XFA:n määrittäminen Google Workspacen identiteetintarjoajaksi Beta

Toisin kuin muissa identiteetintarjoajaoppaissa, tässä XFA on itse identiteetintarjoaja: Google siirtää kirjautumisen XFA:lle, joka kirjaa käyttäjät sisään pääsyavaimella ja tarkistaa heidän laitteensa.

Huomaa: tämä opas olettaa, että organisaatiollasi on XFA-tili, että olet siinä organisaatiossa järjestelmänvalvoja XFA:ssa ja että olet Google Admin -konsolissa super administrator. Jos sinulla ei ole tiliä, voit luoda sellaisen osoitteessa https://dashboard.xfa.tech/signup.

Miten se toimii

Kun käyttäjä avaa Google Workspace -sovelluksen, Google ohjaa hänet XFA:han kirjautumaan. XFA todentaa käyttäjän pääsyavaimella laitteella, jonka hän on liittänyt XFA:han (Built-in passkey), tarkistaa laitteen tietoturvatilan ja palauttaa Googlelle allekirjoitetun SAML-väitteen. Google luottaa väitteeseen ja päästää käyttäjän sisään.

Google kertoo XFA:lle, kuka kirjautuu, lisäämällä käyttäjän sähköpostiosoitteen uudelleenohjaukseen login_hint-parametrina. Google tekee tämän vain, jos SSO-profiilissa on Autofill email käytössä (alla); oletuksena se on pois päältä.

Koska XFA vastaa kirjautumisesta, käyttäjä ei koskaan kirjoita Google-salasanaa. Hänen ensimmäinen laitteensa otetaan käyttöön järjestelmänvalvojan valmistelemalla palautusvaiheella (alla). Sen jälkeen kirjautuminen on yksi pääsyavaimen napautus luotetulla laitteella.

Identiteetintarjoajaintegraation luominen XFA:n hallintapaneelissa

Kun olet kirjautunut XFA:n hallintapaneeliin, siirry Enforcement-sivulle, napsauta Uusi ja valitse integraatiotyypiksi Identity Provider.

Saat tiedot, joita Google tarvitsee luottaakseen XFA:han:

Single Sign-On URL: XFA:n kirjautumissivun URL-osoite.
Issuer URI (Entity ID): tunnistaa XFA:n Googlelle.
varmenne, jonka voit ladata napsauttamalla Download Certificate ja jolla Google varmentaa XFA:n väitteet.

Pidä nämä tiedot käsillä seuraavan vaiheen Google-määritystä varten.

Samassa integraatiossa määrität myös:

Sallitut sähköpostiverkkotunnukset: Google Workspacesi verkkotunnus tai verkkotunnukset (esimerkiksi example.com). XFA todentaa ja vahvistaa vain näiden verkkotunnusten tai organisaatiosi sähköpostiverkkotunnusten sähköpostiosoitteet; kaikki muut hylätään. Jos verkkotunnuksia ei ole täällä eikä organisaation sähköpostiverkkotunnuksissa, kukaan ei voi kirjautua (fail-closed), joten aseta tämä ennen tuotantokäyttöä.
Service Provider details: Entity ID ja Assertion Consumer Service (ACS) URL, jotka saat Googlelta (katso seuraava vaihe). Voit jättää nämä toistaiseksi tyhjiksi ja täyttää ne Googlen määrittämisen jälkeen.

Jätä välilehti auki; palaat siihen, kun Google on antanut sinulle Entity ID:nsä ja ACS URL:nsä.

Kertakirjautumisen määrittäminen Google Workspacessa

Siirry Google Admin -konsolissa kohtaan Security > Authentication > SSO with third-party IdP ja määritä kolmannen osapuolen identiteetintarjoajaprofiili:

Sign-in page URL: XFA:n Single Sign-On URL.
Sign-out page URL: organisaatiosi uloskirjautumis- tai hallintapaneeli-URL.
Verification certificate: lataa palveluun varmenne, jonka latasit XFA:sta.
IdP entity ID: XFA:n Issuer URI.
Käytä HTTP-POST-sidontaa.
Autofill email: ota käyttöön ja valitse muoto login_hint. Ilman sitä Google ei lähetä käyttäjän sähköpostiosoitetta, eikä XFA voi kirjata ketään sisään.

Tallenna profiili ja käytä sitten assign-toimintoa niille organisaatioyksiköille tai ryhmille, joiden käyttäjien halutaan kirjautuvan XFA:n kautta. Aloita pienestä pilottiorganisaatioyksiköstä, ennen kuin otat sen käyttöön koko organisaatiossa.

Google näyttää sinulle oman puolensa Entity ID- ja ACS URL -arvot. Kopioi ne.

Super administrator -käyttäjillä säilyy oma kirjautumistapansa

Google jättää super administrator -käyttäjät automaattisesti kolmannen osapuolen SSO-profiilien ulkopuolelle. He kirjautuvat edelleen Google-salasanallaan, myös XFA:lle kohdistetussa organisaatioyksikössä, joten sinulla on aina reitti takaisin Admin-konsoliin, jos XFA:n määritystä pitää korjata. Sinun ei tarvitse perustaa tätä varten erillistä hätätilanteiden organisaatioyksikköä.

Kaikki muut kohdistetun organisaatioyksikön käyttäjät kirjautuvat XFA:n kautta.

Integraation viimeistely XFA:n hallintapaneelissa

Palaa XFA:n hallintapaneeliin ja täytä integraation loput Service Provider -tiedot:

Service Provider Entity ID: Googlelta saatu Entity ID.
Assertion Consumer Service -URL: Googlelta saatu ACS URL.

Napsauta Seuraava tallentaaksesi integraation ja säädä ne laitteiden tietoturvakäytännöt, joita haluat soveltaa kirjautumisen aikana.

Sovellukset, joilla on jo XFA-yhteys

Saatat jo suojata Googlella kirjautuvia sovelluksia asettamalla XFA-yhteyden (SAML tai OAuth) sovelluksen ja Googlen väliin. Kun tämä integraatio on olemassa, kirjautuminen tällaiseen sovellukseen voi käydä XFA-tarkistuksen läpi kahdesti: kerran, kun Google siirtää kirjautumisen XFA:lle, ja uudelleen sovelluksen omassa yhteydessä.

XFA:n hallintapaneeli merkitsee nämä yhteydet puolestasi. Se tunnistaa ne niiden Google-kirjautumis-URL-osoitteista (accounts.google.com, oauth2.googleapis.com):

Enforcement-sivulla niiden korteissa näkyy Google-kirjautumiset voidaan tarkistaa kahdesti.
Google Workspace -integraatiossa ilmoitus luettelee ne ja linkittää kuhunkin niistä.

Molempien pitäminen toimii. Yhteys tarkistaa laitteen edelleen aina, kun sovellus ohjaa käyttäjän kirjautumaan, myös silloin, kun Google käyttää olemassa olevaa istuntoa uudelleen eikä siirrä kirjautumista XFA:lle. Sen avulla voit myös soveltaa sovellukseen eri käytäntöä. Lisäksi Googlen SSO-profiili koskee vain niitä organisaatioyksiköitä tai ryhmiä, joille kohdistat sen, joten niiden ulkopuolisia käyttäjiä tarkistaa vain yhteys.

Jos haluat tarkistaa vain kerran, valitse jokin näistä:

Anna Google Workspacen kattaa sovellus: määritä sovelluksen kertakirjautuminen suoraan Googlen kanssa ja poista sitten sen XFA-yhteys. Käyttäjät tarkistetaan silloin, kun he kirjautuvat Googleen.
Pidä yhteys näille käyttäjille: jätä heidät niiden organisaatioyksiköiden tai ryhmien ulkopuolelle, joille SSO-profiili on kohdistettu.

Käyttäjien valmistelu ensimmäistä laitetta varten

Koska XFA vastaa nyt kirjautumisesta, aivan uudessa laitteessa ei vielä ole pääsyavainta, eikä käyttäjä yleensä voi vastaanottaa postia siihen Google-postilaatikkoon, johon hän on kirjautumassa. Siksi järjestelmänvalvoja ottaa ensimmäisen laitteen käyttöön.

Määritä Henkilöt-sivulla (kohdassa Identiteetti) jokaiselle XFA:n kautta kirjautuvalle käyttäjälle toissijainen sähköpostiosoite: henkilökohtainen tai vaihtoehtoinen osoite, johon hän pääsee käsiksi. Voit sitten lähettää siihen osoitteeseen käyttöönottolinkin, jolla hän voi rekisteröidä pääsyavaimensa kirjoittamatta koskaan salasanaa. Linkki on kertakäyttöinen ja voimassa 7 päivää.

Jos lisäät vain muutaman käyttäjän, napsauta Uusi käyttäjä. Jos lisäät monta kerralla, tuo heidät Googlesta (seuraava osio).

Jos et halua lähettää linkkiä sähköpostitse, voit sen sijaan luoda käyttäjälle kertakäyttöisen käyttöönottosalasanan ja välittää sen hänelle valitsemaasi kanavaa pitkin.

Käyttäjien tuominen Googlesta

Tuo käyttäjäluettelo Google Admin -konsolista, niin voit valmistella monta käyttäjää kerralla ja käyttää palautussähköpostia, jonka Google on jo tallentanut kullekin heistä. Tarvitset XFA:ssa järjestelmänvalvojan roolin, ja organisaatiollasi on oltava vähintään yksi identiteetintarjoajaintegraatio.

Siirry Google Admin -konsolissa kohtaan Directory > Users.
Napsauta Download users, valitse All user info columns ja Comma-separated values (.csv) ja lataa tiedosto.
Avaa XFA:n hallintapaneelissa Identiteetti > Henkilöt ja napsauta Tuo Googlesta.
Valitse ladattu tiedosto. Tiedosto luetaan selaimessasi: vain valitsemasi käyttäjät lähetetään XFA:lle.
Valitse, keitä tuot. Oletuksena luettelossa näkyvät Active-käyttäjät kaikista organisaatioyksiköistä (Organisaatioyksikkö). Suodata sen organisaatioyksikön mukaan, jolle kohdistit SSO-profiilin, ja tarvittaessa Tila- tai Osasto-arvon mukaan.
Tarkista Toissijainen sähköposti -sarake. Siinä käytetään käyttäjän Googlessa olevaa Palautussähköposti-osoitetta. Jos käyttäjällä ei ole sitä, valitse Toissijainen kotisähköposti, Toissijainen työsähköposti tai Oma Google-postilaatikko, käyttäjäkohtaisesti tai kaikille kerralla. XFA ei koskaan valitse sitä puolestasi.
Tarkista jokaisen käyttäjän Mitä tapahtuu -sarake ja napsauta sitten Tuo.
Voit halutessasi lähettää käyttöönottolinkit heti. Uudet käyttäjät on valittu valmiiksi; jo rekisteröityneet käyttäjät eivät voi saada linkkiä.

Mitä tapahtuu -sarake näyttää jokaisen käyttäjän kohdalla:

Uusi käyttäjä tai Jo XFA:ssa. Jos olemassa olevan käyttäjän toissijainen sähköpostiosoite eroaa tiedostossa olevasta, muutos näytetään muodossa vanha → uusi: tuonti korvaa sen.
Jo rekisteröitynyt tai Linkki lähetetty ja päivämäärä, jotta et lähetä vahingossa toista linkkiä.
Jaettu toissijainen sähköposti, kun useampi valittu käyttäjä saa linkkinsä samaan osoitteeseen. Kuka tahansa, joka lukee sitä postilaatikkoa, voi ottaa heidät kaikki käyttöön.
Lisäsuojaus käyttäjille, jotka kuuluvat Googlen Advanced Protection Program -ohjelmaan ja jotka eivät ehkä pysty kirjautumaan kolmannen osapuolen SSO-profiilin kautta. Tarkista heidät ennen käyttöönottoa.

Käyttäjiä, joiden verkkotunnus ei ole organisaatiosi sähköpostiverkkotunnuksissa eikä minkään integraation Sallitut sähköpostiverkkotunnukset -luettelossa, tai käyttäjiä, jotka ovat tiedostossa kahdesti, ei voi valita.

Tuonti näyttää, montako paikkaa valintasi käyttää. Tuodut käyttäjät lasketaan pakettisi käyttäjiksi; jos tuonti ylittäisi paikkarajasi, poista valinta joiltakin uusilta käyttäjiltä tai lisää ensin paikkoja.

Linkin lähettäminen käyttäjän omaan Google-postilaatikkoon

Valitse Oma Google-postilaatikko vain käyttäjille, jotka suorittavat käyttöönoton ennen kuin SSO-profiili koskee heitä: kun se koskee, he eivät voi avata sitä postilaatikkoa ilman XFA:ta. Heillä ei myöskään ole erillistä palautuspostilaatikkoa ennen kuin määrität toissijaisen sähköpostiosoitteen. Henkilöt-sivulla näkyy näiden käyttäjien kohdalla varoitus.

Käyttöönottolinkkien lähettäminen

Jos haluat lähettää linkit myöhemmin, valitse käyttäjät Henkilöt-sivulla ja napsauta Lähetä käyttöönottolinkki. XFA asettaa sähköpostit jonoon ja lähettää ne muutaman seuraavan minuutin aikana; sen jälkeen Henkilöt-sivulla näkyy Linkki lähetetty ja päivämäärä.

XFA ohittaa seuraavat käyttäjät ja kertoo syyn:

käyttäjät, jotka ovat jo rekisteröityneet,
käyttäjät, joilla ei ole toissijaista sähköpostiosoitetta,
käyttäjät, jotka saivat linkin alle 7 päivää sitten. Napsauta Lähetä silti uudelleen lähettääksesi uuden; se korvaa aiemman linkin.

Jokaisen käyttäjän käyttöönoton tila näkyy Henkilöt-sivulla: Valmisteltu, Linkki lähetetty, Rekisteröitynyt tai Rekisteröityminen tuntematon, jos XFA ei voinut tarkistaa sitä.

Ensimmäinen laite: käyttäjä avaa toissijaiseen sähköpostiinsa tulleen käyttöönottolinkin (tai syöttää antamasi käyttöönottosalasanan) ja rekisteröi laitteelleen pääsyavaimen. XFA tarkistaa laitteen tietoturvan osana sitä, ja tuo pääsyavain on siitä lähtien hänen kirjautumisensa Googleen.
Jokainen seuraava laite: käyttäjä napauttaa pääsyavaintaan ilman salasanaa ja ilman mitään kirjoitettavaa, ja XFA vahvistaa uuden laitteen jo aiemmin liitetyllä laitteella ennen sisäänkirjaamista.

Entä toinen tekijä?

XFA korvaa Googlen salasanakirjautumisen kokonaan, joten erillistä toista tekijää, jonka voisi hukata, ei ole: laitteella oleva pääsyavain, johon olet nimenomaisesti luottanut XFA:ssa, on se vahva tekijä. Tämä on XFA:n Built-in passkey. Lue lisää Built-in passkey -dokumentaatiosta.

Jos haluat silti toisen tekijän, mikään ei estä sitä: ota Googlen oma 2-Step Verification käyttöön näille käyttäjille Google Admin -konsolissa tavalliseen tapaan. Google kysyy sitä tällöin XFA:n pääsyavaimen lisäksi.