XFA instellen als identity provider voor Google Workspace Beta

XFA neemt hier de authenticatie over

Deze integratie werkt anders dan de andere integraties met identity providers. Bij Okta, Microsoft Entra ID, OneLogin en PingIdentity authenticeert je bestaande identity provider nog altijd de gebruiker en komt XFA erbij als extra factor die het toestel controleert.

Bij Google Workspace wordt XFA de identity provider. Google laat het aanmelden over aan XFA, en XFA authenticeert de gebruiker zonder wachtwoord, met een passkey (Built-in passkey) voordat XFA die identiteit aan Google doorgeeft. Er is geen wachtwoordstap: de passkey op een vertrouwd toestel is het aanmelden, en XFA dwingt daarbij nog altijd de toestelbeveiliging af.

Beta

Aanmelden bij Google Workspace zonder wachtwoord is in beta en wordt per organisatie aangezet. Zie je de integratie Identity Provider niet in je dashboard, neem dan contact op met XFA om ze te laten aanzetten. De precieze veldnamen in het XFA-dashboard en de Google Admin console kunnen licht afwijken van de andere gidsen; hieronder staat beschreven welke configuratie je nodig hebt.

Let op: deze gids gaat ervan uit dat je organisatie een XFA-account heeft, dat jij daar beheerder van bent in XFA en dat je super administrator bent in de Google Admin console. Heb je nog geen account, maak er dan een aan op https://dashboard.xfa.tech/signup.

Hoe het werkt

Opent een gebruiker een Google Workspace-applicatie, dan stuurt Google hem naar XFA om aan te melden. XFA authenticeert hem met een passkey op een toestel dat hij bij XFA koppelde (Built-in passkey), controleert de beveiligingsstatus en stuurt een ondertekende SAML-assertion naar Google. Google vertrouwt die en laat hem binnen.

Omdat XFA het aanmelden overneemt, typt de gebruiker nooit een Google-wachtwoord. Zijn eerste toestel komt op gang via een herstelstap die een beheerder instelt (hieronder). Daarna is aanmelden één tik op de passkey op een vertrouwd toestel.

Maak een Identity Provider-integratie aan in het XFA-dashboard

Meld je aan bij het XFA-dashboard, ga naar de pagina Enforcement, klik op New en kies Identity Provider als type integratie.

Je krijgt dan de gegevens die Google nodig heeft om XFA te vertrouwen:

• Single Sign-On URL: de URL van de XFA-aanmeldpagina.
• Issuer URI (Entity ID): identificeert XFA bij Google.
• een certificaat dat je kunt downloaden via Download Certificate, waarmee Google de assertions van XFA verifieert.

Houd die gegevens bij de hand voor de Google-configuratie in de volgende stap.

Op dezelfde integratie stel je ook het volgende in:

• Allowed email domains: het domein of de domeinen van je Google Workspace (bijvoorbeeld example.com). XFA authenticeert en bevestigt alleen e-mailadressen in die domeinen; alles daarbuiten wordt geweigerd. Laat je dit leeg, dan wordt iedereen geweigerd (fail-closed), dus stel het in voor je live gaat.
• Service Provider details: de Entity ID en de Assertion Consumer Service (ACS) URL die je van Google krijgt (zie de volgende stap). Je kunt die voorlopig leeg laten en invullen nadat je Google hebt ingesteld.

Laat dit tabblad openstaan; je komt erop terug zodra Google je zijn Entity ID en ACS URL geeft.

Single sign-on instellen in Google Workspace

Ga in de Google Admin console naar Security > Authentication > SSO with third-party IdP en stel een profiel voor een externe identity provider in:

• Sign-in page URL: de Single Sign-On URL uit XFA.
• Sign-out page URL: de afmeld- of dashboard-URL van je organisatie.
• Verification certificate: upload het certificaat dat je uit XFA hebt gedownload.
• IdP entity ID: de Issuer URI uit XFA.
• Gebruik de binding HTTP-POST.

Sla het profiel op en wijs het daarna toe (assign) aan de organizational units of groepen waarvan de gebruikers zich via XFA horen aan te melden. Begin met een kleine pilot-organizational unit voordat je het organisatiebreed uitrolt.

Google toont je de Entity ID en de ACS URL voor zijn kant van de vertrouwensrelatie. Kopieer die.

Super administrators houden hun eigen aanmelding

Google sluit super administrators automatisch uit van SSO-profielen van derden. Zij blijven zich aanmelden met hun Google-wachtwoord, ook in een organizational unit die je aan XFA toewijst, zodat je altijd een weg terug hebt naar de Admin console als de XFA-configuratie bijgestuurd moet worden. Je hoeft daarvoor geen aparte break-glass-organizational unit af te zonderen.

Alle anderen in een toegewezen organizational unit melden zich aan via XFA.

Rond de integratie af in het XFA-dashboard

Ga terug naar het XFA-dashboard en vul de overige Service Provider-gegevens voor de integratie in:

• Service Provider Entity ID: de Entity ID van Google.
• Assertion Consumer Service URL: de ACS URL van Google.

Klik op Next om de integratie op te slaan en pas het beleid voor toestelbeveiliging aan dat je tijdens het aanmelden wilt toepassen.

Gebruikers klaarzetten voor hun eerste toestel

Omdat XFA nu het aanmelden verzorgt, heeft een gloednieuw toestel nog geen passkey, en meestal kan de gebruiker geen mail ontvangen in net die Google-inbox waarop hij zich aanmeldt. Daarom zet een beheerder het eerste toestel op gang.

Geef op de pagina Users elke gebruiker die zich via XFA gaat aanmelden een secondary email: een persoonlijk of ander adres dat hij kan bereiken. Daarna kun je hem op dat adres een onboarding link sturen, waarmee hij zijn passkey registreert zonder ooit een wachtwoord te typen.

Wil je liever geen link mailen, dan kun je in plaats daarvan een one-time onboarding password voor een gebruiker genereren en die via een kanaal naar keuze aan hem bezorgen.

Hoe gebruikers zich aanmelden

• Het eerste toestel: de gebruiker opent de onboarding link uit zijn secondary email (of voert het onboarding password in dat je hem gaf) en registreert een passkey op zijn toestel. XFA controleert daarbij de beveiliging van het toestel, en die passkey is vanaf dan zijn aanmelding bij Google.
• Elk volgend toestel: de gebruiker tikt op zijn passkey, zonder wachtwoord en zonder iets te typen, en XFA laat het nieuwe toestel bevestigen op een toestel dat hij al gekoppeld heeft, voordat hij wordt aangemeld.

Hoe zit het met een tweede factor?

XFA vervangt het aanmelden met een Google-wachtwoord volledig, dus er is geen aparte tweede factor die je kunt verliezen: de passkey op een toestel dat je in XFA uitdrukkelijk vertrouwt, is de sterke factor. Dat is de Built-in passkey van XFA. Lees meer in de documentatie over Built-in passkey.

Wil je er toch een, dan houdt niets je tegen: zet de 2-Step Verification van Google voor die gebruikers aan in de Google Admin console, op de gewone manier. Google vraagt die dan boven op de XFA-passkey.