Zum Hauptinhalt springen

XFA als Identity Provider für Google Workspace einrichten Beta

Hier übernimmt XFA die Authentifizierung

Diese Integration unterscheidet sich von den anderen Integrationen mit Identity Providern. Bei Okta, Microsoft Entra ID, OneLogin und PingIdentity authentifiziert weiterhin Ihr bestehender Identity Provider den Benutzer, und XFA kommt als zusätzlicher Faktor für die Geräteprüfung dazu.

Bei Google Workspace wird XFA zum Identity Provider. Google übergibt die Anmeldung an XFA, und XFA authentifiziert den Benutzer passwortlos mit einem Passkey (Built-in passkey), bevor XFA die Identität gegenüber Google bestätigt. Es gibt keinen Passwortschritt: Der Passkey auf einem vertrauenswürdigen Gerät ist die Anmeldung, und XFA setzt dabei weiterhin die Gerätesicherheit durch.

Beta

Die passwortlose Anmeldung an Google Workspace ist in der Beta und wird pro Organisation freigeschaltet. Sehen Sie die Integration Identity Provider nicht in Ihrem Dashboard, wenden Sie sich an XFA, um sie einschalten zu lassen. Die genauen Feldnamen im XFA-Dashboard und in der Google Admin Console können leicht von den anderen Anleitungen abweichen; die Schritte unten beschreiben die Zielkonfiguration.

Hinweis: Diese Anleitung geht davon aus, dass Ihre Organisation ein XFA-Konto hat, dass Sie dort Administrator sind und dass Sie in der Google Admin Console Super-Administrator sind. Haben Sie noch kein Konto, legen Sie eines an unter https://dashboard.xfa.tech/signup.

So funktioniert es

Öffnet ein Benutzer eine Google Workspace-Anwendung, leitet Google ihn zur Anmeldung an XFA weiter. XFA authentifiziert ihn mit einem Passkey auf einem in XFA hinterlegten Gerät (Built-in passkey), prüft den Sicherheitsstatus des Geräts und schickt Google eine signierte SAML-Assertion zurück. Google vertraut ihr und lässt den Benutzer herein.

Da XFA die Anmeldung übernimmt, tippt der Benutzer nie ein Google-Passwort ein. Das erste Gerät wird über einen vom Administrator eingerichteten Wiederherstellungsschritt freigeschaltet (siehe unten). Danach genügt ein Tippen auf den Passkey eines vertrauenswürdigen Geräts.

Eine Identity-Provider-Integration im XFA-Dashboard anlegen

Melden Sie sich am XFA-Dashboard an, gehen Sie auf die Seite Enforcement, klicken Sie auf Neu und wählen Sie Identity Provider als Typ der Integration.

Sie erhalten die Angaben, die Google braucht, um XFA zu vertrauen:

  • Single Sign-On URL: die URL der XFA-Anmeldeseite.
  • Issuer URI (Entity ID): identifiziert XFA gegenüber Google.
  • ein Zertifikat, das Sie über Download Certificate herunterladen und mit dem Google die Assertions von XFA prüft.

Halten Sie diese Angaben für die Google-Konfiguration im nächsten Schritt bereit.

Auf derselben Integration konfigurieren Sie außerdem:

  • Allowed email domains: die Domain(s) Ihres Google Workspace (zum Beispiel example.com). XFA authentifiziert und bestätigt ausschließlich E-Mail-Adressen in diesen Domains; alles andere wird abgelehnt. Bleibt das Feld leer, werden alle abgelehnt (fail-closed), stellen Sie es also vor dem Produktivstart ein.
  • Service Provider details: die Entity ID und die Assertion Consumer Service (ACS) URL, die Google Ihnen gibt (siehe nächster Schritt). Sie können diese vorerst leer lassen und nach der Konfiguration von Google eintragen.

Lassen Sie den Tab offen; Sie kommen darauf zurück, sobald Google Ihnen seine Entity ID und ACS URL gegeben hat.

Single Sign-On in Google Workspace einrichten

Gehen Sie in der Google Admin Console zu Security > Authentication > SSO with third-party IdP und legen Sie ein Profil für einen externen Identity Provider an:

  • Sign-in page URL: die Single Sign-On URL aus XFA.
  • Sign-out page URL: die Abmelde- oder Dashboard-URL Ihrer Organisation.
  • Verification certificate: laden Sie das Zertifikat hoch, das Sie bei XFA heruntergeladen haben.
  • IdP entity ID: die Issuer URI aus XFA.
  • Nutzen Sie das Binding HTTP-POST.

Speichern Sie das Profil und weisen Sie es dann den Organisationseinheiten oder Gruppen zu, deren Benutzer sich über XFA anmelden sollen. Beginnen Sie mit einer kleinen Pilot-Organisationseinheit, bevor Sie es organisationsweit ausrollen.

Google zeigt Ihnen anschließend die Entity ID und die ACS URL für seine Seite der Vertrauensbeziehung. Kopieren Sie beide.

Super-Administratoren behalten ihre eigene Anmeldung

Google nimmt Super-Administratoren automatisch von Profilen für externes SSO aus. Sie melden sich weiterhin mit ihrem Google-Passwort an, auch in einer Organisationseinheit, die Sie XFA zuweisen. So kommen Sie immer in die Admin Console zurück, falls die XFA-Konfiguration korrigiert werden muss. Sie müssen dafür keine separate Notfall-Organisationseinheit einrichten.

Alle anderen in einer zugewiesenen Organisationseinheit melden sich über XFA an.

Die Integration im XFA-Dashboard abschließen

Gehen Sie zurück ins XFA-Dashboard und tragen Sie die übrigen Angaben zum Service Provider für die Integration ein:

  • Service Provider Entity ID: die Entity ID aus Google.
  • Assertion Consumer Service URL: die ACS URL aus Google.

Klicken Sie auf Weiter, um die Integration zu speichern, und passen Sie die Richtlinien zur Gerätesicherheit an, die bei der Anmeldung gelten sollen.

Benutzer für ihr erstes Gerät vorbereiten

Da XFA jetzt die Anmeldung übernimmt, hat ein ganz neues Gerät noch keinen Passkey, und der Benutzer kann meist keine E-Mail in genau dem Google-Postfach empfangen, an dem er sich gerade anmeldet. Deshalb richtet ein Administrator das erste Gerät ein.

Hinterlegen Sie auf der Seite Personen für jeden Benutzer, der sich über XFA anmelden wird, eine zweite E-Mail-Adresse: eine private oder alternative Adresse, die er erreichen kann. Sie können ihm dann an diese Adresse einen Onboarding-Link schicken, mit dem er seinen Passkey registriert, ohne jemals ein Passwort einzugeben.

Möchten Sie keinen Link per E-Mail verschicken, können Sie stattdessen ein einmaliges Onboarding-Passwort für einen Benutzer erzeugen und es ihm über einen Kanal Ihrer Wahl übergeben.

So melden sich Benutzer an

  • Erstes Gerät: Der Benutzer öffnet den Onboarding-Link aus seiner zweiten E-Mail-Adresse (oder gibt das Onboarding-Passwort ein, das Sie ihm gegeben haben) und registriert einen Passkey auf seinem Gerät. XFA prüft dabei die Gerätesicherheit, und dieser Passkey ist von da an seine Anmeldung bei Google.
  • Jedes weitere Gerät: Der Benutzer tippt auf seinen Passkey, ohne Passwort und ohne etwas eingeben zu müssen, und XFA bestätigt das neue Gerät auf einem Gerät, das er bereits hinterlegt hat, bevor die Anmeldung weitergeht.
Und was ist mit dem zweiten Faktor?

XFA ersetzt die Passwortanmeldung von Google vollständig, es gibt also keinen separaten zweiten Faktor, den Sie verlieren könnten: Der Passkey auf einem Gerät, dem Sie in XFA ausdrücklich vertrauen, ist der starke Faktor. Das ist XFAs Built-in passkey. Mehr dazu in der Dokumentation zu Built-in passkey.

Möchten Sie dennoch einen, steht dem nichts entgegen: Schalten Sie für diese Benutzer in der Google Admin Console ganz normal Googles eigene 2-Step Verification ein. Google fragt sie dann zusätzlich zum XFA-Passkey ab.