Skip to main content

XFA:n määrittäminen Google Workspacen identiteetintarjoajaksi Beta

XFA hoitaa todennuksen tässä integraatiossa

Tämä integraatio poikkeaa muista identiteetintarjoajaintegraatioista. Okta-, Microsoft Entra ID-, OneLogin- ja PingIdentity-integraatioissa nykyinen identiteetintarjoajasi todentaa edelleen käyttäjän, ja XFA lisätään ylimääräiseksi tekijäksi, joka vahvistaa laitteen.

Google Workspacessa XFA:sta tulee identiteetintarjoaja. Google delegoi kirjautumisen XFA:lle, ja XFA todentaa käyttäjän salasanattomasti pääsyavaimella (Built-in passkey) ennen kuin se vahvistaa käyttäjän henkilöllisyyden Googlelle. Salasanavaihetta ei ole: luotetulla laitteella oleva pääsyavain on kirjautuminen, ja XFA vaatii edelleen laitteen tietoturvaa osana sitä.

Beta

Salasanaton Google Workspace -kirjautuminen on beta-vaiheessa, ja se otetaan käyttöön organisaatiokohtaisesti. Jos et näe Identity Provider -integraatiota hallintapaneelissasi, pyydä XFA:ta kytkemään se päälle. Tarkat kenttien nimet XFA:n hallintapaneelissa ja Google Admin -konsolissa voivat poiketa hieman muista oppaista; alla olevat vaiheet kuvaavat sen kokoonpanon, johon sinun on päästävä.

Huomaa: tämä opas olettaa, että organisaatiollasi on XFA-tili, että olet siinä organisaatiossa järjestelmänvalvoja XFA:ssa ja että olet Google Admin -konsolissa super administrator. Jos sinulla ei ole tiliä, voit luoda sellaisen osoitteessa https://dashboard.xfa.tech/signup.

Miten se toimii

Kun käyttäjä avaa Google Workspace -sovelluksen, Google ohjaa hänet XFA:han kirjautumaan. XFA todentaa käyttäjän pääsyavaimella laitteella, jonka hän on liittänyt XFA:han (Built-in passkey), tarkistaa laitteen tietoturvatilan ja palauttaa Googlelle allekirjoitetun SAML-väitteen. Google luottaa väitteeseen ja päästää käyttäjän sisään.

Koska XFA vastaa kirjautumisesta, käyttäjä ei koskaan kirjoita Google-salasanaa. Hänen ensimmäinen laitteensa otetaan käyttöön järjestelmänvalvojan valmistelemalla palautusvaiheella (alla). Sen jälkeen kirjautuminen on yksi pääsyavaimen napautus luotetulla laitteella.

Identiteetintarjoajaintegraation luominen XFA:n hallintapaneelissa

Kun olet kirjautunut XFA:n hallintapaneeliin, siirry Enforcement-sivulle, napsauta Uusi ja valitse integraatiotyypiksi Identity Provider.

Saat tiedot, joita Google tarvitsee luottaakseen XFA:han:

  • Single Sign-On URL: XFA:n kirjautumissivun URL-osoite.
  • Issuer URI (Entity ID): tunnistaa XFA:n Googlelle.
  • varmenne, jonka voit ladata napsauttamalla Download Certificate ja jolla Google varmentaa XFA:n väitteet.

Pidä nämä tiedot käsillä seuraavan vaiheen Google-määritystä varten.

Samassa integraatiossa määrität myös:

  • Allowed email domains: Google Workspacesi verkkotunnus tai verkkotunnukset (esimerkiksi example.com). XFA todentaa ja vahvistaa vain näissä verkkotunnuksissa olevia sähköpostiosoitteita; kaikki muut hylätään. Jos jätät kentän tyhjäksi, kaikki hylätään (fail-closed), joten aseta se ennen tuotantokäyttöä.
  • Service Provider details: Entity ID ja Assertion Consumer Service (ACS) URL, jotka saat Googlelta (katso seuraava vaihe). Voit jättää nämä toistaiseksi tyhjiksi ja täyttää ne Googlen määrittämisen jälkeen.

Jätä välilehti auki; palaat siihen, kun Google on antanut sinulle Entity ID:nsä ja ACS URL:nsä.

Kertakirjautumisen määrittäminen Google Workspacessa

Siirry Google Admin -konsolissa kohtaan Security > Authentication > SSO with third-party IdP ja määritä kolmannen osapuolen identiteetintarjoajaprofiili:

  • Sign-in page URL: XFA:n Single Sign-On URL.
  • Sign-out page URL: organisaatiosi uloskirjautumis- tai hallintapaneeli-URL.
  • Verification certificate: lataa palveluun varmenne, jonka latasit XFA:sta.
  • IdP entity ID: XFA:n Issuer URI.
  • Käytä HTTP-POST-sidontaa.

Tallenna profiili ja käytä sitten assign-toimintoa niille organisaatioyksiköille tai ryhmille, joiden käyttäjien halutaan kirjautuvan XFA:n kautta. Aloita pienestä pilottiorganisaatioyksiköstä, ennen kuin otat sen käyttöön koko organisaatiossa.

Google näyttää sinulle oman puolensa Entity ID- ja ACS URL -arvot. Kopioi ne.

Super administrator -käyttäjillä säilyy oma kirjautumistapansa

Google jättää super administrator -käyttäjät automaattisesti kolmannen osapuolen SSO-profiilien ulkopuolelle. He kirjautuvat edelleen Google-salasanallaan, myös XFA:lle kohdistetussa organisaatioyksikössä, joten sinulla on aina reitti takaisin Admin-konsoliin, jos XFA:n määritystä pitää korjata. Sinun ei tarvitse perustaa tätä varten erillistä hätätilanteiden organisaatioyksikköä.

Kaikki muut kohdistetun organisaatioyksikön käyttäjät kirjautuvat XFA:n kautta.

Integraation viimeistely XFA:n hallintapaneelissa

Palaa XFA:n hallintapaneeliin ja täytä integraation loput Service Provider -tiedot:

  • Service Provider Entity ID: Googlelta saatu Entity ID.
  • Assertion Consumer Service -URL: Googlelta saatu ACS URL.

Napsauta Seuraava tallentaaksesi integraation ja säädä ne laitteiden tietoturvakäytännöt, joita haluat soveltaa kirjautumisen aikana.

Käyttäjien valmistelu ensimmäistä laitetta varten

Koska XFA vastaa nyt kirjautumisesta, aivan uudessa laitteessa ei vielä ole pääsyavainta, eikä käyttäjä yleensä voi vastaanottaa postia siihen Google-postilaatikkoon, johon hän on kirjautumassa. Siksi järjestelmänvalvoja ottaa ensimmäisen laitteen käyttöön.

Määritä Henkilöt-sivulla jokaiselle XFA:n kautta kirjautuvalle käyttäjälle toissijainen sähköpostiosoite: henkilökohtainen tai vaihtoehtoinen osoite, johon hän pääsee käsiksi. Voit sitten lähettää siihen osoitteeseen käyttöönottolinkin, jolla hän voi rekisteröidä pääsyavaimensa kirjoittamatta koskaan salasanaa.

Jos et halua lähettää linkkiä sähköpostitse, voit sen sijaan luoda käyttäjälle kertakäyttöisen käyttöönottosalasanan ja välittää sen hänelle valitsemaasi kanavaa pitkin.

Miten käyttäjät kirjautuvat

  • Ensimmäinen laite: käyttäjä avaa toissijaiseen sähköpostiinsa tulleen käyttöönottolinkin (tai syöttää antamasi käyttöönottosalasanan) ja rekisteröi laitteelleen pääsyavaimen. XFA tarkistaa laitteen tietoturvan osana sitä, ja tuo pääsyavain on siitä lähtien hänen kirjautumisensa Googleen.
  • Jokainen seuraava laite: käyttäjä napauttaa pääsyavaintaan ilman salasanaa ja ilman mitään kirjoitettavaa, ja XFA vahvistaa uuden laitteen jo aiemmin liitetyllä laitteella ennen sisäänkirjaamista.
Entä toinen tekijä?

XFA korvaa Googlen salasanakirjautumisen kokonaan, joten erillistä toista tekijää, jonka voisi hukata, ei ole: laitteella oleva pääsyavain, johon olet nimenomaisesti luottanut XFA:ssa, on se vahva tekijä. Tämä on XFA:n Built-in passkey. Lue lisää Built-in passkey -dokumentaatiosta.

Jos haluat silti toisen tekijän, mikään ei estä sitä: ota Googlen oma 2-Step Verification käyttöön näille käyttäjille Google Admin -konsolissa tavalliseen tapaan. Google kysyy sitä tällöin XFA:n pääsyavaimen lisäksi.