Underhålla SAML-certifikat

I dina SAML-appar används X.509-certifikat för att bekräfta att meddelanden som delas mellan identitetsleverantören (IdP) och tjänstleverantören (SP) är äkta och skyddade. I egenskap av huvudadministratör kan du använda administratörskonsolen för att

• enkelt visa de X.509-certifikat som används i dina SAML-appar
• identifiera X.509-certifikat som är på väg att löpa ut
• skapa nya certifikat och tilldela dem till dina SAML-appar.Detta kallas certifikatrotation.

Varför ska du rotera SAML-certifikat?

X.509-certifikat har fem års livslängd. Du ska rotera ett certifikat om det är på väg att löpa ut eller för att det utsatts för intrång. Om ett certifikat löper ut innan du roterar det kan användarna inte använda SSO för att logga in på SAML-appar som använder detta certifikat förrän du har ersatt det med ett nytt certifikat. 

När du har skapat ett nytt certifikat måste du tilldela det till var och en av dina SAML-appar i Google (IdP-sidan) och även uppdatera motsvarande SSO-konfiguration på SP-sidan med det nya certifikatet.

Hantera SAML-certifikat

Ditt konto har ett standardcertifikat som du kan använda för alla dina SAML-appar. Du kan lägga till ett andra certifikat eller radera ett eller båda av certifikaten och skapa nya certifikat:

1. Logga in på Googles administratörskonsol.

   Logga in med ett konto som har behörighet som avancerad administratör (slutar inte på @gmail.com).

2. På administratörskonsolen går du till menyn  SäkerhetAutentiseringSSO med SAML-appar.

   Du måste vara inloggad som avancerad administratör för den här uppgiften.

   Avsnittet Certifikat visar dina befintliga X.509-certifikat. Du kan ha upp till två certifikat i taget. Certifikatets namn, sista giltighetsdatum, innehåll och SHA-256-fingeravtryck visas. Använd knapparna till höger för att kopiera, ladda ned eller radera ett certifikat.

3. (Valfritt) Om du bara har ett certifikat klickar du på Lägg till ytterligare certifikat för att skapa ett andra certifikat.

   Obs! Det certifikat som skapats senast (det nyaste) blir standardcertifikatet som används för att konfigurera SSO för nya SAML-appar.

4. (Valfritt) Så här skapar du ett nytt certifikat:
   1. Klicka på Radera om du vill radera ett certifikat.

      Om certifikatet du raderar används av installerade SAML-appar visar ett fönster de berörda apparna och varnar dig för att SSO med appen inte är tillgängligt förrän du har tilldelat ett nytt certifikat till dessa appar.

   2. Klicka på Radera certifikat. När du raderar ett certifikat får det följande resultat:
      • Om du har ett certifikat skapas ett nytt certifikat automatiskt för att ersätta det.
      • Om du har två certifikat och raderar certifikat 1, ersätter certifikat 2 certifikat 1.
5. Om du har ersatt ett certifikat som används av en av dina SAML-appar följer du stegen i nästa avsnitt för att tilldela det nya certifikatet till de berörda apparna. Du måste även uppdatera certifikatet i SSO-inställningarna för dessa appar på tjänstleverantörens administrativa webbplats.

Tips! SAML-certifikathändelser (radering, generering, byte av en SAML-apps tilldelade certifikat) loggas i administratörsgranskningsloggen.

Uppdatera certifikatet som används av en SAML-app

1. Logga in på Googles administratörskonsol.

   Logga in med ett konto som har behörighet som avancerad administratör (slutar inte på @gmail.com).

2. På administratörskonsolen går du till menyn  ApparWebb- och mobilappar.

3. Klicka på SAML-appen för att öppna inställningssidan.
4. Klicka på Uppgifter om tjänstleverantör.

   Under Certifikat visas det aktuella certifikat som används av appen, inklusive certifikat-id och utgångsdatum. Om du har raderat det certifikat som ursprungligen användes för att konfigurera appen ser du varningen Inget certifikat tilldelat. 

5. Klicka på nedåtpilen och välj ett certifikat.
6. (Valfritt) Om det inte finns något annat certifikat tillgängligt, eller om du måste skapa nya certifikat, klickar du på Hantera certifikat och väljer anvisningarna i Hantera SAML-certifikat ovan.
7. När du har ändrat certifikatet som har tilldelats till SAML-appen måste du även uppdatera appens SSO-konfiguration med det nya certifikatet på tjänstleverantörens webbplats. SSO med SAML-appen fungerar inte förrän konfigurationen på SP-sidan också har uppdaterats. 

Viktigt! När du ersätter ett certifikat kan det ta upp till 24 timmar innan det nya certifikatet blir tillgängligt för användning av dina SAML-appar.