Configurar o XFA como Identity Provider do Google Workspace Beta

Ao contrário dos outros guias de identity providers, aqui é o próprio XFA o identity provider: a Google delega o início de sessão no XFA, que autentica os utilizadores com uma passkey e verifica o dispositivo.

Nota: este guia parte do princípio de que tem uma conta XFA configurada para a sua organização e de que é administrador dessa organização no XFA e super administrador na Google Admin console. Se não tiver conta, pode criar uma em https://dashboard.xfa.tech/signup.

Como funciona

Quando um utilizador abre uma aplicação do Google Workspace, a Google encaminha-o para o XFA para iniciar sessão. O XFA autentica o utilizador com uma passkey num dispositivo que registou no XFA (Built-in passkey), verifica o estado de segurança do dispositivo e devolve à Google uma asserção SAML assinada. A Google confia nessa asserção e deixa o utilizador entrar.

A Google indica ao XFA quem está a iniciar sessão ao acrescentar o e-mail do utilizador ao encaminhamento, no parâmetro login_hint. A Google só o faz se Autofill email estiver ativado no perfil de SSO (abaixo); por predefinição está desativado.

Como o início de sessão pertence ao XFA, o utilizador nunca escreve uma palavra-passe da Google. O primeiro dispositivo arranca com um passo de recuperação provisionado pelo administrador (abaixo). Depois disso, basta um toque na passkey num dispositivo de confiança.

Criar uma integração Identity Provider no painel XFA

Depois de iniciar sessão no painel XFA, vá à página Enforcement, clique em Novo e escolha Identity Provider como tipo de integração.

Vai receber a informação de que a Google precisa para confiar no XFA:

Single Sign-On URL: o URL da página de início de sessão do XFA.
Issuer URI (Entity ID): identifica o XFA perante a Google.
um certificado que pode transferir clicando em Download Certificate, que a Google usa para verificar as asserções do XFA.

Guarde esta informação à mão para a configuração da Google no passo seguinte.

Na mesma integração vai também configurar:

Domínios de e-mail permitidos: o(s) domínio(s) do seu Google Workspace (por exemplo example.com). O XFA só autentica e afirma e-mails desses domínios ou dos domínios de e-mail da sua organização; tudo o resto é recusado. Sem domínios aqui nem nos domínios de e-mail da organização, ninguém consegue iniciar sessão (fail-closed), por isso defina-o antes de entrar em produção.
Service Provider details: o Entity ID e o Assertion Consumer Service (ACS) URL que a Google lhe dá (ver o passo seguinte). Pode deixá-los em branco por agora e preenchê-los depois de configurar a Google.

Deixe o separador aberto; vai voltar a ele assim que a Google lhe der o seu Entity ID e o ACS URL.

Configurar o single sign-on no Google Workspace

Na Google Admin console, vá a Security > Authentication > SSO with third-party IdP e configure um perfil de identity provider externo:

Sign-in page URL: o Single Sign-On URL do XFA.
Sign-out page URL: o URL de fim de sessão ou do painel da sua organização.
Verification certificate: carregue o certificado que transferiu do XFA.
IdP entity ID: o Issuer URI do XFA.
Use o binding HTTP-POST.
Autofill email: ative-o e escolha o formato login_hint. Sem isso, a Google não envia o e-mail do utilizador e o XFA não consegue iniciar a sessão de ninguém.

Guarde o perfil e atribua-o depois às unidades organizacionais ou aos grupos cujos utilizadores devem iniciar sessão através do XFA. Comece por uma unidade organizacional pequena, como piloto, antes de alargar a toda a organização.

A Google mostra-lhe o Entity ID e o ACS URL do seu lado da relação de confiança. Copie-os.

Os super administradores mantêm o seu próprio início de sessão

A Google exclui automaticamente os super administradores dos perfis de SSO externos. Continuam a iniciar sessão com a sua palavra-passe da Google, mesmo numa unidade organizacional que atribua ao XFA, por isso tem sempre uma forma de voltar à Admin console se a configuração do XFA precisar de correção. Não precisa de criar uma unidade organizacional de emergência separada só para isso.

Todos os outros utilizadores de uma unidade organizacional atribuída iniciam sessão através do XFA.

Concluir a integração no painel XFA

Volte ao painel XFA e preencha os restantes Service Provider details da integração:

Service Provider Entity ID: o Entity ID da Google.
Assertion Consumer Service URL: o ACS URL da Google.

Clique em Seguinte para guardar a integração e ajustar as políticas de segurança do dispositivo que quiser aplicar durante o início de sessão.

Aplicações que já têm uma ligação do XFA

É possível que já proteja aplicações que iniciam sessão com a Google colocando uma ligação do XFA (SAML ou OAuth) entre a aplicação e a Google. Assim que esta integração existir, um início de sessão numa dessas aplicações pode passar duas vezes pela verificação do XFA: uma vez quando a Google entrega o início de sessão ao XFA, e outra na própria ligação da aplicação.

O painel XFA assinala estas ligações por si. Reconhece-as pelos URL de início de sessão da Google (accounts.google.com, oauth2.googleapis.com):

Na página Enforcement, os respetivos cartões mostram Os inícios de sessão através do Google podem ser verificados duas vezes.
Na integração do Google Workspace, um aviso lista-as, com um link para cada uma.

Manter ambas funciona. A ligação continua a verificar o dispositivo sempre que a aplicação envia um utilizador para iniciar sessão, também quando a Google reutiliza uma sessão existente e não entrega o início de sessão ao XFA. Também lhe permite aplicar uma política diferente a essa aplicação. E o perfil SSO na Google só se aplica às unidades organizacionais ou aos grupos a que o atribuir, por isso os utilizadores fora deles só são verificados pela ligação.

Para verificar apenas uma vez, escolha uma destas opções:

Deixar o Google Workspace cobrir a aplicação: configure o single sign-on da aplicação diretamente com a Google e, depois, elimine a respetiva ligação do XFA. Os utilizadores passam então a ser verificados quando iniciam sessão na Google.
Manter a ligação para esses utilizadores: deixe-os fora das unidades organizacionais ou dos grupos a que o perfil SSO está atribuído.

Provisionar os utilizadores para o primeiro dispositivo

Como o início de sessão passa agora pelo XFA, um dispositivo novo ainda não tem passkey e normalmente o utilizador não consegue receber mensagens na própria caixa de correio Google onde está a iniciar sessão. Por isso, o primeiro dispositivo é preparado por um administrador.

Na página Pessoas (em Identidade), provisione cada utilizador que vai iniciar sessão através do XFA com um e-mail secundário: um endereço pessoal ou alternativo a que consiga aceder. Pode depois enviar-lhe para esse endereço um link de onboarding, que lhe permite registar a passkey sem nunca escrever uma palavra-passe. O link é de utilização única e válido durante 7 dias.

Para adicionar alguns utilizadores, clique em Novo utilizador. Para adicionar muitos de uma só vez, importe-os da Google (secção seguinte).

Se preferir não enviar um link por e-mail, pode em alternativa gerar uma palavra-passe de onboarding de utilização única para um utilizador e entregá-la pelo canal que preferir.

Importar utilizadores da Google

Importe a lista de utilizadores da Google Admin console para provisionar muitos utilizadores de uma só vez, com o e-mail de recuperação que a Google já tem para cada um deles. Precisa da função de administrador no XFA, e a sua organização tem de ter uma integração de identity provider.

Na Google Admin console, vá a Directory > Users.
Clique em Download users, escolha All user info columns e Comma-separated values (.csv), e transfira o ficheiro.
No painel XFA, abra Identidade > Pessoas e clique em Importar do Google.
Escolha o ficheiro transferido. O ficheiro é lido no seu navegador: só os utilizadores que selecionar são enviados para o XFA.
Escolha quem importar. Por predefinição, a lista mostra os utilizadores Active de qualquer Unidade organizacional. Filtre pela unidade organizacional a que atribuiu o perfil SSO e, se precisar, por Estado ou Departamento.
Verifique a coluna E-mail secundário. Usa o E-mail de recuperação do utilizador na Google. Para um utilizador que não o tenha, escolha E-mail secundário pessoal, E-mail secundário de trabalho ou A própria caixa do Google, por utilizador ou para todos de uma vez. O XFA nunca escolhe um por si.
Verifique a coluna O que acontece de cada utilizador e depois clique em Importar.
Se quiser, pode enviar já os links de onboarding. Os utilizadores novos ficam assinalados; os utilizadores que já se inscreveram não podem receber um link.

A coluna O que acontece mostra, para cada utilizador:

Utilizador novo ou Já na XFA. Se o e-mail secundário de um utilizador existente for diferente do que está no ficheiro, mostra a alteração como antigo → novo: a importação substitui-o.
Já inscrito ou Ligação enviada a com a data, para não enviar um segundo link por engano.
E-mail secundário partilhado quando vários utilizadores selecionados recebem o link no mesmo endereço. Quem ler essa caixa de correio pode fazer o onboarding de todos eles.
Proteção Avançada para utilizadores do Advanced Protection Program da Google, que podem não conseguir iniciar sessão através de um perfil SSO de terceiros. Verifique-os antes da implementação.

Os utilizadores cujo domínio não é um domínio de e-mail da sua organização nem está nos Domínios de e-mail permitidos de nenhuma integração, e os utilizadores que aparecem duas vezes no ficheiro, não podem ser selecionados.

A importação mostra quantos lugares a sua seleção usa. Os utilizadores importados contam como utilizadores do seu plano; se a importação ultrapassar o seu limite de lugares, desmarque alguns utilizadores novos ou adicione lugares primeiro.

Enviar o link para a própria caixa de correio Google do utilizador

Escolha A própria caixa do Google apenas para utilizadores que vão fazer o onboarding antes de o perfil SSO se aplicar a eles: a partir desse momento, não conseguem abrir essa caixa sem o XFA. Também não têm uma caixa de recuperação separada até que defina um e-mail secundário. A página Pessoas mantém um aviso nestes utilizadores.

Enviar links de onboarding

Para enviar links mais tarde, selecione os utilizadores na página Pessoas e clique em Enviar ligação de integração. O XFA coloca os e-mails em fila e envia-os nos minutos seguintes; a página Pessoas mostra depois Ligação enviada a com a data.

O XFA ignora, e indica-lhe porquê:

utilizadores que já se inscreveram,
utilizadores sem e-mail secundário,
utilizadores que receberam um link há menos de 7 dias. Clique em Reenviar mesmo assim para enviar um novo; este substitui o link anterior.

O estado de onboarding de cada utilizador aparece na página Pessoas: Aprovisionado, Ligação enviada a, Inscrito ou Inscrição desconhecida quando o XFA não o conseguiu verificar.

Primeiro dispositivo: o utilizador abre o link de onboarding do seu e-mail secundário (ou introduz a palavra-passe de onboarding que lhe deu) e regista uma passkey no dispositivo. O XFA verifica a segurança do dispositivo como parte disso, e essa passkey passa a ser o seu início de sessão na Google.
Todos os dispositivos seguintes: o utilizador toca na passkey, sem palavra-passe e sem nada para escrever, e o XFA confirma o novo dispositivo num dispositivo que já tinha registado antes de lhe iniciar a sessão.

E quanto a um segundo fator?

O XFA substitui por completo o início de sessão com palavra-passe da Google, por isso não há um segundo fator separado para perder: a passkey num dispositivo em que confiou explicitamente no XFA é o fator forte. É o Built-in passkey do XFA. Leia mais na documentação do Built-in passkey.

Se ainda quiser um, nada o impede: ative a 2-Step Verification da própria Google para estes utilizadores na Google Admin console, da forma habitual. A Google passa então a pedi-la para além da passkey do XFA.