Aplikacja internetowa Office 365

Standard SAML (Security Assertion Markup Language) pozwala użytkownikom logować się w firmowych aplikacjach internetowych przy użyciu danych logowania do Google Cloud.

Konfigurowanie logowania jednokrotnego przez SAML w aplikacji Microsoft Office 365

W tym artykule opisaliśmy sposób konfigurowania logowania jednokrotnego przez SAML dla aplikacji Microsoft Office 365.

Zanim zaczniesz

• Dodaj domenę Google Workspace do Microsoft Office 365. Instrukcje znajdziesz w artykule o dodawaniu domeny do Microsoft 365 (w języku angielskim).
• Zainstaluj PowerShell (z modułem Microsoft Azure Active Directory).

Krok 1. Skonfiguruj atrybut ImmutableID

Office 365 korzysta z atrybutu ImmutableID w celu unikalnej identyfikacji użytkowników. Aby logowanie jednokrotne (SSO) między Google a Office 365 mogło działać poprawnie, każdy użytkownik Office 365 musi mieć atrybut ImmutableID, a atrybut identyfikatora nazwy SAML wysyłany do aplikacji Office 365 podczas logowania jednokrotnego musi być taki sam jak ImmutableID.

Atrybut ImmutableID użytkownika aplikacji Office 365 różni się w zależności od tego, jak utworzono konto użytkownika. Oto najbardziej prawdopodobne scenariusze:

• W aplikacji Office 365 nie ma jeszcze żadnych użytkowników. Jeśli włączysz w Google automatyczną obsługę administracyjną użytkowników, nie musisz konfigurować atrybutu ImmutableID, ponieważ jest on domyślnie mapowany na adres e-mail użytkownika (główna nazwa użytkownika, czyli UPN). Przejdź do kroku 2 poniżej.
• Jeśli konta użytkowników zostały utworzone w konsoli administracyjnej Office 365, atrybut ImmutableID powinien być pusty. W przypadku tych użytkowników użyj polecenia PowerShell Set-MsolUser do skonfigurowania atrybutu ImmutableID w aplikacji Office 365 tak, aby był on zgodny z UPN użytkownika:

  Set-MsolUser -UserPrincipalName [e-mail] -ImmutableId [e-mail]

  Możesz też użyć polecenia Set-MsolUser, aby przesłać zbiorczo wszystkich użytkowników. Szczegółowe instrukcje znajdziesz w dokumentacji PowerShell (w języku angielskim).

• Jeśli użytkownicy zostali utworzeni za pomocą synchronizacji z usługą Azure Active Directory, atrybut ImmutableID jest zakodowaną wersją atrybutu objectGUID usługi Active Directory. W przypadku tych użytkowników:
  1. Użyj PowerShell, aby pobrać atrybut ImmutableID z Azure AD. Aby na przykład pobrać atrybut ImmutableID dla wszystkich użytkowników i wyeksportować go do pliku CSV:

     $exportUsers = Get-MsolUser -All | Select-Object UserprincipalName, ImmutableID | Export-Csv C:\csvfile

  2. Utwórz atrybut niestandardowy w Google, a następnie uzupełnij profil każdego użytkownika indywidualnym atrybutem ImmutableID aplikacji Office 365. Odpowiednie instrukcje znajdziesz w sekcji Dodawanie nowego atrybutu niestandardowego artykułu o tworzeniu niestandardowych atrybutów profili użytkowników oraz w sekcji Aktualizowanie profilu użytkownika artykułu o dodawaniu informacji do profilu użytkownika w katalogu. Możesz też zautomatyzować ten proces, używając GAM (narzędzie wiersza poleceń typu open source) lub pakietu Google Workspace Admin SDK.

Więcej informacji na temat atrybutu ImmutableID znajdziesz w dokumentacji firmy Microsoft (w języku angielskim).

Krok 2. Uzyskaj informacje o dostawcy tożsamości Google

1. Zaloguj się w: konsoli administracyjnej Google.

   Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

2. W konsoli administracyjnej otwórz Menu  BezpieczeństwoUwierzytelnianieLogowanie jednokrotne w aplikacjach SAML.

   Aby wykonać te czynności, musisz zalogować się na konto superadministratora.

3. W sekcji Skonfiguruj logowanie jednokrotne (SSO) skopiuj i zapisz URL logowania jednokrotnego oraz identyfikator jednostki, a następnie pobierz certyfikat.

Następnie przejdź do Office 365 i wykonaj czynności konfiguracji opisane w kroku 3. Do konsoli administracyjnej powrócisz w kroku 4, aby ukończyć konfigurację logowania jednokrotnego.

Krok 3. Skonfiguruj aplikację Office 365 jako dostawcę usługi SAML 2.0

1. Na nowej karcie przeglądarki zaloguj się w aplikacji Office 365 jako administrator.
2. W edytorze tekstu utwórz zmienne PowerShell na podstawie danych dostawcy tożsamości skopiowanych z Google. Oto wartości, które są niezbędne dla każdej zmiennej:

   Zmienna	Wartość
   $DomainName	„twojadomena.com”
   $FederationBrandName	„Google Cloud Identity” (lub inna wybrana wartość)
   $Authentication	„Sfederowane”
   $PassiveLogOnUrl $ActiveLogOnUri	„URL logowania jednokrotnego” (na podstawie informacji o dostawcy tożsamości Google)
   $SigningCertificate	„Tutaj wklej cały certyfikat” (na podstawie informacji o dostawcy tożsamości Google)*
   $IssuerURI	„Identyfikator jednostki” (na podstawie informacji o dostawcy tożsamości Google)
   $LogOffUri	„https://accounts.google.com/logout”
   $PreferredAuthenticationProtocol	„SAMLP”

   * Upewnij się, że zmienna $SigningCertifcate znajduje się w całości w jednej linii tekstu – w przeciwnym razie PowerShell wyświetli komunikat o błędzie.
3. Używając konsoli PowerShell, uruchom polecenie Set-MsolDomainAuthentication, aby skonfigurować domenę Active Directory dla federacji. Szczegółowe instrukcje znajdziesz w dokumentacji Microsoft PowerShell (w języku angielskim).
4. (Opcjonalnie) Aby przetestować ustawienia federacji, wpisz to polecenie PowerShell:

   Get-MSolDomainFederationSettings -DomainName yourdomain.com | Format-List *

Uwaga: jeśli Twoja domena jest już sfederowana i musisz zmienić federację na Google, uruchom polecenie
Set-MsolDomainFederationSettings, używając parametrów wymienionych w tabeli powyżej.

Krok 4. Skonfiguruj Google jako dostawcę tożsamości SAML

1. Zaloguj się w: konsoli administracyjnej Google.

   Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

2. W konsoli administracyjnej otwórz Menu    Aplikacje  Aplikacje internetowe i mobilne.
3. Kliknij Dodaj aplikację  Wyszukaj aplikacje.
4. W polu wyszukiwania wpisz Office 365.
5. Po wyświetleniu wyników wyszukiwania najedź kursorem na aplikację SAML Office 365 i kliknij Wybierz.
6. Na stronie Informacje o dostawcy tożsamości Google kliknij Dalej.
7. Na stronie Informacje o dostawcy usługi:
   1. Zaznacz Podpisana odpowiedź.
   2. Ustaw Name ID format (Format identyfikatora nazwy) na „PERSISTENT”.
   3. Jeśli utworzono atrybut niestandardowy, aby dodać atrybut ImmutableID aplikacji Office 365 do profili użytkowników Google (zobacz krok 1 powyżej), ustaw atrybut niestandardowy jako Name ID (Identyfikator nazwy). W przeciwnym razie ustaw Name ID na Basic Information > Primary Email (Informacje podstawowe > Główny adres e-mail).
8. Kliknij Dalej.
9. Na stronie Mapowanie atrybutów kliknij menu Wybierz pole i zmapuj te atrybuty katalogu Google do odpowiednich atrybutów Office 365:
   

   Atrybut katalogu Google	Atrybut Office 365
   Basic Information > Primary Email	IDPEmail

10. (Opcjonalnie) Jeśli w odpowiedzi SAML chcesz wysłać informacje o członkostwie użytkownika w grupie, wpisz nazwy grup odpowiednie dla tej aplikacji w polu Członkostwo w grupie.

    1. W sekcji Grupy dyskusyjne Google kliknij pole Wyszukaj grupę.
    2. Wpisz co najmniej jedną literę nazwy grupy.
    3. Wybierz nazwę grupy z listy.
    4. W razie potrzeby dodaj kolejne grupy (łączna liczba grup nie może przekraczać 75).
    5. W polu Atrybut aplikacji wpisz odpowiednią nazwę atrybutu grup usługodawcy.

    Uwaga: bez względu na to, ile nazw grup wpiszesz, odpowiedź SAML będzie zawierać tylko grupy, do których należy użytkownik (bezpośrednio lub pośrednio). Więcej informacji znajdziesz w artykule na temat mapowania członkostwa w grupie.

11. Kliknij Zakończ.

Krok 5. Włącz aplikację Office 365

1. Zaloguj się w: konsoli administracyjnej Google.

   Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

2. W konsoli administracyjnej otwórz Menu    Aplikacje  Aplikacje internetowe i mobilne.
3. Wybierz Office 365.
4. Kliknij Dostęp użytkownika.

5. Aby włączyć lub wyłączyć usługę dla wszystkich użytkowników w organizacji, kliknij Włączone dla wszystkich lub Wyłączone dla wszystkich, a następnie Zapisz.

6. (Opcjonalnie) Aby włączyć lub wyłączyć usługę w jednostce organizacyjnej:

   1. Po lewej stronie wybierz jednostkę organizacyjną.
   2. Aby zmienić stan usługi, wybierz Wł. lub Wył.
   3. Wybierz jedną z tych opcji:
      • Jeśli stan usługi to Dziedziczone i chcesz zachować zaktualizowane ustawienie, nawet jeśli ustawienie nadrzędne ulegnie zmianie, kliknij Zastąp.
      • Jeśli stan usługi to Zastąpione, kliknij Odziedzicz, aby przywrócić to samo ustawienie, co jego ustawienie nadrzędne, lub Zapisz, aby zachować nowe nawet wtedy, gdy ustawienie nadrzędne ulegnie zmianie.
        Uwaga: więcej informacji o strukturze organizacyjnej.

7. (Opcjonalnie) Włącz usługę dla grupy użytkowników.
   Za pomocą grup dostępu możesz włączyć usługę dla konkretnych użytkowników w jednostce organizacyjnej lub we wszystkich jednostkach organizacyjnych. Więcej informacji

8. Upewnij się, że identyfikatory adresów e-mail kont użytkowników Office 365 są zgodne z identyfikatorami w domenie Google.

Krok 6. Zweryfikuj działanie logowania jednokrotnego Google w Office 365

Office 365 obsługuje logowanie jednokrotne inicjowane zarówno przez dostawcę tożsamości, jak i przez dostawcę usługi. Aby zweryfikować logowanie jednokrotne w jednym z tych trybów, wykonaj opisane poniżej czynności:

Logowanie jednokrotne inicjowane przez dostawcę tożsamości

1. Zaloguj się w: konsoli administracyjnej Google.

   Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

2. W konsoli administracyjnej otwórz Menu    Aplikacje  Aplikacje internetowe i mobilne.
3. Wybierz Office 365.
4. W lewym górnym rogu kliknij Testuj logowanie SAML.

   Aplikacja Office 365 powinna się otworzyć w osobnej karcie. Jeśli się tak nie stanie, użyj informacji z komunikatów o błędach aplikacji SAML, aby zaktualizować ustawienia dostawcy tożsamości i dostawcy usługi, a następnie ponownie przetestuj logowanie SAML.

Logowanie jednokrotne inicjowane przez dostawcę usługi

1. Otwórz stronę https://login.microsoftonline.com/.
   Powinno nastąpić automatyczne przekierowanie na stronę logowania przez Google.
2. Wpisz dane logowania.
3. Gdy dane logowania zostaną uwierzytelnione, nastąpi automatyczne przekierowanie z powrotem do aplikacji Office 365.

Krok 7. Skonfiguruj automatyczną obsługę administracyjną

Jako superadministrator możesz skonfigurować automatyczną obsługę administracyjną użytkowników dla aplikacji Office 365.

 

_{Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi odpowiednich podmiotów.}