Obsługa certyfikatów SAML

Aplikacje SAML używają certyfikatów X.509 do potwierdzania oryginalności i integralności wiadomości wysyłanych między dostawcą tożsamości i dostawcą usług. Jeśli jesteś superadministratorem, w konsoli administracyjnej możesz:

• łatwo wyświetlać certyfikaty X.509 używane przez aplikacje SAML;
• identyfikować certyfikaty X.509, które wkrótce wygasną;
• tworzyć nowe certyfikaty i przypisywać je do aplikacji SAML(jest to określane jako wymiana certyfikatów).

Powody wymiany certyfikatów SAML

Certyfikaty X.509 są ważne przez 5 lat. Certyfikat powinien zostać wymieniony, jeśli kończy się jego ważność lub jego zabezpieczenia zostały złamane. Jeśli certyfikat wygaśnie, zanim go wymienisz, użytkownicy nie będą mogli używać logowania jednokrotnego do logowania się w aplikacjach SAML, które wykorzystują ten certyfikat, dopóki nie zastąpisz go nowym.

Po utworzeniu nowego certyfikatu musisz przypisać go do każdej aplikacji SAML w Google (po stronie dostawcy tożsamości) oraz zaktualizować przy jego użyciu odpowiednie ustawienia logowania jednokrotnego po stronie dostawcy usługi.

Zarządzanie certyfikatami SAML

Twoje konto ma 1 domyślny certyfikat, którego możesz używać dla wszystkich aplikacji SAML. Możesz dodać 2 certyfikat albo usunąć 1 lub oba certyfikaty i wygenerować nowe:

1. Zaloguj się na konto superadministratora w konsoli administracyjnej Google.

   Jeśli nie używasz konta superadministratora, nie możesz wykonać tych czynności.

2.  Otwórz Menu  Bezpieczeństwo > Uwierzytelnianie > Logowanie jednokrotne w aplikacjach SAML.

   W sekcji Certyfikaty wyświetlają się Twoje obecne certyfikaty X.509. Możesz mieć maksymalnie 2 certyfikaty jednocześnie. Wyświetlane są nazwa certyfikatu, data wygaśnięcia, treść oraz odcisk cyfrowy SHA-256. Użyj przycisków po prawej stronie, aby skopiować, pobrać lub usunąć certyfikat.

3. (Opcjonalnie) Jeśli masz tylko 1 certyfikat, kliknij Dodaj następny certyfikat, aby utworzyć 2 certyfikat.

   Uwaga: najnowszy (wygenerowany w najpóźniejszym terminie) certyfikat staje się domyślnym certyfikatem używanym do konfigurowania logowania jednokrotnego dla nowych aplikacji SAML.

4. (Opcjonalnie) Aby utworzyć nowy certyfikat:
   1. Kliknij Usuń , aby usunąć certyfikat.

      Jeśli usuwany przez Ciebie certyfikat jest wykorzystywany przez dowolną zainstalowaną aplikację SAML, w oknie wyświetli się lista aplikacji, na które wpłynie usunięcie, oraz ostrzeżenie, że w przypadku tych aplikacji logowanie jednokrotne nie będzie dostępne, dopóki nie przypiszesz do nich nowego certyfikatu.

   2. Kliknij Usuń certyfikat.Usunięcie certyfikatu wiąże się z tymi konsekwencjami:
      • Jeśli masz 1 certyfikat, do jego zastąpienia zostanie automatycznie wygenerowany nowy certyfikat.
      • Jeśli masz 2 certyfikaty i usuniesz certyfikat 1, zastąpi go certyfikat 2.
5. Jeśli zastąpiony został certyfikat wykorzystywany przez dowolną aplikację SAML, wykonaj czynności opisane w następnej sekcji, aby przypisać nowy certyfikat do aplikacji, na które wpłynęła zmiana.Na stronie administracyjnej dostawcy usługi musisz też zaktualizować certyfikat w ustawieniach logowania jednokrotnego dla tych aplikacji.

Wskazówka: zdarzenia związane z certyfikatem SAML (usunięcie, utworzenie, zmiana przypisanego certyfikatu aplikacji SAML) są rejestrowane w dzienniku kontrolnym Administrator.

Aktualizowanie certyfikatu wykorzystywanego przez aplikację SAML

1. Zaloguj się na konto superadministratora w konsoli administracyjnej Google.

   Jeśli nie używasz konta superadministratora, nie możesz wykonać tych czynności.

2. Otwórz Menu  Aplikacje > Aplikacje internetowe i mobilne.

   Wymaga uprawnień administratora Zarządzanie urządzeniami mobilnymi.

3. Kliknij aplikację SAML, aby otworzyć jej stronę ustawień.
4. Kliknij Informacje o dostawcy usługi.

   W sekcji Certyfikat wyświetlany jest certyfikat obecnie używany przez aplikację (w tym identyfikator certyfikatu i data wygaśnięcia). Jeśli usunięto certyfikat, który został użyty do skonfigurowania aplikacji, wyświetli się komunikat Nie przypisano żadnego certyfikatu.

5. Kliknij strzałkę w dół  i wybierz certyfikat.
6. (Opcjonalnie) Jeśli nie jest dostępny żaden certyfikat lub musisz utworzyć nowe certyfikaty, kliknij Zarządzaj certyfikatami i postępuj zgodnie z instrukcjami opisanymi w sekcji Zarządzanie certyfikatami SAML powyżej.
7. Po zmianie certyfikatu przypisanego do aplikacji SAML pamiętaj, aby zaktualizować również ustawienia logowania jednokrotnego dla tej aplikacji przy użyciu nowego certyfikatu na stronie dostawcy usługi. Logowanie jednokrotne nie będzie działać w przypadku tej aplikacji, dopóki nie zaktualizujesz również ustawień po stronie dostawcy usługi.

Ważne: po zmianie certyfikatu może minąć do 24 godzin, zanim nowy certyfikat będzie dostępny do użycia przez aplikacje SAML.