläggning
| utan nätverksmask | avancerade administratörer | användare |
|---|---|---|
| accounts.google.com | När avancerade administratörer försöker logga in på accounts.google.com uppmanas de att ange sin fullständiga e-postadress i Google (inklusive användarnamn och domän) och lösenord och de omdirigeras till administratörskonsolen när de har loggat in. De omdirigeras inte till SSO-servern. | När användare utan behörighet som avancerad administratör försöker logga på accounts.google.com omdirigeras de till inloggningssidan för SSO. |
| admin.google.com | När avancerade administratörer försöker logga in på admin.google.com uppmanas de att ange sin fullständiga e-postadress i Google (inklusive användarnamn och domän) och lösenord och de omdirigeras till administratörskonsolen när de har loggat in. De omdirigeras inte till SSO-servern. |
När användare utan behörighet som avancerad administratör, exempelvis delegerade administratörer, försöker logga in på admin.google.com omdirigeras de till SSO-servern när de har loggat in med sina kontouppgifter för Google. |
| med nätverksmask | avancerade administratörer | användare |
| accounts.google.com/o/oauth2/v2/auth?*login_hint=xxxxx@example.com* | När användare (med eller utan behörighet som avancerad administratör) försöker starta Google OAuth-flödet från accounts.google.com/o/oauth2/v2/auth med parametern login_hint, omdirigeras de till sidan för SSO-inloggning. | När användare (med eller utan behörighet som avancerad administratör) försöker starta Google OAuth-flödet från accounts.google.com/o/oauth2/v2/auth med parametern login_hint, omdirigeras de till sidan för SSO-inloggning. |
| service.google.com | När användare (med eller utan behörighet som avancerad administratör) försöker logga in på service.google.com, omdirigeras de till accounts.google.com, där de uppmanas att ange sin fullständiga e-postadress på Google (inklusive användarnamn och lösenord). | När användare (med eller utan behörighet som avancerad administratör) försöker logga in på service.google.com, omdirigeras de till accounts.google.com, där de uppmanas att ange sin fullständiga e-postadress på Google (inklusive användarnamn och lösenord). |
| service.google.com /a/example.com* inom en nätverksmask |
När användare (med eller utan behörighet som avancerad administratör) inom nätverksmasken försöker logga in på service.google.com/a/example.com, omdirigeras de till sidan med enkel inloggning. |
När användare (med eller utan behörighet som avancerad administratör) inom nätverksmasken försöker logga in på service.google.com/a/example.com, omdirigeras de till sidan med enkel inloggning. |
| service.google.com /a/example.com* utanför en nätverksmask |
När användare (med eller utan behörighet som avancerad administratör) utanför nätverksmasken försöker logga in på service.google.com/a/example.com, omdirigeras de inte till servern för enkel inloggning. | När användare (med eller utan behörighet som avancerad administratör) utanför nätverksmasken försöker logga in på service.google.com/a/example.com, omdirigeras de inte till servern för enkel inloggning. |
| service.google.com /a/example.com* oautentiserade tjänsteförfrågningar |
Den ursprungliga IP-adressen för alla oautentiserade tjänsteförfrågningar kontrolleras när användaren ansluter via service.google.com/a/example .com. Om den ursprungliga IP-adressen finns i en nätverksmask (CIDR-intervall) omdirigeras de till sidan med enkel inloggning. Om den ursprungliga IP-adressen inte finns i en nätverksmask uppmanas de att ange ett användarnamn och sedan ett Google-lösenord. Direkta anslutningar till accounts.google.com uppmanas att ange ett användarnamn och sedan ett Google-lösenord. |
Den ursprungliga IP-adressen för alla oautentiserade tjänsteförfrågningar kontrolleras när användaren ansluter via service.google.com/a/example .com. Om den ursprungliga IP-adressen finns i en nätverksmask (CIDR-intervall) omdirigeras de till sidan med enkel inloggning. Om den ursprungliga IP-adressen inte finns i en nätverksmask uppmanas de att ange ett användarnamn och sedan ett Google-lösenord. Direkta anslutningar till accounts.google.com uppmanas att ange ett användarnamn och sedan ett Google-lösenord. |
* Alla tjänster stöder inte detta webbadressmönster. Exempel på tjänster som gör det är:
- Gmail
- Google Drive
- Domänen har enkel inloggning med idP från tredje part.
- Domänen har en nätverksmask.
- En användare har loggat in via tredjeparts idP (se tabellen i Matris för SSO-användare/ nätverksmappning).
- användarsessionen når sin maximala tillåtna längd som anges i inställningen för administratörskonsolen för Google-sessionskontroll
- administratören har ändrat användarkontot genom att ändra lösenordet eller kräva att användaren ändrar lösenordet vid nästa inloggning (antingen via administratörskonsolen eller med hjälp av Admin SDK).
Användarupplevelse
Om användaren har initierat sessionen på idP från tredje part, rensas sessionen och användaren omdirigeras till inloggningssidan för Google.
Eftersom användaren har initierat sin Google-session på en idP från tredje part förstår han eller hon kanske inte varför det är nödvändigt att logga in på Google för att få tillgång till kontot. Användarna kan också omdirigeras till en inloggningssida för Google när de försöker navigera till andra Google-webbadresser.
Om du planerar underhåll som avslutar aktiva användarsessioner och vill undvika förvirring ska du uppmana användarna att logga ut från sina sessioner och förbli utloggade tills underhållet är klart.
Återställa användare
När en användare ser inloggningssidan för Google eftersom hans eller hennes aktiva session har avslutats kan personen återfå åtkomst till sitt konto genom att göra något av följande:
- Om meddelandet ”Om du dirigerades till denna sida på grund av ett fel kan du klicka här för att logga ut och sedan försöka logga in igen” visas kan användaren klicka på länken i meddelandet.
- Om meddelandet eller länken inte visas ska användaren logga ut och logga in igen genom att öppna https://accounts.google.com/logout.
- Användaren kan rensa sina webbläsar-cookies.
När någon av återställningsmetoderna används avslutas användarens Google-session och användaren kan logga in.
