Login ke Chrome dengan Microsoft Entra ID

Sebagai admin, Anda dapat menggunakan konsol Google Admin untuk menyiapkan profil Chrome sehingga pengguna dapat login ke browser Chrome dengan kredensial pihak ketiga mereka—seperti Microsoft Entra ID—di komputer Windows, Mac, atau Linux.

Langkah 1: Buat aplikasi OIDC di Microsoft Entra ID

Catatan: Untuk membuat aplikasi OpenID Connect (OIDC), Anda harus memiliki akun Microsoft Azure dengan peran Application Administrator atau Cloud Application Administrator.

1. Daftarkan aplikasi OIDC

1. Di portal Microsoft Azure, buka Microsoft Entra ID service.
2. Di sebelah kiri, pilih App registrationsNew registration.
3. Di halaman pendaftaran aplikasi, masukkan informasi berikut:
   1. Beri aplikasi nama yang sesuai, seperti Pendaftaran Profil Chrome.
   2. Untuk Supported account type, pilih jenis direktori yang paling sesuai dengan organisasi Anda saat ini.
   3. Untuk Redirect URI, biarkan kosong.
   4. Klik Register.
      Setelah aplikasi dibuat, halaman konfigurasi pendaftaran aplikasi akan terbuka.
      Catatan: Jika halaman konfigurasi tidak terbuka, Anda dapat mengaksesnya melalui halaman beranda Microsoft Entra ID, dengan memilih App registrationsAll applications, lalu memilih aplikasi yang baru saja Anda buat.
4. Dari halaman Overview, salin Application (client) ID [ID Aplikasi (klien)] dan Directory (tenant) ID untuk digunakan di langkah-langkah berikutnya.

2. Konfigurasi autentikasi dan URI pengalihan

Masih di halaman Overview aplikasi:

1. Buka ManageAuthenticationPlatform configurations.
2. Klik Add a platform.
3. Pilih Web.
4. Masukkan Redirect URI ini: https://chromeenterprise.google/profile-enrollment/register-handler
5. Klik Configure atau Save.

3. Buat rahasia klien

Masih di halaman Overview aplikasi:

1. Buka ManageCertificates & secrets.
2. Di tab Client secrets (Rahasia klien), klik + New client secret.
3. Masukkan deskripsi yang relevan, seperti Rahasia Aplikasi Pendaftaran Chrome.
4. Pilih periode masa berlaku yang sesuai—misalnya, 6 bulan atau 1 tahun—dan rencanakan rotasi.

   Penting: Untuk mencegah pemadaman layanan, hubungi admin yang relevan dan beri tahu mereka tentang tanggal habis masa berlaku ini.

5. Klik Add dan salin nilai rahasia klien untuk digunakan di langkah selanjutnya.

   Penting: Nilai ini hanya ditampilkan sekali dan tidak dapat diambil lagi, jadi simpan dengan aman.

4. Identifikasi URL penerbit

Masih di halaman Overview aplikasi:

1. Buka ManageEndpoints.
2. Temukan OpenID Connect metadata document dan salin URI ini untuk digunakan di langkah-langkah berikutnya.

   Catatan: URI adalah URL Penerbit yang akan Anda gunakan untuk penyiapan konektor Pendaftaran Universal di konsol Google Admin. Untuk langkah ini, Anda hanya memerlukan URL dasar untuk konektor—misalnya, https://login.microsoftonline.com/{tenant-id}/v2.0.

5. Konfigurasi klaim untuk email dan token pendaftaran

Masih di halaman Overview aplikasi, untuk klaim email standar:

1. Buka ManageToken configuration.
2. Klik + Add optional claim.
3. Pilih ID sebagai jenis token.
4. Pilih klaim opsional yang paling sesuai dengan atribut pengguna Anda. Misalnya, email, preferred_username, upn, dan sebagainya.

   Catatan: Jika diminta, aktifkan izin email Microsoft Graph.

5. Klik Add.

Langkah 2: Buat konektor pendaftaran berbasis identitas

Catatan: Anda harus menjadi admin super untuk menambahkan konfigurasi penyedia baru. Untuk mengetahui detail tentang peran admin super, lihat Peran administrator standar.

1. Login ke Konsol Google Admin dengan akun administrator.

   Jika tidak menggunakan akun administrator, Anda tidak dapat mengakses konsol Admin.

2. Buka Menu  Browser Chrome > Konektor.

   Memerlukan Hak istimewa administrator Chrome.

3. (Opsional) Jika Anda mengonfigurasi setelan konektor Chrome Enterprise untuk pertama kalinya, ikuti petunjuk guna mengaktifkan Chrome Enterprise Connectors.
4. Di bagian atas, klik Konfigurasi penyedia baru.
5. Di panel yang muncul di sebelah kanan, pilih konektor Pendaftaran Universal.
6. Klik Siapkan.
7. Masukkan detail konfigurasi menggunakan nilai yang dicatat di Langkah 1: Buat aplikasi OIDC di Microsoft Entra ID.
   1. Nama konfigurasi: Masukkan nama deskriptif.
   2. Client ID: Masukkan ID Aplikasi (klien) yang Anda salin saat mendaftarkan aplikasi OIDC.
   3. Rahasia klien: Masukkan nilai yang Anda salin saat membuat rahasia klien.
   4. URL Penerbit: Masukkan URL dasar yang Anda salin saat mengidentifikasi URL Penerbit. Misalnya, https://login.microsoftonline.com/{tenant-id}/v2.0.
   5. Nama klaim email: Masukkan atribut pengguna unik pilihan. Misalnya, email, preferred_username, upn, dan sebagainya.
   6. Nama klaim Token Pendaftaran: Masukkan peran.
8. Setelah validasi selesai, klik Tambahkan konfigurasi.

Langkah 3: Buat token pendaftaran

Masih di konsol Google Admin:

1. Buat token pendaftaran. Lihat Membuat token pendaftaran.
2. Salin token yang Anda buat untuk digunakan di langkah berikutnya.

Langkah 4: Tetapkan pengguna dan token pendaftaran ke aplikasi

1. Kembali ke portal Microsoft Azure.
2. Buka App registrationsMicrosoft Entra IDApp registration.
3. Di halaman Overview, buka ManageApp roles.
4. Klik Create app role.
5. Isi nilai sebagai berikut:
   1. Display name dan Description: Masukkan nama deskriptif untuk pendaftaran.
   2. Value: Masukkan token pendaftaran yang Anda salin dari konsol Admin di Langkah 3: Buat token pendaftaran.
   3. Klik Enable untuk memvalidasi peran aplikasi.
6. Klik Apply atau Save.
7. Dari halaman beranda, buka Enterprise Applications.
8. Pilih Registered Enrollment Application Anda:
   • Tetapkan pengguna dan grup.
   • Tambahkan pengguna/grup. Pilih pengguna atau grup yang diperlukan untuk pendaftaran. Anda dapat menggunakan grup Keamanan atau Microsoft 365.
9. Klik Select untuk mengonfirmasi, lalu klik Assign.

Langkah 5: Daftarkan profil

1. Kembali ke konsol Google Admin
2. Buka Menu  Browser Chrome > Konektor.

   Memerlukan Hak istimewa administrator Chrome.

3. Pilih konektor pendaftaran berbasis identitas Anda.
4. Dari panel samping Detail, salin URL pendaftaran.
5. Buka browser Chrome (versi 134 atau yang lebih baru).
6. Buka URL pendaftaran. Anda akan dialihkan ke halaman login IdP.
7. Setujui pembuatan profil saat Chrome meminta izin.
8. Setelah konfigurasi selesai, bagikan URL kepada pengguna Anda agar mereka dapat membuat profilnya sendiri.

(Opsional) Langkah 6: Penerapan dengan Conditional Access

Anda dapat menerapkan penggunaan Profil Kerja Chrome dengan membuat kebijakan akses di Conditional Access Microsoft. Resource perusahaan Anda hanya dapat diakses dari profil yang dikelola oleh organisasi Anda. Untuk mengetahui detail selengkapnya, lihat Mengonfigurasi browser Chrome untuk menyediakan sertifikat kliennya sendiri.

1. Kembali ke portal Microsoft Azure.
2. Buka ManageAuthenticationPlatform configurations.
3. Klik Add a platform.
   1. Di bagian Implicit grant and hybrid flows, centang Access token dan ID token, lalu klik Save.
   2. Di sebelah kiri, buka API permissions.
   3. Pilih Add a permission, lalu pilih Microsoft Graph API.
      1. Pilih Delegated permissions, lalu pilih izin email, openid, dan profile.
         Pastikan izin User.Read default masih diaktifkan.
      2. Klik Add permissions.
   4. Di sebelah kiri, klik Token configuration.
   5. Pilih Add optional claim.
   6. Untuk jenis token, pilih ID, lalu pilih klaim auth_time dan upn.
   7. Klik Add.

Google serta merek dan logo terkait adalah merek dagang Google LLC. Semua nama perusahaan dan produk lainnya adalah merek dagang masing-masing perusahaan terkait.