SSO en gebruikersregistratie instellen tussen Microsoft Entra ID en ChromeOS

Als beheerder kun je gebruikersregistratie en Single sign-on (SSO) instellen tussen een Microsoft Entra ID-tenant en je Google Workspace- of Cloud Identity-account. Daarna kunnen de gebruikers inloggen op een Microsoft Entra ID-verificatiepagina in plaats van op het inlogscherm van Google op hun ChromeOS-apparaten.

Met ondersteuning voor Security Assertion Markup Language (SAML) Single sign-on (SSO) voor ChromeOS-apparaten kunnen gebruikers inloggen op een apparaat met dezelfde verificatiemethoden die je gebruikt in de rest van je organisatie. Hun wachtwoorden kunnen binnen de identiteitsprovider (IdP) van je organisatie blijven. Inloggen is vergelijkbaar met inloggen op een Google Workspace-account in een browser via SAML SSO. Omdat de gebruiker echter inlogt op een apparaat, moet je met verschillende zaken rekening houden.

Voordat u begint

• Je domein wordt ingesteld in Microsoft Entra ID en Google (Workspace of Cloud Identity).
• De namen van gebruikersaccounts zijn hetzelfde voor Microsoft Entra ID en Google. De Microsoft Entra ID-directory bevat je domein als geregistreerd subdomein.
• Voor deze stappen is geen lokale federatie vereist, zoals Active Directory Federation Services (ADFS). Ze gebruiken echter de equivalente cloudservice die is gebundeld met de Free Tier van Microsoft Entra ID.

Ga als volgt te werk

Stap 1: Maak een zakelijke app

1. Log in bij de Microsoft Azure-portal.
2. Voer in het zoekvak bovenaan enterprise application in en selecteer deze in de lijst met zoekresultaten.
3. Klik bovenaan het deelvenster Zakelijke apps op Nieuwe app.
4. Klik onder Cloudplatforms op Google Cloud Platform.
5. Klik op Google Cloud/G Suite-connector van Microsoft.
6. Voer bij Naam de waarde Google Cloud/G Suite Connector van Microsoft in.
7. Klik op Maken.

Stap 2: Wijs een specifieke gebruiker toe aan je zakelijke app

Nog steeds in de Microsoft Azure-portal:

1. Klik links, onder Beheren, op Gebruikers en groepen. Of klik op de overzichtspagina onder 'Aan de slag' op Gebruikers en groepen toewijzen.
2. Klik bovenaan het deelvenster Gebruikers en groepen op Gebruiker/groep toevoegen.
3. Klik links in het deelvenster Toewijzing toevoegen, onder Gebruikers, op Niets geselecteerd.
4. Selecteer in het deelvenster Gebruikers de gewenste gebruiker.
5. Klik op Selecteren.
6. Klik in het deelvenster 'Toewijzing toevoegen' op Toewijzen.

Stap 3: Stel SSO met SAML in

Nog steeds in de Microsoft Azure-portal:

1. Klik links, onder Beheren, op Single sign-on.
2. Selecteer een Single sign-on-methode. Klik op SAML.
3. Ga op de pagina op SAML-gebaseerde inlog naar SAML-basisconfiguratie.
4. Klik op Bewerken.
5. Configureer de ID (entiteits-ID). Voeg URL's toe:
   • google.com/a/uwdomein.com
   • https://google.com/a/uwdomein.com
6. Stel de antwoord-URL (Assertion Consumer Service-URL) in:
   1. Voeg URL's toe:
      • https://www.google.com/acs
      • https://www.google.com/a/uwdomein.com/acs
   2. Stel de standaard in:
      • Vink naast https://www.google.com/a/uwdomein.com/acs het vakje aan voor Standaard.
7. Stel de URL voor inloggen in. Voeg de URL toe:
   • https://www.google.com/a/uwdomein.com/ServiceLogin?continue=https://mail.google.com
8. Klik op Opslaan.
9. Download de Base64-versie van het certificaat:
   1. Ga op de pagina SAML-gebaseerde inlog naar SAML Signing Certificate (SAML-ondertekeningscertificaat).
   2. Klik naast Certificate (Base64) op Downloaden.
10. Verzamel de informatie die je nodig hebt om de Google Cloud-/G Suite-connector via de Microsoft-app in te stellen voor koppeling met Microsoft Entra ID:
    1. Ga op de pagina SAML-gebaseerde sign-on naar Google Cloud / G Suite Connector by Microsoft instellen.
    2. Kopieer de URL's:
       • Login-URL: De pagina waarop gebruikers kunnen inloggen bij je systeem en bij Google Workspace.
       • Uitlog-URL: De pagina waar gebruikers naartoe worden geleid nadat ze zijn uitgelogd.

Stap 4: Stel Microsoft Entra ID SSO in

Instellingen voor IdP's van derden definiëren

1. Log in bij de Google Beheerdersconsole.

   Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).

2.  Ga in de Beheerdersconsole naar Menu  BeveiligingOverzicht.
3. Klik op Single sign-on (SSO) instellen met een IdP van derden.
4. Klik op SSO-profiel toevoegen.
5. Vink het vakje aan voor SSO instellen met identiteitsprovider van derden.
6. Voer de URL's van je IdP's van derden in:
   1. URL inlogpagina: Plak de inlog-URL die je in stap 3 hierboven hebt gekopieerd.
   2. URL uitlogpagina: Plak de uitlog-URL die je in stap 3 hierboven hebt gekopieerd.
      Opmerking: URL's moeten HTTPS gebruiken.
7. Klik op Certificaat vervangen.
8. Selecteer het bestand dat je wilt gebruiken en klik op Openen.
9. Klik op het vakje Een domeinspecifieke uitgever gebruiken.
10. Voer bij 'URL voor wachtwoord wijzigen' de URL in:
    • https://account.activedirectory.windowsazure.com/changepassword.aspx
11. Klik op Opslaan.

Gebruikersinstellingen instellen

Nog steeds in de Beheerdersconsole:

1. Ga in de Beheerdersconsole naar Menu  ApparatenChromeInstellingen. De pagina Instellingen voor gebruikers en browsers wordt standaard geopend.

   Als je je hebt aangemeld voor Cloudbeheer voor de Chrome-browser, ga je naar Menu  Chrome-browserInstellingen.

2. Laat de organisatie-eenheid op het hoogste niveau geselecteerd als u wilt dat de instelling geldt voor alle gebruikers en ingeschreven browsers. Selecteer anders een onderliggende organisatie-eenheid.
3. Ga naar Beveiliging.
4. Selecteer bij Single sign-on de optie Op SAML gebaseerde Single sign-on aanzetten voor Chrome-apparaten.
5. (Optioneel) Voer voor de inlogfrequentie voor SAML Single sign-on een waarde in die korter is dan de tijd waarin het wachtwoord verloopt. Ga naar Chrome-beleid instellen voor gebruikers of browsers voor meer informatie over de instelling.
6. Klik op Opslaan.

Apparaatinstellingen instellen

Nog steeds in de Beheerdersconsole:

1. Klik bovenaan de pagina op Apparaatinstellingen. Of ga op de homepage van de Beheerdersconsole naar ApparatenChromeInstellingenApparaat.
2. Laat de organisatie-eenheid op het hoogste niveau geselecteerd als u wilt dat de instelling geldt voor alle gebruikers en ingeschreven browsers. Selecteer anders een onderliggende organisatie-eenheid.
3. Ga naar Inloginstellingen.
4. Selecteer bij 'Single sign-on IdP-omleiding' de optie Gebruikers toestaan rechtstreeks naar de SAML SSO IdP-pagina te gaan. Ga naar Chrome-apparaatbeleid instellen voor meer informatie over de instelling.
5. Selecteer voor 'Gedrag van Single sign-on-cookies' de optie Overdracht van SAML SSO-cookies naar gebruikerssessie tijdens inloggen aanzetten. Ga naar Chrome-apparaatbeleid instellen voor meer informatie over de instelling.
6. Klik op Opslaan.

Stap 5: Test ChromeOS-apparaten

1. Zet een beheerd ChromeOS-apparaat aan.
2. Klik op de pagina Aanmelden bij uw Chromebook op Volgende.
3. Voer op de Microsoft-inlogpagina je AD-gebruikersnaam in.
4. Klik op Volgende.
5. Voer je wachtwoord in.
6. Klik op Inloggen.
7. Klik op Ja om ingelogd te blijven en de gebruikerssessie te openen.

Stap 6: Stel gebruikersregistratie in voor Microsoft Entra ID

Toen je je aanmeldde voor Cloud Identity of Google Workspace, heb je een hoofdbeheerdersaccount gemaakt. Hoewel je deze kunt gebruiken voor de Microsoft Entra ID, raden we je aan een apart hoofdbeheerdersaccount te maken dat alleen wordt gebruikt door de Microsoft Entra ID.

Gebruiker maken

1. Log in bij de Google Beheerdersconsole.

   Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).

2. Ga in de Beheerdersconsole naar Menu  DirectoryGebruikers.
3. Klik bovenaan de pagina op Nieuwe gebruiker toevoegen.

   

4. Geef je accountgegevens op. Ga naar Een account toevoegen voor een nieuwe gebruiker voor meer informatie.
5. Klik op Nieuwe gebruiker toevoegen.
6. Klik op Gereed om het toevoegen van de nieuwe gebruiker te voltooien.

Gebruiker hoofdbeheerder maken

Nog steeds in de Beheerdersconsole:

1. Ga in de Beheerdersconsole naar Menu  DirectoryGebruikers.
2. Zoek in de lijst Gebruikers de nieuwe gebruiker die je zojuist hebt gemaakt.
3. Klik op de naam van de gebruiker om de accountpagina te openen.
4. Klik op Beheerdersrollen en -rechten.

   

5. Klik op Rollen toewijzen.
6. Klik naast de rol Hoofdbeheerder op de schuifregelaar zodat deze wordt gemarkeerd als Toegewezen .
7. Klik op Opslaan.
   Tip: Vraag de nieuwe beheerder om herstelopties toe te voegen aan het account.

Gebruikers worden meestal binnen enkele minuten beheerder. In sommige gevallen kan dit echter 24 uur duren.

Registratie van gebruikersaccounts beheren

1. Log in bij de Microsoft Azure-portal.
2. Voer in het zoekvak bovenaan enterprise application in en selecteer deze in de lijst met zoekresultaten.
3. Zoek Google Cloud / G Suite-connector van Microsoft en klik erop.
4. Klik links onder Beheren op Registratie.
5. Klik op Aan de slag.
6. Selecteer Automatisch bij de registratiemodus.
7. Klik op Inloggegevens voor beheerders.
8. Klik op Autoriseren.
9. Log in met het nieuwe hoofdbeheerdersaccount dat u zojuist heeft gemaakt.
10. Klik op Toestaan om de toegang tot de Cloud Identity API te bevestigen.
11. Klik onder Inloggegevens voor beheerders op Verbinding testen. Je ziet een bericht waarin staat of je bent geautoriseerd om de registratie in te schakelen.
12. (Optioneel) Stel onder Toewijzingen de gebruikers- of groepsregistratie in. We raden je aan de standaardinstelling te gebruiken.
13. Klik op Opslaan.
14. Klik bovenaan de registratiepagina op Registratie starten.
15. Wacht tot de synchronisatie is afgerond.

Gerelateerde onderwerpen

• SAML Single sign-on instellen voor ChromeOS-apparaten
• Gebruikersregistratie voor Microsoft Entra ID en single sign-on
• Tutorial: Microsoft Entra SSO-integratie met Google Cloud / G Suite-connector van Microsoft

Google en de gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.