Configurar o XFA como Identity Provider do Google Workspace Beta

Aqui é o XFA que trata da autenticação

Esta integração é diferente das outras integrações de identity provider. Com o Okta, o Microsoft Entra ID, o OneLogin e o PingIdentity, o seu identity provider atual continua a autenticar o utilizador e o XFA é acrescentado como fator adicional que verifica o dispositivo.

No caso do Google Workspace, é o XFA que passa a ser o identity provider. A Google delega o início de sessão no XFA, e o XFA autentica o utilizador sem palavra-passe, com uma passkey (Built-in passkey) antes de afirmar a identidade dele perante a Google. Não há um passo de palavra-passe: a passkey num dispositivo de confiança é o início de sessão, e o XFA continua a aplicar a segurança do dispositivo como parte dele.

Beta

O início de sessão sem palavra-passe no Google Workspace está em beta e é disponibilizado por organização. Se não vir a integração Identity Provider no seu painel, contacte o XFA para a ativar. Os nomes exatos dos campos no painel XFA e na Google Admin console podem diferir ligeiramente dos outros guias; os passos abaixo descrevem a configuração a que tem de chegar.

Nota: este guia parte do princípio de que tem uma conta XFA configurada para a sua organização e de que é administrador dessa organização no XFA e super administrador na Google Admin console. Se não tiver conta, pode criar uma em https://dashboard.xfa.tech/signup.

Como funciona

Quando um utilizador abre uma aplicação do Google Workspace, a Google encaminha-o para o XFA para iniciar sessão. O XFA autentica o utilizador com uma passkey num dispositivo que registou no XFA (Built-in passkey), verifica o estado de segurança do dispositivo e devolve à Google uma asserção SAML assinada. A Google confia nessa asserção e deixa o utilizador entrar.

Como o início de sessão pertence ao XFA, o utilizador nunca escreve uma palavra-passe da Google. O primeiro dispositivo arranca com um passo de recuperação provisionado pelo administrador (abaixo). Depois disso, basta um toque na passkey num dispositivo de confiança.

Criar uma integração Identity Provider no painel XFA

Depois de iniciar sessão no painel XFA, vá à página Enforcement, clique em Novo e escolha Identity Provider como tipo de integração.

Vai receber a informação de que a Google precisa para confiar no XFA:

• Single Sign-On URL: o URL da página de início de sessão do XFA.
• Issuer URI (Entity ID): identifica o XFA perante a Google.
• um certificado que pode transferir clicando em Download Certificate, que a Google usa para verificar as asserções do XFA.

Guarde esta informação à mão para a configuração da Google no passo seguinte.

Na mesma integração vai também configurar:

• Allowed email domains: o(s) domínio(s) do seu Google Workspace (por exemplo example.com). O XFA só autentica e afirma endereços de e-mail nesses domínios; tudo o resto é rejeitado. Deixar este campo vazio rejeita toda a gente (fail-closed), por isso defina-o antes de entrar em produção.
• Service Provider details: o Entity ID e o Assertion Consumer Service (ACS) URL que a Google lhe dá (ver o passo seguinte). Pode deixá-los em branco por agora e preenchê-los depois de configurar a Google.

Deixe o separador aberto; vai voltar a ele assim que a Google lhe der o seu Entity ID e o ACS URL.

Configurar o single sign-on no Google Workspace

Na Google Admin console, vá a Security > Authentication > SSO with third-party IdP e configure um perfil de identity provider externo:

• Sign-in page URL: o Single Sign-On URL do XFA.
• Sign-out page URL: o URL de fim de sessão ou do painel da sua organização.
• Verification certificate: carregue o certificado que transferiu do XFA.
• IdP entity ID: o Issuer URI do XFA.
• Use o binding HTTP-POST.

Guarde o perfil e atribua-o depois às unidades organizacionais ou aos grupos cujos utilizadores devem iniciar sessão através do XFA. Comece por uma unidade organizacional pequena, como piloto, antes de alargar a toda a organização.

A Google mostra-lhe o Entity ID e o ACS URL do seu lado da relação de confiança. Copie-os.

Os super administradores mantêm o seu próprio início de sessão

A Google exclui automaticamente os super administradores dos perfis de SSO externos. Continuam a iniciar sessão com a sua palavra-passe da Google, mesmo numa unidade organizacional que atribua ao XFA, por isso tem sempre uma forma de voltar à Admin console se a configuração do XFA precisar de correção. Não precisa de criar uma unidade organizacional de emergência separada só para isso.

Todos os outros utilizadores de uma unidade organizacional atribuída iniciam sessão através do XFA.

Concluir a integração no painel XFA

Volte ao painel XFA e preencha os restantes Service Provider details da integração:

• Service Provider Entity ID: o Entity ID da Google.
• Assertion Consumer Service URL: o ACS URL da Google.

Clique em Seguinte para guardar a integração e ajustar as políticas de segurança do dispositivo que quiser aplicar durante o início de sessão.

Provisionar os utilizadores para o primeiro dispositivo

Como o início de sessão passa agora pelo XFA, um dispositivo novo ainda não tem passkey e normalmente o utilizador não consegue receber mensagens na própria caixa de correio Google onde está a iniciar sessão. Por isso, o primeiro dispositivo é preparado por um administrador.

Na página Utilizadores, provisione cada utilizador que vai iniciar sessão através do XFA com um e-mail secundário: um endereço pessoal ou alternativo a que consiga aceder. Pode depois enviar-lhe para esse endereço um link de onboarding, que lhe permite registar a passkey sem nunca escrever uma palavra-passe.

Se preferir não enviar um link por e-mail, pode em alternativa gerar uma palavra-passe de onboarding de utilização única para um utilizador e entregá-la pelo canal que preferir.

Como os utilizadores iniciam sessão

• Primeiro dispositivo: o utilizador abre o link de onboarding do seu e-mail secundário (ou introduz a palavra-passe de onboarding que lhe deu) e regista uma passkey no dispositivo. O XFA verifica a segurança do dispositivo como parte disso, e essa passkey passa a ser o seu início de sessão na Google.
• Todos os dispositivos seguintes: o utilizador toca na passkey, sem palavra-passe e sem nada para escrever, e o XFA confirma o novo dispositivo num dispositivo que já tinha registado antes de lhe iniciar a sessão.

E quanto a um segundo fator?

O XFA substitui por completo o início de sessão com palavra-passe da Google, por isso não há um segundo fator separado para perder: a passkey num dispositivo em que confiou explicitamente no XFA é o fator forte. É o Built-in passkey do XFA. Leia mais na documentação do Built-in passkey.

Se ainda quiser um, nada o impede: ative a 2-Step Verification da própria Google para estes utilizadores na Google Admin console, da forma habitual. A Google passa então a pedi-la para além da passkey do XFA.