Aplikacja internetowa Office 365

Standard SAML (Security Assertion Markup Language) pozwala użytkownikom logować się w firmowych aplikacjach internetowych przy użyciu danych logowania do Google Cloud.

Konfigurowanie logowania jednokrotnego przez SAML w aplikacji Microsoft Office 365

W tym artykule opisaliśmy sposób konfigurowania logowania jednokrotnego przez SAML dla aplikacji Microsoft Office 365.

Zanim zaczniesz
  • Dodaj domenę Google Workspace do Microsoft Office 365. Instrukcje znajdziesz w artykule o dodawaniu domeny do Microsoft 365 (w języku angielskim).
  • Zainstaluj PowerShell (z modułem Microsoft Azure Active Directory).
Krok 1. Skonfiguruj atrybut ImmutableID

Office 365 korzysta z atrybutu ImmutableID w celu unikalnej identyfikacji użytkowników. Aby logowanie jednokrotne (SSO) między Google a Office 365 mogło działać poprawnie, każdy użytkownik Office 365 musi mieć atrybut ImmutableID, a atrybut identyfikatora nazwy SAML wysyłany do aplikacji Office 365 podczas logowania jednokrotnego musi być taki sam jak ImmutableID.

Atrybut ImmutableID użytkownika aplikacji Office 365 różni się w zależności od tego, jak utworzono konto użytkownika. Oto najbardziej prawdopodobne scenariusze:

  • W aplikacji Office 365 nie ma jeszcze żadnych użytkowników. Jeśli włączysz w Google automatyczną obsługę administracyjną użytkowników, nie musisz konfigurować atrybutu ImmutableID, ponieważ jest on domyślnie mapowany na adres e-mail użytkownika (główna nazwa użytkownika, czyli UPN). Przejdź do kroku 1 poniżej.
  • Jeśli konta użytkowników zostały utworzone w konsoli administracyjnej Office 365, atrybut ImmutableID powinien być pusty. W przypadku tych użytkowników użyj polecenia PowerShell Set-MsolUser do skonfigurowania atrybutu ImmutableID w aplikacji Office 365 tak, aby był on zgodny z UPN użytkownika:

    Set-MsolUser -UserPrincipalName testuser@yourdomain.com -ImmutableId testuser@yourdomain.com

    Możesz też użyć polecenia Set-MsolUser, aby przesłać zbiorczo wszystkich użytkowników. Szczegółowe instrukcje znajdziesz w dokumentacji PowerShell (w języku angielskim).

  • Jeśli użytkownicy zostali utworzeni za pomocą synchronizacji z usługą Azure Active Directory, atrybut ImmutableID jest zakodowaną wersją atrybutu objectGUID usługi Active Directory. W przypadku tych użytkowników:
    1. Użyj PowerShell, aby pobrać atrybut ImmutableID z Azure AD. Aby na przykład pobrać atrybut ImmutableID dla wszystkich użytkowników i wyeksportować go do pliku CSV:

      $exportUsers = Get-MsolUser -All | Select-Object UserprincipalName, ImmutableID | Export-Csv C:\csvfile

    2. Utwórz atrybut niestandardowy w Google, a następnie uzupełnij profil każdego użytkownika indywidualnym atrybutem ImmutableID aplikacji Office 365. Odpowiednie instrukcje znajdziesz w sekcji Dodawanie nowego atrybutu niestandardowego artykułu o tworzeniu niestandardowych atrybutów profili użytkowników oraz w sekcji Aktualizowanie profilu użytkownika artykułu o dodawaniu informacji do profilu użytkownika w katalogu. Możesz też zautomatyzować ten proces, używając GAM (narzędzie wiersza poleceń typu open source) lub pakietu Google Workspace Admin SDK.

Więcej informacji na temat atrybutu ImmutableID znajdziesz w dokumentacji firmy Microsoft (w języku angielskim).

Krok 2. Uzyskaj informacje o dostawcy tożsamości Google
  1. Zaloguj się w: Konsola administracyjna Google.

    Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

  2. Na stronie głównej w konsoli administracyjnej kliknij Zabezpieczenia a potem Konfigurowanie logowania jednokrotnego (SSO) w aplikacjach SAML.

    Aby wykonać te czynności, musisz zalogować się na konto superadministratora.

  3. W sekcji Skonfiguruj logowanie jednokrotne (SSO) skopiuj i zapisz URL logowania jednokrotnego oraz identyfikator jednostki, a następnie pobierz certyfikat.

Następnie przejdź do Office 365 i wykonaj czynności konfiguracji opisane w kroku 3. Do konsoli administracyjnej powrócisz w kroku 4, aby ukończyć konfigurację logowania jednokrotnego.

Krok 3. Skonfiguruj aplikację Office 365 jako dostawcę usługi SAML 2.0
  1. Na nowej karcie przeglądarki zaloguj się w aplikacji Office 365 jako administrator.
  2. W edytorze tekstu utwórz zmienne PowerShell na podstawie danych dostawcy tożsamości skopiowanych z Google. Oto wartości, które są niezbędne dla każdej zmiennej:
    Zmienna Wartość
    $DomainName twojadomena.com”
    $FederationBrandName „Google Cloud Identity” (lub inna wybrana wartość)
    $Authentication „Sfederowane”
    $PassiveLogOnUrl
    $ActiveLogOnUri
    „URL logowania jednokrotnego” (na podstawie informacji o dostawcy tożsamości Google)
    $SigningCertificate „Tutaj wklej cały certyfikat” (na podstawie informacji o dostawcy tożsamości Google)*
    $IssuerURI „Identyfikator jednostki” (na podstawie informacji o dostawcy tożsamości Google)
    $LogOffUri „https://accounts.google.com/logout”
    $PreferredAuthenticationProtocol „SAMLP”
    * Upewnij się, że zmienna $SigningCertifcate znajduje się w całości w jednej linii tekstu – w przeciwnym razie PowerShell wyświetli komunikat o błędzie.
  3. Używając konsoli PowerShell, uruchom polecenie Set-MsolDomainAuthentication, aby skonfigurować domenę Active Directory dla federacji. Szczegółowe instrukcje znajdziesz w dokumentacji Microsoft PowerShell (w języku angielskim).
  4. (Opcjonalnie) Aby przetestować ustawienia federacji, wpisz to polecenie PowerShell:

    Get-MSolDomainFederationSettings -DomainName yourdomain.com | Format-List *

Uwaga: jeśli Twoja domena jest już sfederowana i musisz zmienić federację na Google, uruchom polecenie
Set-MsolDomainFederationSettings, używając parametrów wymienionych w tabeli powyżej.

Krok 4. Skonfiguruj Google jako dostawcę tożsamości SAML
  1. Zaloguj się w: Konsola administracyjna Google.

    Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

  2. Na stronie głównej w konsoli administracyjnej kliknij Aplikacjea potemAplikacje internetowe i mobilne.
  3. Kliknij Dodaj aplikację a potem Wyszukaj aplikacje.
  4. W polu wyszukiwania wpisz Office 365.
  5. Po wyświetleniu wyników wyszukiwania najedź kursorem na aplikację SAML Office 365 i kliknij Wybierz.
  6. Na stronie Informacje o dostawcy tożsamości Google kliknij Dalej.
  7. Na stronie Informacje o dostawcy usługi:
    1. Zaznacz Podpisana odpowiedź.
    2. Ustaw Name ID format (Format identyfikatora nazwy) na „PERSISTENT”.
    3. Jeśli utworzono atrybut niestandardowy, aby dodać atrybut ImmutableID aplikacji Office 365 do profili użytkowników Google (zobacz krok 1 powyżej), ustaw atrybut niestandardowy jako Name ID (Identyfikator nazwy). W przeciwnym wypadku ustaw Name ID na Basic Information > Primary Email (Informacje podstawowe > Główny adres e-mail).
  8. Kliknij Dalej.
  9. Na stronie Mapowanie atrybutów kliknij menu Wybierz pole i zmapuj te atrybuty katalogu Google do odpowiednich atrybutów Office 365:
    Atrybut katalogu Google Atrybut Office 365
    Basic Information > Primary Email IDPEmail
  10. Kliknij Zakończ.
Krok 5. Włącz aplikację Office 365
  1. Zaloguj się w: Konsola administracyjna Google.

    Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

  2. Na stronie głównej w konsoli administracyjnej kliknij Aplikacjea potemAplikacje internetowe i mobilne.
  3. Wybierz Office 365.
  4. Kliknij Dostęp użytkownika.
  5. Aby włączyć lub wyłączyć usługę dla wszystkich osób w organizacji, kliknij Włączone dla wszystkich lub Wyłączone dla wszystkich, a potem kliknij Zapisz.

  6. Aby włączyć lub wyłączyć usługę tylko dla użytkowników w jednostce organizacyjnej:

    1. Po lewej stronie wybierz jednostkę organizacyjną.
    2. Wybierz Włącz lub Wyłącz.
    3. Aby pozostawić usługę włączoną lub wyłączoną, nawet gdy zostanie włączona lub wyłączona w nadrzędnej jednostce organizacyjnej, kliknij Zastąp.
    4. Jeśli stan organizacji to Zastąpione, wybierz jedną z tych opcji:
      • Odziedzicz – powoduje, że ustawienie jest przywracane do tej samej wartości co ustawienie nadrzędne.
      • Zapisz – powoduje, że ustawienie zostanie zachowane, nawet jeśli ustawienie nadrzędne ulegnie zmianie.

    Dowiedz się więcej o strukturze organizacyjnej.

  7. (Opcjonalnie) Włącz usługę dla grupy użytkowników.
    Za pomocą grup dostępu możesz włączyć usługę dla konkretnych użytkowników w jednostce organizacyjnej lub we wszystkich jednostkach organizacyjnych. Więcej informacji

  8. Upewnij się, że identyfikatory adresów e-mail kont użytkowników Office 365 są zgodne z identyfikatorami w domenie Google.
Krok 6. Zweryfikuj działanie logowania jednokrotnego Google w Office 365

Office 365 obsługuje logowanie jednokrotne inicjowane zarówno przez dostawcę tożsamości, jak i przez dostawcę usługi. Aby zweryfikować logowanie jednokrotne w jednym z tych trybów, wykonaj opisane poniżej czynności:

Logowanie jednokrotne inicjowane przez dostawcę tożsamości

  1. Zaloguj się w: Konsola administracyjna Google.

    Zaloguj się, używając konta z uprawnieniami superadministratora (adres nie kończy się ciągiem @gmail.com).

  2. Na stronie głównej w konsoli administracyjnej kliknij Aplikacjea potemAplikacje internetowe i mobilne.
  3. Wybierz Office 365.
  4. W lewym górnym rogu kliknij Testuj logowanie SAML.

    Aplikacja Office 365 powinna się otworzyć w osobnej karcie. Jeśli się tak nie stanie, użyj informacji z komunikatów o błędach aplikacji SAML, aby zaktualizować ustawienia dostawcy tożsamości i dostawcy usługi, a następnie ponownie przetestuj logowanie SAML.

Logowanie jednokrotne inicjowane przez dostawcę usługi

  1. Otwórz stronę https://login.microsoftonline.com/.
    Powinno nastąpić automatyczne przekierowanie na stronę logowania przez Google.
  2. Wpisz dane logowania.
  3. Gdy dane logowania zostaną uwierzytelnione, nastąpi automatyczne przekierowanie z powrotem do aplikacji Office 365.
Krok 7. Skonfiguruj automatyczną obsługę administracyjną  


Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi odpowiednich podmiotów.

Czy to było pomocne?
Jak możemy ją poprawić?
true
Szukaj
Wyczyść wyszukiwanie
Zamknij wyszukiwanie
Aplikacje Google
Menu główne
Wyszukaj w Centrum pomocy
false