XFA instellen als identity provider voor Google Workspace Beta

Anders dan bij de andere identity-provider-gidsen is XFA hier zelf de identity provider: Google laat het aanmelden over aan XFA, dat gebruikers aanmeldt met een passkey en hun toestel controleert.

Let op: deze gids gaat ervan uit dat je organisatie een XFA-account heeft, dat jij daar beheerder van bent in XFA en dat je super administrator bent in de Google Admin console. Heb je nog geen account, maak er dan een aan op https://dashboard.xfa.tech/signup.

Hoe het werkt

Opent een gebruiker een Google Workspace-applicatie, dan stuurt Google hem naar XFA om aan te melden. XFA authenticeert hem met een passkey op een toestel dat hij bij XFA koppelde (Built-in passkey), controleert de beveiligingsstatus en stuurt een ondertekende SAML-assertion naar Google. Google vertrouwt die en laat hem binnen.

Google laat XFA weten wie zich aanmeldt door het e-mailadres van de gebruiker als parameter login_hint aan de doorverwijzing toe te voegen. Google doet dat alleen als Autofill email aanstaat in het SSO-profiel (hieronder); standaard staat het uit.

Omdat XFA het aanmelden overneemt, typt de gebruiker nooit een Google-wachtwoord. Zijn eerste toestel komt op gang via een herstelstap die een beheerder instelt (hieronder). Daarna is aanmelden één tik op de passkey op een vertrouwd toestel.

Maak een Identity Provider-integratie aan in het XFA-dashboard

Meld je aan bij het XFA-dashboard, ga naar de pagina Enforcement, klik op New en kies Identity Provider als type integratie.

Je krijgt dan de gegevens die Google nodig heeft om XFA te vertrouwen:

Single Sign-On URL: de URL van de XFA-aanmeldpagina.
Issuer URI (Entity ID): identificeert XFA bij Google.
een certificaat dat je kunt downloaden via Download Certificate, waarmee Google de assertions van XFA verifieert.

Houd die gegevens bij de hand voor de Google-configuratie in de volgende stap.

Op dezelfde integratie stel je ook het volgende in:

Toegestane e-maildomeinen: het domein of de domeinen van je Google Workspace (bijvoorbeeld example.com). XFA authenticeert en bevestigt alleen e-mailadressen in die domeinen of in de e-maildomeinen van je organisatie; alles daarbuiten wordt geweigerd. Staan er hier noch in de e-maildomeinen van de organisatie domeinen, dan kan niemand zich aanmelden (fail-closed), dus stel dit in voor je live gaat.
Service Provider details: de Entity ID en de Assertion Consumer Service (ACS) URL die je van Google krijgt (zie de volgende stap). Je kunt die voorlopig leeg laten en invullen nadat je Google hebt ingesteld.

Laat dit tabblad openstaan; je komt erop terug zodra Google je zijn Entity ID en ACS URL geeft.

Single sign-on instellen in Google Workspace

Ga in de Google Admin console naar Security > Authentication > SSO with third-party IdP en stel een profiel voor een externe identity provider in:

Sign-in page URL: de Single Sign-On URL uit XFA.
Sign-out page URL: de afmeld- of dashboard-URL van je organisatie.
Verification certificate: upload het certificaat dat je uit XFA hebt gedownload.
IdP entity ID: de Issuer URI uit XFA.
Gebruik de binding HTTP-POST.
Autofill email: zet het aan en kies het formaat login_hint. Zonder stuurt Google het e-mailadres niet mee en kan XFA niemand aanmelden.

Sla het profiel op en wijs het daarna toe (assign) aan de organizational units of groepen waarvan de gebruikers zich via XFA horen aan te melden. Begin met een kleine pilot-organizational unit voordat je het organisatiebreed uitrolt.

Google toont je de Entity ID en de ACS URL voor zijn kant van de vertrouwensrelatie. Kopieer die.

Super administrators houden hun eigen aanmelding

Google sluit super administrators automatisch uit van SSO-profielen van derden. Zij blijven zich aanmelden met hun Google-wachtwoord, ook in een organizational unit die je aan XFA toewijst, zodat je altijd een weg terug hebt naar de Admin console als de XFA-configuratie bijgestuurd moet worden. Je hoeft daarvoor geen aparte break-glass-organizational unit af te zonderen.

Alle anderen in een toegewezen organizational unit melden zich aan via XFA.

Rond de integratie af in het XFA-dashboard

Ga terug naar het XFA-dashboard en vul de overige Service Provider-gegevens voor de integratie in:

Service Provider Entity ID: de Entity ID van Google.
Assertion Consumer Service URL: de ACS URL van Google.

Klik op Next om de integratie op te slaan en pas het beleid voor toestelbeveiliging aan dat je tijdens het aanmelden wilt toepassen.

Apps die al een XFA-koppeling hebben

Misschien beveilig je apps die zich aanmelden met Google al door een XFA-koppeling (SAML of OAuth) tussen de app en Google te zetten. Zodra deze integratie bestaat, kan een aanmelding bij zo'n app de XFA-controle twee keer doorlopen: één keer wanneer Google het aanmelden aan XFA overlaat, en nog eens in de eigen koppeling van de app.

Het XFA-dashboard markeert die koppelingen voor je. Het herkent ze aan hun Google-aanmeld-URL's (accounts.google.com, oauth2.googleapis.com):

Op de pagina Enforcement tonen hun kaarten Aanmeldingen via Google kunnen twee keer gecontroleerd worden.
Op de Google Workspace-integratie somt een melding ze op, met een link naar elk.

Beide behouden werkt. De koppeling controleert het toestel nog altijd elke keer dat de app een gebruiker laat aanmelden, ook wanneer Google een bestaande sessie hergebruikt en het aanmelden niet aan XFA overlaat. Je kunt er ook een ander beleid mee op die app toepassen. En het SSO-profiel in Google geldt alleen voor de organizational units of groepen waaraan je het toewijst, dus gebruikers daarbuiten controleert alleen de koppeling.

Wil je maar één keer controleren, kies dan een van deze opties:

Laat de app over aan Google Workspace: stel single sign-on van de app rechtstreeks in met Google en verwijder daarna de XFA-koppeling. Gebruikers worden dan gecontroleerd wanneer ze zich aanmelden bij Google.
Behoud de koppeling voor die gebruikers: sluit ze uit van de organizational units of groepen waaraan het SSO-profiel is toegewezen.

Gebruikers klaarzetten voor hun eerste toestel

Omdat XFA nu het aanmelden verzorgt, heeft een gloednieuw toestel nog geen passkey, en meestal kan de gebruiker geen mail ontvangen in net die Google-inbox waarop hij zich aanmeldt. Daarom zet een beheerder het eerste toestel op gang.

Geef op de pagina Personen (onder Identiteit) elke gebruiker die zich via XFA gaat aanmelden een secondary email: een persoonlijk of ander adres dat hij kan bereiken. Daarna kun je hem op dat adres een onboarding link sturen, waarmee hij zijn passkey registreert zonder ooit een wachtwoord te typen. De link werkt maar één keer en is 7 dagen geldig.

Klik op Nieuwe gebruiker om een paar gebruikers toe te voegen. Wil je er veel tegelijk toevoegen, importeer ze dan uit Google (volgende sectie).

Wil je liever geen link mailen, dan kun je in plaats daarvan een one-time onboarding password voor een gebruiker genereren en die via een kanaal naar keuze aan hem bezorgen.

Gebruikers importeren uit Google

Importeer de gebruikerslijst uit de Google Admin console om veel gebruikers in één keer klaar te zetten, met het herstel-e-mailadres dat Google al voor elk van hen kent. Je hebt de beheerdersrol in XFA nodig, en je organisatie moet een integratie met een identity provider hebben.

Ga in de Google Admin console naar Directory > Users.
Klik op Download users, kies All user info columns en Comma-separated values (.csv), en download het bestand.
Open in het XFA-dashboard Identiteit > Personen en klik op Importeren uit Google.
Kies het gedownloade bestand. Het bestand wordt in je browser gelezen: alleen de gebruikers die je selecteert, worden naar XFA gestuurd.
Kies wie je importeert. Standaard toont de lijst Active gebruikers uit elke Organisatie-eenheid. Filter op de organizational unit waaraan je het SSO-profiel hebt toegewezen, en indien nodig op Status of Afdeling.
Controleer de kolom Secundair e-mailadres. Die gebruikt het Herstel-e-mailadres van de gebruiker uit Google. Heeft een gebruiker er geen, kies dan Secundair e-mailadres thuis, Secundair e-mailadres werk of Hun eigen Google-inbox, per gebruiker of voor allemaal tegelijk. XFA kiest er nooit zelf een voor je.
Controleer voor elke gebruiker de kolom Wat er gebeurt en klik dan op gebruikers importeren.
Je kunt meteen ook onboarding links sturen. Nieuwe gebruikers zijn aangevinkt; gebruikers die al ingeschreven zijn, kunnen geen link krijgen.

De kolom Wat er gebeurt toont voor elke gebruiker:

Nieuwe gebruiker of Al in XFA. Verschilt de secondary email van een bestaande gebruiker van die in het bestand, dan toont de kolom de wijziging als oud → nieuw: importeren vervangt ze.
Al ingeschreven of Link verstuurd op met de datum, zodat je niet per ongeluk een tweede link stuurt.
Gedeeld secundair e-mailadres als meerdere geselecteerde gebruikers hun link op hetzelfde adres krijgen. Wie die inbox leest, kan hen allemaal onboarden.
Geavanceerde Beveiliging voor gebruikers in het Advanced Protection Program van Google, die zich mogelijk niet kunnen aanmelden via een SSO-profiel van een derde partij. Controleer hen voor de uitrol.

Gebruikers wier domein noch een e-maildomein van je organisatie is, noch in de Toegestane e-maildomeinen van een integratie staat, en gebruikers die twee keer in het bestand staan, kun je niet selecteren.

De import toont hoeveel seats je selectie gebruikt. Geïmporteerde gebruikers tellen als gebruikers van je plan; zou de import je aantal seats overschrijden, deselecteer dan een paar nieuwe gebruikers of voeg eerst seats toe.

De link naar de eigen Google-inbox van de gebruiker sturen

Kies Hun eigen Google-inbox alleen voor gebruikers die onboarden voordat het SSO-profiel voor hen geldt: zodra dat zo is, kunnen ze die inbox niet meer openen zonder XFA. Ze hebben ook geen aparte herstelinbox tot je een secondary email instelt. De pagina Personen blijft bij deze gebruikers een waarschuwing tonen.

Onboarding links versturen

Wil je later links sturen, selecteer dan de gebruikers op de pagina Personen en klik op Onboardinglink versturen. XFA zet de e-mails in de wachtrij en verstuurt ze in de komende minuten; daarna toont de pagina Personen Link verstuurd op met de datum.

XFA slaat over, en vertelt je waarom:

gebruikers die al ingeschreven zijn,
gebruikers zonder secondary email,
gebruikers die minder dan 7 dagen geleden een link kregen. Klik op Toch opnieuw versturen om een nieuwe te sturen; die vervangt de eerdere link.

De onboardingstatus van elke gebruiker staat op de pagina Personen: Ingericht, Link verstuurd op, Ingeschreven, of Inschrijving onbekend als XFA het niet kon nagaan.

Het eerste toestel: de gebruiker opent de onboarding link uit zijn secondary email (of voert het onboarding password in dat je hem gaf) en registreert een passkey op zijn toestel. XFA controleert daarbij de beveiliging van het toestel, en die passkey is vanaf dan zijn aanmelding bij Google.
Elk volgend toestel: de gebruiker tikt op zijn passkey, zonder wachtwoord en zonder iets te typen, en XFA laat het nieuwe toestel bevestigen op een toestel dat hij al gekoppeld heeft, voordat hij wordt aangemeld.

Hoe zit het met een tweede factor?

XFA vervangt het aanmelden met een Google-wachtwoord volledig, dus er is geen aparte tweede factor die je kunt verliezen: de passkey op een toestel dat je in XFA uitdrukkelijk vertrouwt, is de sterke factor. Dat is de Built-in passkey van XFA. Lees meer in de documentatie over Built-in passkey.

Wil je er toch een, dan houdt niets je tegen: zet de 2-Step Verification van Google voor die gebruikers aan in de Google Admin console, op de gewone manier. Google vraagt die dan boven op de XFA-passkey.