İsteğe bağlı TOA ayarları ve bakımı

Sertifikaları döndürme

Bir SAML TOA profiline iki sertifika yüklerseniz Google, IdP'nizden gelen bir SAML yanıtını doğrulamak için bu sertifikaları kullanabilir. Bu sayede, IdP tarafında süresi dolan bir sertifikayı güvenli bir şekilde değiştirebilirsiniz. Bir sertifikanın süresinin sona ermesinden en az 24 saat önce şu adımları uygulayın:

IdP'de yeni bir sertifika oluşturun.
Sertifikayı Yönetici Konsolu'na ikinci sertifika olarak yükleyin. Talimatlar için SAML profili oluşturma başlıklı makaleyi inceleyin.
Google kullanıcı hesaplarının yeni sertifikayla güncellenmesi için 24 saat bekleyin.
IdP'yi, süresi dolan sertifika yerine yeni sertifikayı kullanacak şekilde yapılandırın.
(İsteğe bağlı) Kullanıcılar oturum açabildiklerini onayladıktan sonra eski sertifikayı Yönetici Konsolu'ndan kaldırın. İleride gerektiğinde yeni bir sertifika yükleyebilirsiniz.

Alana özel hizmet URL'lerini yönetme

Alana özel hizmet URL'leri ayarı, kullanıcılar https://mail.google.com/a/example.com gibi hizmet URL'lerini kullanarak oturum açtığında ne olacağını kontrol etmenize olanak tanır.

Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
Yönetici Konsolu'nda Menü Güvenlik Kimlik doğrulama Üçüncü taraf IdP ile TOA'ya gidin.
Ayarları açmak için Alana özel hizmet URL'leri seçeneğini tıklayın.

İki seçeneğiniz var:

Kullanıcıları üçüncü taraf IdP'ye yönlendir. Bu kullanıcıları her zaman TOA profili açılır listesinde seçtiğiniz üçüncü taraf IdP'ye yönlendirmek için bu seçeneği tercih edin. Bu, kuruluşunuzun SSO profili veya (eklediyseniz) başka bir üçüncü taraf profili olabilir.
Önemli: TOA kullanmayan kuruluş birimleriniz veya gruplarınız varsa bu ayarı seçmeyin. TOA kullanmayan kullanıcılarınız otomatik olarak IdP'ye yönlendirilir ve oturum açamaz.
Kullanıcıların ilk önce Google'ın oturum açma sayfasında kullanıcı adlarını girmesini zorunlu kıl. Bu seçenekle, alana özgü URL giren kullanıcılar önce Google oturum açma sayfasına gönderilir. TOA kullanıcıları ise IdP oturum açma sayfasına yönlendirilir.

Ağ Eşleme sonuçları

Ağ maskeleri, Sınıfsız Alanlar Arası Yönlendirme (CIDR) biçimi kullanılarak temsil edilen IP adresleridir. CIDR, IP adresinin kaç bitinin ekleneceğini belirtir. Kuruluşunuzun TOA profili, TOA hizmetiyle hangi IP adreslerinin veya IP adresi aralıklarının sunulacağını belirlemek için ağ maskelerinden yararlanabilir.

Not: Ağ maskesi ayarları için şu an yalnızca alana özgü hizmet URL'leri (ör. hizmet.google.com/a/example.com) TOA oturum açma sayfasına yönlendirilir.

Her ağ maskesinin doğru biçimi kullanması önemlidir. Aşağıdaki IPv6 örneğinde, eğik çizgi (/) ve bunu takip eden sayı, CIDR'yi temsil etmektedir. Son 96 bit dikkate alınmaz ve bu ağ aralığındaki IP adreslerinin tamamı etkilenir.

2001:db8::/32

Bu IPv4 örneğinde, son 8 bit (yani sıfır) dikkate alınmaz ve 64.233.187.0 - 64.233.187.255 aralığındaki IP adreslerinin tamamı etkilenir.

64.233.187.0/24

Ağ maskesi olmayan alanlarda, süper kullanıcı olmayan kullanıcıları kimlik sağlayıcıya (IdP) eklemeniz gerekir.

Google hizmet URL'lerini ziyaret ederken TOA kullanıcı deneyimi

Aşağıdaki tabloda, Google hizmet URL'lerine doğrudan ziyaretler için ağ maskesi olan ve olmayan kullanıcı deneyimi gösterilmektedir:

Ağ maskesi olmadan	Süper yöneticiler:	Kullanıcılar:
hizmet.google.com	Google e-posta adresleri ve şifreleri istenir.	E-posta adreslerini girmeleri istenir ve ardından TOA oturum açma sayfasına yönlendirilirler.
Ağ maskesi olduğunda	Süper yöneticiler ve kullanıcılar:
hizmet.google.com	E-posta adresleri ve şifreleri istenir.
hizmet.google.com /a/alan_adiniz.com* (ağ maskesi içinde)	TOA oturum açma sayfasına yönlendirilirler.
hizmet.google.com /a/alan_adiniz.com* (ağ maskesi dışında)	E-posta adresleri ve şifreleri istenir.
accounts.google.com/ o/oauth2/v2/auth?login_hint= xxxxx@example.com	login_hint URL parametresini kullanarak Google'ın OAuth 2.0 uç noktasına erişen kullanıcılar TOA oturum açma sayfasına yönlendirilir.

* Tüm hizmetler bu URL kalıbını desteklememektedir. Gmail ve Drive bu tür hizmetlere örnek gösterilebilir.

Ağ maskesi yapılandırıldığında oturumun sona ermesi

Bu bölüm, yalnızca aşağıdaki koşulların tamamı mevcutsa geçerlidir:

Alanınızda, üçüncü taraf IdP'ye sahip bir TOA sistemi varsa.
Alanınızda bir ağ maskesi varsa.
Kullanıcı üçüncü taraf IdP üzerinden oturum açtıysa ("TOA kullanıcı/ağ eşleme matrisi" bölümündeki tabloyu inceleyin).

Aşağıdaki durumlarda kullanıcının etkin Google oturumu sonlandırılabilir ve kullanıcıdan kimliğini tekrar doğrulaması istenebilir:

Kullanıcı oturumu, Yönetici konsolundaki Google oturum kontrolü ayarında belirtilen, izin verilen maksimum süreye ulaştığında.
Yönetici, şifreyi değiştirerek veya kullanıcının bir sonraki oturum açma işleminde şifreyi değiştirmesini zorunlu kılarak kullanıcı hesabında değişiklik yaptığında (Yönetici konsolu üzerinden veya Yönetici SDK'sini kullanarak).

Kullanıcı deneyimi

Kullanıcı, oturumu üçüncü taraf IdP'de başlattıysa, oturum temizlenir ve kullanıcı Google ile Oturum Açma sayfasına yönlendirilir.

Kullanıcı, Google oturumunu üçüncü taraf IdP üzerinde başlattığından, hesabına tekrar erişebilmek için neden Google'da oturum açması gerektiğini anlayamayabilir. Kullanıcılar, diğer Google URL'lerine gitmeye çalıştıklarında bile bir Google ile Oturum Açma sayfasına yönlendirilebilir.

Etkin kullanıcı oturumlarını sonlandırmayı içeren bir bakım planınız varsa ve kullanıcıların kafasını karıştırmak istemiyorsanız, kullanıcılarınıza oturumlarını kapatmalarını ve bakım tamamlanıncaya kadar oturum açmamalarını söyleyin.

Kullanıcı kurtarma

Etkin oturumunun sonlandırılması nedeniyle Google ile Oturum Açma sayfasına yönlendirilen bir kullanıcı, aşağıdakilerden birini yaparak hesabına tekrar erişebilir:

Kullanıcı, "Bu sayfaya yanlışlıkla eriştiyseniz oturumu kapatıp daha sonra tekrar oturum açmayı denemek için lütfen burayı tıklayın," hatasıyla karşılaşıyorsa, mesajdaki bağlantıyı tıklayabilir.
Kullanıcı bu mesajı veya bağlantıyı görmüyorsa oturumunu kapatır ve https://accounts.google.com/logout adresine giderek yeniden oturum açar.
Kullanıcı, tarayıcı çerezlerini temizleyebilir.

Kurtarma yöntemlerinden herhangi birini kullandıktan sonra, kullanıcının Google oturumu tamamen sonlandırılır. Bunun ardından kullanıcı oturum açabilir.

TOA ile 2 Adımlı Doğrulama'yı ayarlama

Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
Yönetici konsolunda Menü GüvenlikKimlik doğrulamaGiriş sorgulamaları'na gidin.
Solda, politikayı oluşturmak istediğiniz kuruluş birimini seçin.
Tüm kullanıcılar için en üst düzey kuruluş birimini seçin. Başlangıçta kuruluş birimleri, üst kuruluşunun ayarlarını devralır.
TOA sonrası doğrulama'yı tıklayın.
Ayarları, kuruluşunuzda TOA profillerini kullanma şeklinize göre seçin. Eski TOA profilini kullanan ve diğer TOA profillerini kullanarak oturum açan kullanıcılar için bir ayar uygulayabilirsiniz.
Sağ altta, Kaydet'i tıklayın.
Google, yönetici denetleme günlüğünde politika değişikliğinin gösterildiği bir giriş oluşturur.

Varsayılan TOA sonrası doğrulama ayarı, TOA kullanıcı türüne bağlıdır:

Eski TOA profilini kullanarak oturum açan kullanıcılar için varsayılan ayar, ek giriş sorgulamaları ve 2 Adımlı Doğrulama'yı atlamaktır.
TOA profillerini kullanarak oturum açan kullanıcılar için varsayılan ayar, ek giriş sorgulamaları ve 2 Adımlı Doğrulama'nın uygulanmasıdır.

Ek kaynaklar

Bu size yardımcı oldu mu?

Bunu nasıl iyileştirebiliriz?