Como administrador, cuando un proveedor de identidades autentica un usuario, necesitas que los elementos y los atributos que figuran en las tablas de confirmaciones de SSO de SAML 2.0 de este artículo se devuelvan al servicio de consumidor de confirmaciones (ACS) de Google.
Directrices para atributos
Si has configurado el inicio de sesión único (SSO) usando un proveedor de identidades externo y la aserción de SAML de tu IdP incluye una <AttributeStatement>, Google almacenará estos atributos hasta que la sesión de la cuenta de Google del usuario caduque.La duración de la sesión varía y el administrador puede configurarla.Cuando la sesión de la cuenta caduca, la información de los atributos se elimina definitivamente en el plazo de una semana.
Al igual que ocurre con los atributos personalizados de Directorio, los atributos de aserción no deben incluir información personal identificable sensible, como credenciales de cuentas, números de identificación oficiales, datos de titulares de tarjetas, datos de cuentas financieras, información sanitaria o datos sensibles.
Usos recomendados para los atributos de aserción:
- IDs de usuario para sistemas de TI internos
- Roles específicos de sesiones
En tus aserciones, solo puedes transferir un máximo de 2 kB de datos de atributos. Las aserciones que superen el tamaño máximo permitido se rechazarán por completo y provocarán un error de inicio de sesión.
Conjuntos de caracteres admitidos
El conjunto de caracteres admitido depende de si utilizas perfiles de SSO o el perfil de SSO antiguo:
- Perfil de SSO antiguo: los valores de los atributos deben ser cadenas de ASCII bajo (no se admiten caracteres Unicode/UTF-8, ya que provocarían un error de inicio de sesión).
- Perfiles de SSO: se admiten caracteres Unicode o UTF-8.
Devolver confirmaciones al ACS
Solucionar problemas
Si quieres ponerte en contacto con el equipo de Asistencia, utiliza una cuenta de prueba que puedas eliminar, ya que en las capturas de archivo HTTP (HAR) se incluyen el nombre de usuario y la contraseña usados en texto sin cifrar. También tienes la opción de editar el archivo para eliminar las interacciones sensibles entre el usuario y el proveedor de identidades. Ponte en contacto con el equipo de Asistencia de Google Workspace.
Los elementos SAMLRequest que se envían al proveedor de identidades contienen la URL AssertionConsumerServiceURL correspondiente. Si tu elemento SAMLResponse se envía a otra URL, es posible que haya algún problema con la configuración de tu proveedor de identidades.
Elemento NameID
| Campo | Elemento NameID del elemento Subject. |
|---|---|
| Descripción |
En el elemento NameID se identifica el asunto que es la dirección de correo electrónico principal del usuario. Distingue entre mayúsculas y minúsculas. |
|
Valor Valor |
user@example.com |
| Ejemplo | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
Atributo Recipient
| Campo | Atributo Recipient del elemento SubjectConfirmationData |
|---|---|
| Descripción |
Recipient especifica la URL del servicio de consumidor de aserciones del proveedor de servicios para el que está destinada la aserción. |
|
Valor Valor |
Valor de la URL ACS de la sección de detalles del proveedor de servicios del perfil de SSO. |
| Ejemplo | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
Elemento Audience
| Campo | El elemento Audience del elemento principal AudienceRestriction |
|---|---|
| Descripción |
Audience es una referencia URI que identifica la audiencia de destino de la aserción. |
|
Valor Valor |
Valor de ID de entidad de la sección de detalles del proveedor de servicios del perfil de SSO. |
| Ejemplo |
|
Atributo Destination
| Campo | Atributo Destination del elemento Response |
|---|---|
| Descripción |
Destination es una referencia URI que indica la dirección a la que se ha enviado esta respuesta. |
|
Valor Valor |
Se trata de un atributo opcional. Si se define, debe ser el valor de la URL ACS de la sección de detalles del proveedor de servicios del perfil de SSO. |
| Ejemplo | <saml:Response |
Nota: La aserción de SAML solo puede contener caracteres ASCII.
Elemento NameID
| Campo | Elemento NameID del elemento Subject. |
|---|---|
| Descripción |
En el elemento NameID se identifica el asunto que es la dirección de correo electrónico principal del usuario. Distingue entre mayúsculas y minúsculas. |
|
Valor Valor |
user@example.com |
| Ejemplo | <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com |
Atributo Recipient
| Campo | Atributo Recipient del elemento SubjectConfirmationData |
|---|---|
| Descripción |
En el atributo Recipient se indican datos adicionales que se requieren en el asunto. Probablemente example.com sea el dominio principal de tu cuenta de Google Workspace o de Cloud Identity, aunque el usuario que se esté autenticando utilice un dominio secundario de esa misma cuenta de Google Workspace o de Cloud Identity. |
|
Valor Valor |
https://www.google.com/a/example.com/acs o https://accounts.google.com/a/example.com/acs |
| Ejemplo | <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> |
Elemento Audience
| Campo | El elemento Audience del elemento principal AudienceRestriction |
|---|---|
| Descripción |
El elemento Audience es el identificador uniforme de recursos (URI) que detecta la audiencia de destino que requiere el valor de URI de ACS. Probablemente example.com sea el dominio principal de tu cuenta de Google Workspace o de Cloud Identity, aunque el usuario que se esté autenticando utilice un dominio secundario de esa misma cuenta de Google Workspace o de Cloud Identity. Este elemento debe tener un valor. |
|
Valor Valor |
Cualquiera de los siguientes:
|
| Ejemplo |
|
Atributo Destination
| Campo | Atributo Destination del elemento Response |
|---|---|
| Descripción |
El atributo Destino es el URI de la ubicación a la que se envía la confirmación de SAML. Se trata de un atributo opcional, pero si se declara, necesitará un valor de URI ACS. Probablemente example.com sea el dominio principal de tu cuenta de Google Workspace o de Cloud Identity, aunque el usuario que se esté autenticando utilice un dominio secundario de esa misma cuenta de Google Workspace o de Cloud Identity. |
|
Valor Valor |
https://www.google.com/a/example.com/acs o https://accounts.google.com/a/example.com/acs |
| Ejemplo | <samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" |