Erforderliche SSO-Assertions

Als Administrator müssen Sie sicherstellen, dass die in den folgenden Tabellen aufgeführten Elemente und Attribute für SAML 2.0 SSO-Assertions an den Google Assertion Consumer Service (ACS) gesendet werden, nachdem der Nutzer vom Identitätsanbieter authentifiziert wurde.

Assertions an den ACS senden

Fehlerbehebung

Zur Fehlerbehebung stehen Ihnen Tools zur Netzwerkanalyse zur Verfügung. Weitere Informationen finden Sie auf der Google Admin Toolbox-Seite zum HAR-Analysetool

Wenn Sie sich an den Support wenden müssen, sollten Sie ein temporäres Testkonto nutzen, da die HTTP-Archivdatei (HAR) den Nutzernamen und das Passwort im Klartext enthält. Alternativ können Sie auch die sensiblen Interaktionen zwischen dem Nutzer und dem Identitätsanbieter aus der Datei löschen. Wenden Sie sich an den Google Workspace-Support.

Die an Ihren Identitätsanbieter gesendete SAML-Anfrage enthält die relevante AssertionConsumerServiceURL. Wenn Ihre SAML-Antwort an eine andere URL gesendet wird, liegt möglicherweise ein Konfigurationsproblem bei Ihrem Identitätsanbieter vor.

Elemente und Attribute

Element "NameID"

Feld Element NameID im Element Subject
 
Beschreibung

NameID steht für die primäre E-Mail-Adresse des Nutzers. 

Es wird zwischen Groß- und Kleinschreibung unterschieden.

Erforderlicher

Wert

user@example.com
 
Beispiel <saml:Subject>
<saml:NameID
SPNameQualifier="google.com/a/example.com"
Format="urn:oasis:names:tc:SAML:2.0:nameid-format:email"
>user@example.com</saml:NameID>
<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
<saml:SubjectConfirmationData NotOnOrAfter="2014-11-05T17:37:07Z"
Recipient="https://www.google.com/a/example.com/acs"
InResponseTo="midihfjkfkpcmbmfhjoehbokhbkeapbbinldpeen"
</saml:SubjectConfirmation>
</saml:Subject>

Attribut "Recipient"

Feld Attribut Recipient im Element SubjectConfirmationData
 
Beschreibung

Recipient gibt zusätzliche Daten an, die für "Subject" erforderlich sind. 

Es wird zwischen Groß- und Kleinschreibung unterschieden.

ihrunternehmen.com ist wahrscheinlich die primäre Domain Ihres Google Workspace- oder Cloud Identity-Kontos, auch wenn der zu authentifizierende Nutzer eine sekundäre Domain im selben Google Workspace- oder Cloud Identity-Konto verwendet.

Erforderlicher

Wert

https://www.google.com/a/example.com/acs

oder

https://accounts.google.com/a/example.com/acs

Beispiel <saml:Subject>
<saml:NameID SPNameQualifier="google.com/a/example.com"
Format="urn:oasis:names:tc:SAML:2.0:nameid-format:email"
>user@example.com</saml:NameID>
<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
<saml:SubjectConfirmationData NotOnOrAfter="2014-11-05T17:37:07Z"
Recipient="https://www.google.com/a/example.com/acs"
InResponseTo="midihfjkfkpcmbmfhjoehbokhbkeapbbinldpeen"
</saml:SubjectConfirmation>
</saml:Subject>

Element "Audience"

Feld Element Audience im übergeordneten Element AudienceRestriction
Beschreibung

Audience ist der Uniform Resource Identifier (URI), mit dem die Zielgruppe identifiziert wird, die den Wert des ACS-URI erfordert.

ihrunternehmen.com ist wahrscheinlich die primäre Domain Ihres Google Workspace- oder Cloud Identity-Kontos, auch wenn der zu authentifizierende Nutzer eine sekundäre Domain im selben Google Workspace- oder Cloud Identity-Konto verwendet.

Dieser Elementwert muss angegeben werden.

Erforderlicher

Wert

https://www.google.com/a/example.com/acs

oder

https://accounts.google.com/a/example.com/acs

Beispiel

<saml:Conditions
NotBefore="2014-11-05T17:31:37Z"
NotOnOrAfter="2014-11-05T17:37:07Z">
<saml:AudienceRestriction>
<saml:Audience>https://www.google.com/a/example.com/acs</saml:Audience>
</saml:AudienceRestriction>
</saml:Conditions>

Attribut "Destination"

Feld Attribut Destination des Elements Response
 
Beschreibung

Destination ist der URI, an den die SAML-Assertion gesendet werden soll.

Das Attribut ist optional. Wenn es angegeben wird, ist dafür der Wert des ACS-URI erforderlich.

ihrunternehmen.com ist wahrscheinlich die primäre Domain Ihres Google Workspace- oder Cloud Identity-Kontos, auch wenn der zu authentifizierende Nutzer eine sekundäre Domain im selben Google Workspace- oder Cloud Identity-Konto verwendet.

Erforderlicher

Wert

https://www.google.com/a/example.com/acs 

oder

https://accounts.google.com/a/example.com/acs

Beispiel <samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
ID="_7840062d379d82598d87ca04c8622f436bb03aa1c7"
Version="2.0"
IssueInstant="2014-11-05T17:32:07Z"
Destination="https://www.google.com/a/example.com/acs"
InResponseTo="midihfjkfkpcmbmfhjoehbokhbkeapbbinldpeen">
War das hilfreich?
Wie können wir die Seite verbessern?
Suche
Suche löschen
Suche schließen
Google-Apps
Hauptmenü
Suchen in der Hilfe
false