Как настроить систему единого входа

Вы можете настроить систему единого входа (SSO), используя Google в качестве поставщика услуг, разными способами в зависимости от потребностей организации. Google Workspace поддерживает протоколы на основе SAML и OIDC.

• С помощью профилей SSO, которые содержат параметры поставщика идентификационной информации, можно применять разные настройки к разным пользователям в организации. Создавайте профили на основе SAML, собственные профили OIDC или используйте профиль OIDC Microsoft Entra по умолчанию, который не нужно настраивать.
• После создания профилей SSO назначьте их организационным подразделениям или группам, чтобы задать поставщика идентификационной информации для соответствующих пользователей. Вы также можете отключить SSO для отдельных организационных подразделений или групп.

Если ваши сотрудники для входа в сервисы Google используют URL сервисов, относящиеся к домену, например https://mail.google.com/a/example.com, можно управлять взаимодействием этих URL с системой единого входа.

Если вашей организации нужно перенаправление на SSO в зависимости от IP-адреса или SSO для суперадминистраторов, вы можете настроить устаревший профиль SSO.

Как настроить SSO на базе SAML

Подготовка

Чтобы настроить профиль SSO на базе SAML, вам понадобятся сведения о конфигурации, которые можно узнать в службе поддержки поставщика идентификационной информации или в документации:

• URL страницы входа. Также называется URL системы единого входа или конечной точкой SAML 2.0 (HTTP). На этой странице пользователи входят в систему поставщика идентификационной информации.
• URL страницы выхода. На нее перенаправляется пользователь после выхода из приложения или сервиса Google.
• URL для изменения пароля. Страница, на которой пользователи системы единого входа могут изменить пароль (вместо того чтобы указывать новый пароль для аккаунта Google).
• Сертификат. Сертификат X.509 в формате PEM от поставщика идентификационной информации. Сертификат содержит открытый ключ, который подтверждает вход в систему поставщика идентификационной информации.

Требования к сертификату

Как создать профиль SSO на базе SAML

Чтобы создать профиль сторонней системы единого входа, следуйте приведенным ниже инструкциям. Вы можете создать до 1000 таких профилей в организации.

1. Войдите в консоль администратора Google как администратор.

   Войти в консоль администратора можно, только если вы используете аккаунт администратора.

2. Нажмите на значок меню Безопасность > Аутентификация > Система единого входа со сторонним поставщиком идентификационной информации.

   У вас должны быть права администратора с доступом к настройкам безопасности.

3. В разделе Профили сторонней системы единого входа нажмите Добавить профиль SAML.
4. Введите название профиля.
5. Если у вас есть XML-файл метаданных от поставщика идентификационной информации, выберите загрузку XML-файла, чтобы предоставить информацию о поставщике, а затем перейдите к шагу 8.
6. Укажите URL страницы входа и другие сведения, полученные от поставщика идентификационной информации.
7. Укажите URL для изменения пароля у поставщика идентификационной информации. Для сброса пароля пользователи будут переходить по этому адресу, а не на страницу изменения пароля Google.
8. Нажмите Загрузить сертификат и загрузите файл сертификата.

   Вы можете загрузить два сертификата, что позволяет выполнять ротацию по мере необходимости.

9. Нажмите Сохранить.
10. В разделе Сведения о поставщике услуг скопируйте и сохраните идентификатор объекта и URL ACS. Вам понадобятся эти значения для настройки системы единого входа Google в панели управления администратора у поставщика идентификационной информации.
11. (Необязательно) Если ваш поставщик идентификационной информации поддерживает шифрование утверждений, вы можете сгенерировать сертификат и поделиться им с поставщиком идентификационной информации, чтобы включить шифрование. В каждом профиле системы единого входа на базе SAML может быть до двух сертификатов поставщика услуг.
    1. Выберите раздел Сведения о поставщике услуг, чтобы перейти в режим редактирования.
    2. В разделе Сертификат поставщика услуг нажмите Создать сертификат. Сертификат появится после того, как вы его сохраните.
    3. Нажмите Сохранить. Будут показаны название сертификата, срок его действия и содержимое.
    4. Используйте кнопки над сертификатом, чтобы скопировать его содержимое или скачать в виде файла, а затем поделитесь сертификатом с поставщиком идентификационной информации.
    5. Если вам нужно изменить сертификат, вернитесь к разделу "Сведения о поставщике услуг" и нажмите Создать ещё один сертификат, а затем поделитесь новым сертификатом с поставщиком идентификационной информации. Убедившись, что поставщик использует новый сертификат, вы можете удалить предыдущий.

Как настроить конфигурацию на сайте поставщика идентификационной информации

Чтобы поставщик идентификационной информации использовал этот профиль SSO, введите информацию из раздела Сведения о поставщике услуг профиля в соответствующие поля в настройках SSO на сайте поставщика идентификационной информации. У этого профиля уникальные URL ACS и идентификатор объекта.

Как настроить устаревший профиль SSO

Как перейти с устаревшего профиля SAML на профили SSO

Если в вашей организации используется устаревший профиль SSO, рекомендуем перейти на профили SSO, использование которых обеспечивает ряд преимуществ, в том числе поддержку OIDC, более современые API и более широкие возможности по применению настроек SSO к группам пользователей. Подробнее…

Как настроить SSO с OIDC

Чтобы использовать SSO на основе OIDC:

1. Выберите вариант OIDC: создайте собственный профиль OIDC, в котором вы укажете информацию для партнера OIDC, или используйте предварительно настроенный профиль OIDC Microsoft Entra.
2. Выполните действия в разделе Как включить систему единого входа для отдельных пользователей, чтобы назначить заранее настроенный профиль OIDC отдельным организационным подразделениям или группам.

Если в организационном подразделении, например в дочернем подразделении, есть пользователи, которым не нужна система единого входа, вы также можете отключить ее для них с помощью назначений.

Примечание. Интерфейс командной строки Google Cloud сейчас не поддерживает повторную аутентификацию с использованием OIDC.

Подготовка

Чтобы настроить собственный профиль OIDC, вам понадобится помощь службы поддержки поставщика идентификационной информации или документация от него:

• URL издателя. Полный URL сервера авторизации поставщика идентификационной информации.
• Клиент OAuth, который обозначен идентификатором клиента и аутентифицирован секретным кодом клиента.
• URL для изменения пароля. Страница, на которой пользователи системы единого входа могут изменить пароль (вместо того чтобы указывать новый пароль для аккаунта Google).

Кроме того, Google предъявляет следующие требования к поставщику идентификационной информации:

• Утверждение email от поставщика идентификационной информации должно соответствовать основному адресу электронной почты пользователя на стороне Google.
• В нем должна использоваться обработка кода авторизации.

Как создать собственный профиль OIDC

1. Войдите в консоль администратора Google как администратор.

   Войти в консоль администратора можно, только если вы используете аккаунт администратора.

2. Нажмите на значок меню Безопасность > Аутентификация > Система единого входа со сторонним поставщиком идентификационной информации.

   У вас должны быть права администратора с доступом к настройкам безопасности.

3. В разделе Профили сторонней системы единого входа нажмите Добавить профиль OIDC.
4. Присвойте профилю OIDC название.
5. Введите сведения OIDC: идентификатор клиента, URL издателя, секретный код клиента.
6. Нажмите Сохранить.
7. На странице настроек SSO OIDC для нового профиля скопируйте URI переадресации. Вам нужно будет обновить клиента OAuth на сайте поставщика идентификационной информации, чтобы отвечать на запросы с использованием этого URI.

Чтобы изменить настройки, наведите указатель на пункт Параметры OIDC, а затем нажмите "Изменить" .

Как использовать профиль OIDC Microsoft Entra

Убедитесь, что вы подготовили клиент Microsoft Entra ID организации к использованию OIDC:

• Для клиента Microsoft Entra ID должно быть подтверждено право собственности на домен.
• У конечных пользователей должны быть лицензии Microsoft 365.
• Имя пользователя (основной адрес электронной почты) администратора Google Workspace, назначающего профиль SSO, должен совпадать с основным адресом, указанным в аккаунте администратора клиента Azure AD.

Как включить систему единого входа для отдельных пользователей

Включите систему единого входа для организационного подразделения или группы, назначив профиль SSO и связанного с ним поставщика идентификационной информации. Если нужно отключить систему единого входа, назначьте для профиля SSO значение "Нет". Вы можете применить смешанные правила использования SSO в пределах организационного подразделения или группы, например включить SSO для всего организационного подразделения, а затем отключить для отдельных дочерних подразделений.

Создайте профиль, если вы этого не сделали ранее. Вы также можете назначить заранее настроенный профиль OIDC.

1. Нажмите Управление профилями SSO.
2. Если вы впервые настраиваете профиль, нажмите "Начать". В противном случае нажмите Управлять назначениями.
3. Слева выберите нужное организационное подразделение или группу.
   • Если профиль SSO, который вы хотите назначить организационному подразделению или группе, отличается от профиля, назначенного всему домену, появится предупреждение о том, что вы собираетесь переопределить настройки.
   • Профиль SSO нельзя назначить отдельным пользователям. На странице "Пользователи" вы можете посмотреть настройки, заданные для интересующих вас пользователей.
4. Нажмите Назначение профиля SSO для выбранного организационного подразделения или группы:
   • Чтобы не использовать систему единого входа в организационном подразделении или группе, выберите Нет. Пользователи из выбранного вами организационного подразделения или группы будут входить в сервисы с учетными данными Google.
   • Чтобы назначить другого поставщика идентификационной информации организационному подразделению или группе, нажмите Другой профиль системы единого входа, а затем выберите профиль SSO из раскрывающегося списка.
5. (Только профили SSO на базе SAML) После выбора профиля SAML выберите параметр входа для пользователей, которые переходят непосредственно к сервисам Google, не выполняя вначале вход в систему стороннего поставщика идентификационной информации профиля SSO. Можно запросить у пользователя его пользовательское имя, а затем перенаправить его к поставщику идентификационной информации или же запросить обязательный ввод имени пользователя и пароля Google. 

   Примечание. Если выбрать обязательный ввод имени и пароля пользователя Google, настройка URL для изменения пароля для этого профиля SSO SAML будет игнорироваться (для доступа к ней нажмите "Профиль системы единого входа > Сведения о поставщике идентификационной информации"). Благодаря этому пользователи смогут менять свои пароли Google, когда это потребуется.

6. Нажмите Сохранить.
7. При необходимости назначьте профили SSO другим организационным подразделениям или группам.

После того как вы закроете карточку Управление профилями SSO, вы увидите обновленные назначения для организационных подразделений и групп в разделе Управление профилями SSO.

Как отменить назначение профиля SSO

1. Нажмите на название группы или организационного подразделения, чтобы открыть настройки назначений профиля.
2. Замените существующее назначение на назначение родительского организационного подразделения:
   • Для назначений организационного подразделения – нажмите Наследовать.
   • Для назначений группы – нажмите Сбросить настройки.  

Примечание. Организационное подразделение верхнего уровня всегда будет в списке назначений профилей, даже если для параметра "Профиль" задано значение "Нет".

Статьи по теме

• Необязательные параметры SSO и обслуживание
• Устранение неполадок системы единого входа
• Групповое одобрение для действий, связанных с безопасностью