Single sign-on voor hoofdbeheerders wordt alleen ondersteund als u het verouderde SSO-profiel gebruikt en alleen in sommige gevallen (meer informatie hieronder). De functie wordt niet ondersteund door de nieuwere SSO-profielen.
Als u SSO toestaat voor hoofdbeheerders, heeft dit zowel voordelen als risico's. Als alle gebruikers (waaronder beheerders) zich verifiëren via SSO, wordt het risico beperkt dat inloggegevens van gebruikers worden gehackt. Maar als uw IdP wordt gehackt, heeft een derde toegang tot de Google Beheerdersconsole en elk aspect van het account van uw organisatie.
Als u SSO aanzet voor hoofdbeheerders, raden we u aan ook verificatie in 2 stappen aan te zetten voor hoofdbeheerders bij zowel uw IdP als Google om dit risico te beperken.
SSO voor hoofdbeheerders uitzetten
Als u SSO voor hoofdbeheerders wilt uitzetten, gebruikt u de nieuwere SSO-profielen. Volg deze instructies om te migreren van het verouderde SSO-profiel naar SSO-profielen.
Wanneer hoofdbeheerders kunnen inloggen met SSO
Als u het verouderde SSO-profiel gebruikt, kunnen hoofdbeheerders in de volgende gevallen inloggen met SSO:
- De instelling Domeinspecifieke service-URL's is ingesteld om gebruikers automatisch om te leiden naar de IdP van derden.
- Wanneer de inlogprocedure voor hoofdbeheerders wordt gestart door de IdP (door de IdP gestarte SSO).
- Als een hoofdbeheerder in eerste instantie inlogt bij Google met een niet-hoofdbeheerdersaccount en daarna de inloggegevens van de hoofdbeheerder opgeeft wanneer die wordt omgeleid naar de IDP. In dit geval accepteert Google de identiteitsassertie van de hoofdbeheerder van de IdP.
Wanneer hoofdbeheerders niet kunnen inloggen met SSO
Zelfs als hoofdbeheerders het verouderde SSO-profiel gebruiken, kunnen ze in de volgende gevallen niet inloggen met SSO:
Beheerdersconsole
Als hoofdbeheerders proberen in te loggen bij een domein met SSO via admin.google.com, moeten ze het volledige e-mailadres van hun Google-beheerdersaccount en het bijbehorende Google-wachtwoord invoeren (niet hun SSO-gebruikersnaam en -wachtwoord) en klikken op Inloggen om de Beheerdersconsole rechtstreeks te openen. Google leidt ze niet naar de SSO-inlogpagina.
Google Drive-synchronisatieclient
Als hoofdbeheerders inloggen bij de Google Drive-synchronisatieclient, slaan ze SSO over. Google leidt ze niet naar de SSO-inlogpagina. Dit geldt als ze inloggen via browsers, mobiele apps (zoals de iOS Drive- en Gmail-apps), de activatiestroom van Android-accounts etc.
