XFA als Identity Provider für Google Workspace einrichten Beta

Anders als bei den anderen Identity-Provider-Anleitungen ist XFA hier selbst der Identity Provider: Google übergibt die Anmeldung an XFA, das Benutzer mit einem Passkey anmeldet und ihr Gerät prüft.

Hinweis: Diese Anleitung geht davon aus, dass Ihre Organisation ein XFA-Konto hat, dass Sie dort Administrator sind und dass Sie in der Google Admin Console Super-Administrator sind. Haben Sie noch kein Konto, legen Sie eines an unter https://dashboard.xfa.tech/signup.

So funktioniert es

Öffnet ein Benutzer eine Google Workspace-Anwendung, leitet Google ihn zur Anmeldung an XFA weiter. XFA authentifiziert ihn mit einem Passkey auf einem in XFA hinterlegten Gerät (Built-in passkey), prüft den Sicherheitsstatus des Geräts und schickt Google eine signierte SAML-Assertion zurück. Google vertraut ihr und lässt den Benutzer herein.

Google teilt XFA mit, wer sich anmeldet, indem es die E-Mail-Adresse des Benutzers als Parameter login_hint an die Weiterleitung anhängt. Das macht Google nur, wenn im SSO-Profil Autofill email aktiviert ist (siehe unten); standardmäßig ist es aus.

Da XFA die Anmeldung übernimmt, tippt der Benutzer nie ein Google-Passwort ein. Das erste Gerät wird über einen vom Administrator eingerichteten Wiederherstellungsschritt freigeschaltet (siehe unten). Danach genügt ein Tippen auf den Passkey eines vertrauenswürdigen Geräts.

Eine Identity-Provider-Integration im XFA-Dashboard anlegen

Melden Sie sich am XFA-Dashboard an, gehen Sie auf die Seite Enforcement, klicken Sie auf Neu und wählen Sie Identity Provider als Typ der Integration.

Sie erhalten die Angaben, die Google braucht, um XFA zu vertrauen:

Single Sign-On URL: die URL der XFA-Anmeldeseite.
Issuer URI (Entity ID): identifiziert XFA gegenüber Google.
ein Zertifikat, das Sie über Download Certificate herunterladen und mit dem Google die Assertions von XFA prüft.

Halten Sie diese Angaben für die Google-Konfiguration im nächsten Schritt bereit.

Auf derselben Integration konfigurieren Sie außerdem:

Erlaubte E-Mail-Domains: die Domain(s) Ihres Google Workspace (zum Beispiel example.com). XFA authentifiziert und bestätigt nur E-Mail-Adressen in diesen Domains oder in den E-Mail-Domains Ihrer Organisation; alles andere wird abgelehnt. Stehen weder hier noch in den E-Mail-Domains der Organisation Domains, kann sich niemand anmelden (fail-closed); stellen Sie es also vor dem Produktivstart ein.
Service Provider details: die Entity ID und die Assertion Consumer Service (ACS) URL, die Google Ihnen gibt (siehe nächster Schritt). Sie können diese vorerst leer lassen und nach der Konfiguration von Google eintragen.

Lassen Sie den Tab offen; Sie kommen darauf zurück, sobald Google Ihnen seine Entity ID und ACS URL gegeben hat.

Single Sign-On in Google Workspace einrichten

Gehen Sie in der Google Admin Console zu Security > Authentication > SSO with third-party IdP und legen Sie ein Profil für einen externen Identity Provider an:

Sign-in page URL: die Single Sign-On URL aus XFA.
Sign-out page URL: die Abmelde- oder Dashboard-URL Ihrer Organisation.
Verification certificate: laden Sie das Zertifikat hoch, das Sie bei XFA heruntergeladen haben.
IdP entity ID: die Issuer URI aus XFA.
Nutzen Sie das Binding HTTP-POST.
Autofill email: aktivieren und das Format login_hint wählen. Ohne diese Option schickt Google die E-Mail-Adresse nicht mit, und XFA kann niemanden anmelden.

Speichern Sie das Profil und weisen Sie es dann den Organisationseinheiten oder Gruppen zu, deren Benutzer sich über XFA anmelden sollen. Beginnen Sie mit einer kleinen Pilot-Organisationseinheit, bevor Sie es organisationsweit ausrollen.

Google zeigt Ihnen anschließend die Entity ID und die ACS URL für seine Seite der Vertrauensbeziehung. Kopieren Sie beide.

Super-Administratoren behalten ihre eigene Anmeldung

Google nimmt Super-Administratoren automatisch von Profilen für externes SSO aus. Sie melden sich weiterhin mit ihrem Google-Passwort an, auch in einer Organisationseinheit, die Sie XFA zuweisen. So kommen Sie immer in die Admin Console zurück, falls die XFA-Konfiguration korrigiert werden muss. Sie müssen dafür keine separate Notfall-Organisationseinheit einrichten.

Alle anderen in einer zugewiesenen Organisationseinheit melden sich über XFA an.

Die Integration im XFA-Dashboard abschließen

Gehen Sie zurück ins XFA-Dashboard und tragen Sie die übrigen Angaben zum Service Provider für die Integration ein:

Service Provider Entity ID: die Entity ID aus Google.
Assertion Consumer Service URL: die ACS URL aus Google.

Klicken Sie auf Weiter, um die Integration zu speichern, und passen Sie die Richtlinien zur Gerätesicherheit an, die bei der Anmeldung gelten sollen.

Apps, die bereits eine XFA-Verbindung haben

Möglicherweise schützen Sie Apps, die sich über Google anmelden, bereits mit einer XFA-Verbindung (SAML oder OAuth) zwischen der App und Google. Sobald diese Integration besteht, kann eine Anmeldung bei einer solchen App den XFA-Check zweimal durchlaufen: einmal, wenn Google die Anmeldung an XFA übergibt, und erneut in der eigenen Verbindung der App.

Das XFA-Dashboard kennzeichnet diese Verbindungen für Sie. Es erkennt sie an ihren Google-Anmelde-URLs (accounts.google.com, oauth2.googleapis.com):

Auf der Seite Enforcement zeigen ihre Karten Anmeldungen über Google können zweimal geprüft werden.
In der Google Workspace-Integration listet ein Hinweis sie auf, jeweils mit einem Link.

Beides beizubehalten funktioniert. Die Verbindung prüft das Gerät weiterhin jedes Mal, wenn die App einen Benutzer zur Anmeldung schickt, auch wenn Google eine bestehende Sitzung wiederverwendet und die Anmeldung nicht an XFA übergibt. Außerdem können Sie damit auf diese App eine andere Richtlinie anwenden. Und das SSO-Profil in Google gilt nur für die Organisationseinheiten oder Gruppen, denen Sie es zuweisen, sodass Benutzer außerhalb davon nur von der Verbindung geprüft werden.

Um nur einmal zu prüfen, wählen Sie eine dieser Optionen:

Google Workspace die App überlassen: Richten Sie das Single Sign-On der App direkt mit Google ein und löschen Sie dann ihre XFA-Verbindung. Benutzer werden dann bei der Anmeldung bei Google geprüft.
Die Verbindung für diese Benutzer behalten: Nehmen Sie sie aus den Organisationseinheiten oder Gruppen aus, denen das SSO-Profil zugewiesen ist.

Benutzer für ihr erstes Gerät vorbereiten

Da XFA jetzt die Anmeldung übernimmt, hat ein ganz neues Gerät noch keinen Passkey, und der Benutzer kann meist keine E-Mail in genau dem Google-Postfach empfangen, an dem er sich gerade anmeldet. Deshalb richtet ein Administrator das erste Gerät ein.

Hinterlegen Sie auf der Seite Personen (unter Identität) für jeden Benutzer, der sich über XFA anmelden wird, eine zweite E-Mail-Adresse: eine private oder alternative Adresse, die er erreichen kann. Sie können ihm dann an diese Adresse einen Onboarding-Link schicken, mit dem er seinen Passkey registriert, ohne jemals ein Passwort einzugeben. Der Link ist nur einmal verwendbar und 7 Tage gültig.

Um einige wenige Benutzer hinzuzufügen, klicken Sie auf Neuer Benutzer. Um viele auf einmal hinzuzufügen, importieren Sie sie aus Google (nächster Abschnitt).

Möchten Sie keinen Link per E-Mail verschicken, können Sie stattdessen ein einmaliges Onboarding-Passwort für einen Benutzer erzeugen und es ihm über einen Kanal Ihrer Wahl übergeben.

Benutzer aus Google importieren

Importieren Sie die Benutzerliste aus der Google Admin Console, um viele Benutzer auf einmal vorzubereiten, mit der Wiederherstellungsadresse, die Google bereits für jeden von ihnen hinterlegt hat. Sie benötigen die Administratorrolle in XFA, und Ihre Organisation benötigt eine Identity-Provider-Integration.

Gehen Sie in der Google Admin Console zu Directory > Users.
Klicken Sie auf Download users, wählen Sie All user info columns und Comma-separated values (.csv) und laden Sie die Datei herunter.
Öffnen Sie im XFA-Dashboard Identität > Personen und klicken Sie auf Aus Google importieren.
Wählen Sie die heruntergeladene Datei. Die Datei wird in Ihrem Browser gelesen: Nur die Benutzer, die Sie auswählen, werden an XFA gesendet.
Wählen Sie aus, wen Sie importieren. Standardmäßig zeigt die Liste Active Benutzer aus jeder Organisationseinheit. Filtern Sie nach der Organisationseinheit, der Sie das SSO-Profil zugewiesen haben, und bei Bedarf nach Status oder Abteilung.
Prüfen Sie die Spalte Sekundäre E-Mail. Sie verwendet die E-Mail-Adresse zur Wiederherstellung des Benutzers aus Google. Hat ein Benutzer keine, wählen Sie Private sekundäre E-Mail, Geschäftliche sekundäre E-Mail oder Das eigene Google-Postfach, pro Benutzer oder für alle auf einmal. XFA wählt nie selbst eine aus.
Prüfen Sie für jeden Benutzer die Spalte Was passiert und klicken Sie dann auf Benutzer importieren.
Sie können optional gleich Onboarding-Links senden. Neue Benutzer sind angehakt; Benutzer, die bereits registriert sind, können keinen Link erhalten.

Die Spalte Was passiert zeigt für jeden Benutzer:

Neuer Benutzer oder Bereits in XFA. Weicht die zweite E-Mail-Adresse eines bestehenden Benutzers von der Datei ab, zeigt die Spalte die Änderung als alt → neu: Der Import ersetzt sie.
Bereits registriert oder Link gesendet am mit dem Datum, damit Sie nicht versehentlich einen zweiten Link senden.
Geteilte sekundäre E-Mail, wenn mehrere ausgewählte Benutzer ihren Link an dieselbe Adresse erhalten. Wer dieses Postfach liest, kann alle von ihnen onboarden.
Erweiterter Schutz für Benutzer in Googles Advanced Protection Program, die sich möglicherweise nicht über ein SSO-Profil eines Drittanbieters anmelden können. Prüfen Sie diese Benutzer vor dem Rollout.

Benutzer, deren Domain weder zu den E-Mail-Domains Ihrer Organisation gehört noch unter Erlaubte E-Mail-Domains einer Integration steht, und Benutzer, die doppelt in der Datei stehen, können nicht ausgewählt werden.

Der Import zeigt, wie viele Lizenzen Ihre Auswahl belegt. Importierte Benutzer zählen als Benutzer Ihres Tarifs; würde der Import Ihr Lizenzlimit überschreiten, wählen Sie einige neue Benutzer ab oder fügen Sie zuerst Lizenzen hinzu.

Den Link an das eigene Google-Postfach des Benutzers senden

Wählen Sie Das eigene Google-Postfach nur für Benutzer, die das Onboarding abschließen, bevor das SSO-Profil für sie gilt: Sobald es gilt, können sie dieses Postfach ohne XFA nicht öffnen. Diese Benutzer haben außerdem kein separates Wiederherstellungspostfach, bis Sie eine zweite E-Mail-Adresse festlegen. Die Seite Personen zeigt bei ihnen weiterhin eine Warnung.

Onboarding-Links senden

Um Links später zu senden, wählen Sie die Benutzer auf der Seite Personen aus und klicken Sie auf Onboarding-Link senden. XFA stellt die E-Mails in die Warteschlange und versendet sie in den nächsten Minuten; die Seite Personen zeigt dann Link gesendet am mit dem Datum.

XFA überspringt folgende Benutzer und nennt Ihnen den Grund:

Benutzer, die bereits registriert sind,
Benutzer ohne zweite E-Mail-Adresse,
Benutzer, die vor weniger als 7 Tagen einen Link erhalten haben. Klicken Sie auf Trotzdem erneut senden, um einen neuen zu senden; er ersetzt den früheren Link.

Der Onboarding-Status jedes Benutzers steht auf der Seite Personen: Bereitgestellt, Link gesendet am, Registriert oder Registrierung unbekannt, wenn XFA das nicht prüfen konnte.

Erstes Gerät: Der Benutzer öffnet den Onboarding-Link aus seiner zweiten E-Mail-Adresse (oder gibt das Onboarding-Passwort ein, das Sie ihm gegeben haben) und registriert einen Passkey auf seinem Gerät. XFA prüft dabei die Gerätesicherheit, und dieser Passkey ist von da an seine Anmeldung bei Google.
Jedes weitere Gerät: Der Benutzer tippt auf seinen Passkey, ohne Passwort und ohne etwas eingeben zu müssen, und XFA bestätigt das neue Gerät auf einem Gerät, das er bereits hinterlegt hat, bevor die Anmeldung weitergeht.

Und was ist mit dem zweiten Faktor?

XFA ersetzt die Passwortanmeldung von Google vollständig, es gibt also keinen separaten zweiten Faktor, den Sie verlieren könnten: Der Passkey auf einem Gerät, dem Sie in XFA ausdrücklich vertrauen, ist der starke Faktor. Das ist XFAs Built-in passkey. Mehr dazu in der Dokumentation zu Built-in passkey.

Möchten Sie dennoch einen, steht dem nichts entgegen: Schalten Sie für diese Benutzer in der Google Admin Console ganz normal Googles eigene 2-Step Verification ein. Google fragt sie dann zusätzlich zum XFA-Passkey ab.