SAML-certificaten beheren

Uw SAML-apps gebruiken X.509-certificaten om de authenticiteit en integriteit te garanderen van berichten die tussen de identiteitsprovider (IdP) en serviceprovider (SP) worden gedeeld. Als hoofdgebruiker kunt u het volgende doen in de beheerdersconsole:

• Eenvoudig zien welke X.509-certificaten worden gebruikt door uw SAML-apps
• De X.509-certificaten identificeren die bijna verlopen.
• Nieuwe certificaten maken en toewijzen aan uw SAML-apps. Dit heet certificaatrotatie.

Waarom SAML-certificaten roteren?

X.509-certificaten zijn 5 jaar geldig. U moet een certificaat roteren als het bijna verloopt of als het is beschadigd. Als een certificaat verloopt voordat u het roteert, kunnen uw gebruikers pas weer met SSO inloggen bij SAML-apps waarin dat certificaat wordt gebruikt als u het heeft vervangen door een nieuw certificaat.

Nadat u een nieuw certificaat heeft gemaakt, moet u het toewijzen aan al uw SAML-apps in Google (aan de IdP-zijde) en toevoegen aan de overeenkomende SSO-configuratie aan de SP-zijde.

SAML-certificaten beheren

Uw account bevat 1 standaardcertificaat dat u kunt gebruiken voor al uw SAML-apps. U kunt een 2e certificaat toevoegen of een of beide certificaten verwijderen en nieuwe certificaten maken:

1. Log in met een hoofdbeheerdersaccount op de Google Beheerdersconsole.

   Als u geen hoofdbeheerdersaccount gebruikt, kunt u deze stappen niet uitvoeren.

2.  Ga naar Menu  Beveiliging > Verificatie > SSO met SAML-apps.

   In het gedeelte Certificaten staan uw huidige X.509-certificaten. U kunt maximaal 2 certificaten tegelijk gebruiken. U ziet de naam, vervaldatum, content en SHA-256-vingerafdruk van het certificaat. Gebruik de knoppen aan de rechterkant om een certificaat te kopiëren, downloaden of verwijderen.

3. (Optioneel) Als u maar 1 certificaat heeft, klikt u op Nog een certificaat toevoegen om een 2e certificaat te maken.

   Opmerking: Het certificaat dat het laatst is gemaakt (het nieuwste certificaat) wordt het standaardcertificaat waarmee SSO wordt ingesteld voor nieuwe SAML-apps.

4. (Optioneel) Ga als volgt te werk om een nieuw certificaat te maken:
   1. Klik op Verwijderen  om een certificaat te verwijderen.

      Als het certificaat dat u verwijdert, wordt gebruikt door geïnstalleerde SAML-apps, ziet u een venster met de betreffende apps en de waarschuwing dat SSO met deze apps pas weer beschikbaar is als u een nieuw certificaat toewijst aan de apps.

   2. Klik op Certificaat verwijderen. Als u een certificaat verwijdert, heeft dit deze gevolgen:
      • Als u 1 certificaat heeft, wordt er automatisch een nieuw certificaat gemaakt om het te vervangen.
      • Als u 2 certificaten heeft en certificaat 1 verwijdert, wordt het vervangen door certificaat 2.
5. Als u een certificaat vervangt dat wordt gebruikt door een of meer SAML-apps, volgt u de stappen in het volgende gedeelte om het nieuwe certificaat toe te wijzen aan de betreffende apps. U moet het certificaat ook updaten in de SSO-instellingen van die apps op de beheerwebsite van de SP.

Tip: Gebeurtenissen met betrekking tot SAML-certificaten (verwijderen, maken, het toegewezen certificaat van een SAML-app wijzigen) worden opgeslagen in het controlelogboek voor beheerders.

Het certificaat updaten dat door een SAML-app wordt gebruikt

1. Log in met een hoofdbeheerdersaccount op de Google Beheerdersconsole.

   Als u geen hoofdbeheerdersaccount gebruikt, kunt u deze stappen niet uitvoeren.

2. Ga naar Menu  Apps > Web- en mobiele apps.

   Hiervoor is het beheerdersrecht Mobiel apparaatbeheer vereist.

3. Klik op de SAML-app om de pagina Instellingen te openen.
4. Klik op Gegevens van de serviceprovider.

   Onder Certificaat staat het huidige certificaat dat wordt gebruikt door de app, inclusief de certificaat-ID en de vervaldatum. Als u het certificaat heeft verwijderd waarmee de app was ingesteld, ziet u de waarschuwing Geen certificaat toegewezen.

5. Klik op de pijl-omlaag  en kies een certificaat.
6. (Optioneel) Als er geen andere certificaten beschikbaar zijn of als u nieuwe certificaten moet maken, klikt u op Certificaten beheren en volgt u de instructies hierboven in SAML-certificaten beheren.
7. Nadat u het certificaat heeft gewijzigd dat is toegewezen aan de SAML-app, moet u het certificaat ook toevoegen aan de SSO-configuratie van de app op de website van de serviceprovider. SSO werkt pas met de SAML-app als de configuratie aan de SP-zijde ook is geüpdatet.

Belangrijk: Nadat u een certificaat heeft vervangen, kan het 24 uur duren voordat het nieuwe certificaat beschikbaar is om te worden gebruikt door uw SAML-apps.