In qualità di amministratore, puoi configurare il provisioning di utenti e Single Sign-On (SSO) tra un tenant Microsoft Azure Active Directory (AD) e il tuo account Google Workspace o Cloud Identity. Quindi, i tuoi utenti potranno accedere a una pagina di autenticazione di Azure anziché alla schermata di accesso di Google sui propri dispositivi ChromeOS.
Il supporto del servizio SSO (Single Sign-On) basato sullo standard SAML (Security Assertion Markup Language) sui dispositivi ChromeOS consente agli utenti di accedere a un dispositivo con gli stessi meccanismi di autenticazione utilizzati nel resto dell'organizzazione. Le loro password possono rimanere all'interno dell'IdP (provider di identità) della tua organizzazione. La modalità di accesso è molto simile all'accesso a un account Google Workspace da un browser tramite il servizio SSO basato su SAML. Tuttavia, poiché un utente esegue l'accesso a un dispositivo, esistono alcune altre considerazioni da fare.
Prima di iniziare
- Il tuo dominio è configurato in Azure e Google (Workspace o Cloud Identity).
- I nomi degli account utente sono gli stessi per Azure e Google. La directory di Azure contiene il tuo dominio come sottodominio registrato.
- Questi passaggi non richiedono una federazione locale, ad esempio ADFS (Active Directory Federation Services). Tuttavia, fanno affidamento sul servizio equivalente basato su cloud in bundle con il livello gratuito di Azure AD.
Procedura
Passaggio 1: crea l'applicazione aziendale
- Accedi al portale di Azure Active Directory.
- Nella casella di ricerca in alto, inserisci applicazione aziendale e selezionala dall'elenco dei risultati di ricerca.
- Nella parte superiore del riquadro delle applicazioni aziendali, fai clic su Nuova applicazione.
- In Cloud Platform, fai clic su Google Cloud Platform.
- Fai clic su Google Cloud/G Suite Connector by Microsoft.
- Per il nome, inserisci Google Cloud/G Suite Connector by Microsoft.
- Fai clic su Crea.
Passaggio 2: assegna un utente specifico alla tua applicazione aziendale
Sempre nel portale di Azure Active Directory:
- A sinistra, in Gestisci, fai clic su Utenti e gruppi. In alternativa, nella sezione Introduzione della Pagina Panoramica, fai clic su Assegna utenti e gruppi.
- Nella parte superiore del riquadro Utenti e gruppi, fai clic su Aggiungi utente/gruppo.
- Nel riquadro Aggiungi assegnazione a sinistra, in Utenti, fai clic su Nessuna selezione.
- Nel riquadro Utenti, seleziona l'utente che ti interessa.
- Fai clic su Seleziona.
- Nel riquadro Aggiungi assegnazione, fai clic su Assegna.
Passaggio 3: configura il servizio SSO con SAML
Sempre nel portale di Azure Active Directory:
- A sinistra, in Gestisci, fai clic su Single Sign-On.
- Seleziona un metodo Single Sign-On. Fai clic su SAML.
- Nella pagina di accesso basata su SAML, vai a Configurazione di base SAML.
- Fai clic su Modifica.
- Configura l'identificatore (ID entità). Aggiungi gli URL:
- google.com/a/iltuodominio.com
- https://google.com/a/iltuodominio.com
- Configura l'URL di risposta (URL Assertion Consumer Service):
- Aggiungi gli URL:
- https://www.google.com/acs
- https://www.google.com/a/iltuodominio.com/acs
- Imposta il valore predefinito:
- Accanto a https://www.google.com/a/iltuodominio.com/acs, seleziona la casella Predefinito.
- Aggiungi gli URL:
- Configura l'URL di Sign-on. Aggiungi URL:
- https://www.google.com/a/iltuodominio.com/ServiceLogin?continue=https://mail.google.com
- Fai clic su Salva.
- Scarica la versione Base64 del certificato:
- Sempre nella pagina Sign-on basato su SAML, vai a Certificato di firma SAML.
- Accanto a Certificato (Base64), fai clic su Scarica.
- Raccogli le informazioni necessarie per configurare Google Cloud/G Suite Connector by Microsoft per il collegamento con Azure AD:
- Sempre nella pagina Sign-on basato su SAML, vai a Configura Google Cloud/G Suite Connector by Microsoft.
- Copia gli URL:
- URL di accesso: la pagina da cui gli utenti accedono al sistema e a Google Workspace.
- URL di uscita: la pagina a cui gli utenti vengono reindirizzati dopo la disconnessione.
Passaggio 4: configura il servizio SSO di Azure
Configurare impostazioni IdP di terze parti
-
Accedi alla Console di amministrazione Google.
Accedi utilizzando l'account amministratore (che non termina con @gmail.com).
-
Nella Console di amministrazione, vai al Menu
Sicurezza
Panoramica.
- Fai clic su Configura il Single Sign-On (SSO) con un provider di identità di terze parti.
- Fai clic su Aggiungi profilo SSO.
- Seleziona la casella Configura SSO con provider di identità di terze parti.
- Inserisci gli URL dell'IdP di terze parti:
- URL della pagina di accesso: incolla l'URL di accesso che hai copiato nel passaggio 3 descritto sopra.
- URL della pagina di disconnessione: incolla l'URL di uscita che hai copiato nel passaggio 3 descritto sopra.
Nota: gli URL devono utilizzare HTTPS.
- Fai clic su Sostituisci certificato.
- Seleziona il file che vuoi utilizzare e fai clic su Apri.
- Fai clic sulla casella Utilizza una società di emissione di domini specifica.
- Per cambiare l'URL della password, inserisci l'URL:
- https://account.activedirectory.windowsazure.com/changepassword.aspx
- Fai clic su Salva.
Configurare le impostazioni utente
Sempre nella Console di amministrazione:
-
Nella Home page della Console di amministrazione, vai a Dispositivi
- Fai clic su Impostazioni
Utenti e browser.
- Per applicare l'impostazione a tutti gli utenti e ai browser registrati, lascia selezionata l'unità organizzativa principale. Altrimenti, seleziona un'unità organizzativa secondaria.
- Vai a Sicurezza.
- Per il Single Sign-On, seleziona Attiva il servizio Single Sign-On basato su SAML per dispositivi Chrome.
- (Facoltativo) Per la frequenza di accesso Single Sign-On SAML, inserisci un valore inferiore a quello della data di scadenza della password. Per informazioni dettagliate sull'impostazione, vedi Impostare i criteri di Chrome per utenti o browser.
- Fai clic su Salva.
Utenti e browser.Configurare le impostazioni dispositivo
Sempre nella Console di amministrazione:
- Nella parte superiore della pagina, fai clic su Impostazioni dispositivo. In alternativa, dalla home page della Console di amministrazione, vai a Dispositivi
- Per applicare l'impostazione a tutti gli utenti e ai browser registrati, lascia selezionata l'unità organizzativa principale. Altrimenti, seleziona un'unità organizzativa secondaria.
- Vai a Impostazioni di accesso.
- Per il reindirizzamento all'IdP Single Sign-On, seleziona Consenti agli utenti di andare direttamente alla pagina del provider di identità che utilizza il servizio SSO basato su SAML. Per maggiori dettagli sulla configurazione, vedi Configurare i criteri relativi ai dispositivi Chrome.
- Per il comportamento dei cookie Single Sign-On, seleziona Attiva trasferimento dei cookie SSO SAML nella sessione utente durante l'accesso. Per maggiori dettagli sulla configurazione, vedi Configurare i criteri relativi ai dispositivi Chrome.
- Fai clic su Salva.
Passaggio 5: testa i dispositivi ChromeOS
- Attiva un dispositivo ChromeOS gestito.
- Nella pagina Accedi al tuo Chromebook, fai clic su Avanti.
- Nella pagina di accesso di Microsoft, inserisci il tuo nome utente di AD.
- Tocca Avanti.
- Inserisci la password.
- Fai clic su Accedi.
- Per mantenere l'accesso ed entrare nella sessione utente, fai clic su Sì.
Passaggio 6: configura il provisioning degli utenti di Azure AD
Quando hai eseguito la registrazione a Cloud Identity o Google Workspace, hai creato un account super amministratore. Sebbene possa essere utilizzato per Azure AD, è consigliabile creare un account super amministratore separato, utilizzato esclusivamente da Azure AD.
Creare utente
-
Accedi alla Console di amministrazione Google.
Accedi utilizzando l'account amministratore (che non termina con @gmail.com).
- Nella Console di amministrazione, vai a Menu
Directory
- Nella parte superiore della pagina, fai clic su Aggiungi nuovo utente.
- Inserisci i dati dell'account. Per informazioni dettagliate, vedi Aggiungere un account per un nuovo utente.
- Fai clic su Aggiungi nuovo utente.
- Per completare l'aggiunta del nuovo utente, fai clic su Fine.
Impostare un utente come super amministratore
Sempre nella Console di amministrazione:
- Nella Console di amministrazione, vai a Menu
- Nell'elenco Utenti, individua il nuovo utente appena creato.
- Fai clic sul nome dell'utente per aprire la pagina del suo account.
- Fai clic su Ruoli e privilegi di amministratore.
- Fai clic su Assegna ruoli.
- Accanto al ruolo Super amministratore, fai clic sul dispositivo di scorrimento in modo che il ruolo sia contrassegnato come Assegnato
.
- Fai clic su Salva.
Suggerimento: chiedi al nuovo amministratore di aggiungere opzioni di recupero al proprio account.
In genere l'utente diventa un amministratore a tutti gli effetti entro pochi minuti, ma l'operazione può richiedere fino a 24 ore.
Gestire il provisioning degli account utente
- Accedi al portale di Azure Active Directory.
- Nella casella di ricerca in alto, inserisci applicazione aziendale e selezionala dall'elenco dei risultati di ricerca.
- Cerca e fai clic su Google Cloud/G Suite Connector by Microsoft.
- A sinistra, in Gestisci, fai clic su Provisioning.
- Fai clic su Inizia.
- Per la modalità di provisioning, seleziona Automatica.
- Fai clic su Credenziali dell'amministratore.
- Fai clic su Autorizza.
- Accedi utilizzando il nuovo account super amministratore che hai appena creato.
- Fai clic su Consenti per confermare l'accesso all'API Cloud Identity.
- Nella sezione Credenziali amministratore, fai clic su Verifica connessione. Vedrai un messaggio che indica se hai l'autorizzazione ad attivare il provisioning.
- (Facoltativo) In Mappature, configura il provisioning degli utenti o dei gruppi. Ti consigliamo di utilizzare l'impostazione predefinita.
- Fai clic su Salva.
- Nella parte superiore della pagina Provisioning, fai clic su Avvia provisioning.
- Attendi il termine della sincronizzazione.
Argomenti correlati
- Configurare il servizio Single Sign-On basato su SAML per i dispositivi ChromeOS
- Provisioning degli utenti di Azure AD e Single Sign-On
- Tutorial: integrazione di Single Sign-On (SSO) di Azure Active Directory con Google Cloud (G Suite) Connector
Google e marchi e loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle rispettive società a cui sono associati.