Mempertahankan sertifikat SAML

Aplikasi SAML menggunakan sertifikat X.509 untuk mengonfirmasi keaslian dan integritas pesan yang dibagikan antara Penyedia Identitas (IdP) dan Penyedia Layanan (SP). Sebagai administrator super, Anda dapat menggunakan konsol Admin untuk:

• Melihat sertifikat X.509 yang digunakan oleh aplikasi SAML dengan mudah
• Mengidentifikasi sertifikat X.509 yang akan segera berakhir
• Membuat sertifikat baru dan menetapkannya ke aplikasi SAML. Tindakan ini disebut Rotasi Sertifikat.

Mengapa harus merotasi sertifikat SAML?

Sertifikat X.509 berlaku selama lima tahun. Anda harus merotasi sertifikat jika masa berlakunya akan segera berakhir, atau jika sertifikat tersebut telah disusupi. Jika masa berlaku sertifikat berakhir sebelum Anda merotasinya, pengguna tidak akan dapat menggunakan SSO untuk login ke aplikasi SAML apa pun yang menggunakan sertifikat tersebut hingga Anda menggantinya dengan sertifikat baru. 

Setelah membuat sertifikat baru, Anda harus menetapkannya ke setiap aplikasi SAML di Google (sisi IdP), serta mengupdate konfigurasi SSO sisi SP yang sesuai dengan sertifikat baru tersebut.

Mengelola sertifikat SAML

Akun Anda sudah dilengkapi dengan satu sertifikat default yang dapat Anda gunakan untuk semua aplikasi SAML. Anda dapat menambahkan sertifikat kedua, atau menghapus satu atau kedua sertifikat, dan membuat sertifikat baru:

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  KeamananAutentikasiSSO dengan aplikasi SAML.

   Anda harus login sebagai administrator super untuk tugas ini.

   Bagian Sertifikat menunjukkan sertifikat X.509 Anda saat ini. Anda dapat memiliki maksimal 2 sertifikat sekaligus. Nama, tanggal habis masa berlaku, konten, dan sidik jari SHA-256 sertifikat akan ditampilkan. Gunakan tombol di sebelah kanan untuk menyalin, mendownload, atau menghapus sertifikat.

3. (Opsional) Jika Anda hanya memiliki satu sertifikat, klik Tambahkan sertifikat lain untuk membuat sertifikat kedua.

   Catatan: Sertifikat yang paling baru dibuat (terbaru) akan menjadi sertifikat default yang digunakan untuk menyiapkan SSO bagi aplikasi SAML baru.

4. (Opsional) Untuk membuat sertifikat baru:
   1. Klik Hapus untuk menghapus sertifikat.

      Jika sertifikat yang Anda hapus digunakan oleh aplikasi SAML yang diinstal, akan muncul jendela yang mencantumkan aplikasi yang terpengaruh dan memperingatkan bahwa SSO dengan aplikasi tersebut tidak akan tersedia sampai Anda menetapkan sertifikat baru untuk aplikasi tersebut.

   2. Klik Hapus sertifikat. Penghapusan sertifikat akan mengakibatkan hal berikut:
      • Jika Anda memiliki satu sertifikat, sebuah sertifikat baru akan otomatis dibuat untuk menggantikannya.
      • Jika Anda memiliki dua sertifikat dan menghapus sertifikat 1, maka sertifikat 2 akan menggantikan sertifikat 1.
5. Jika Anda mengganti sertifikat yang digunakan aplikasi SAML, ikuti langkah-langkah di bagian berikutnya untuk menetapkan sertifikat baru bagi aplikasi yang terpengaruh. Anda juga harus mengupdate sertifikat di setelan SSO untuk aplikasi tersebut di situs administratif SP.

Tips: Peristiwa sertifikat SAML (penghapusan, pembuatan, perubahan sertifikat aplikasi SAML yang ditetapkan) dicatat dalam log audit Admin.

Mengupdate sertifikat yang digunakan aplikasi SAML

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  AplikasiAplikasi seluler dan web.

3. Klik aplikasi SAML untuk membuka halaman Setelannya.
4. Klik Detail penyedia layanan.

   Di bagian Sertifikat, sertifikat yang saat ini digunakan oleh aplikasi akan ditampilkan, termasuk ID sertifikat dan tanggal habis masa berlaku. Jika Anda menghapus sertifikat yang awalnya digunakan untuk menyiapkan aplikasi, Anda akan melihat peringatan Tidak ada sertifikat yang ditetapkan. 

5. Klik Panah bawah , lalu pilih sertifikat.
6. (Opsional) Jika tidak ada sertifikat lain yang tersedia, atau Anda perlu membuat sertifikat baru, klik Kelola sertifikat, lalu ikuti petunjuk pada Mengelola sertifikat SAML di atas.
7. Setelah mengubah sertifikat yang ditetapkan ke aplikasi SAML, pastikan Anda juga mengupdate konfigurasi SSO aplikasi dengan sertifikat baru di situs Penyedia Layanan. SSO tidak akan dapat berfungsi dengan aplikasi SAML hingga konfigurasi sisi SP juga diupdate. 

Penting: Setelah Anda mengganti sertifikat, mungkin perlu waktu hingga 24 jam bagi sertifikat baru agar tersedia untuk digunakan oleh aplikasi SAML.