Implementing Google Workspace Sso Configuration

实施 Google Workspace SSO 配置

概述

Google Workspace 的单点登录（SSO）允许组织通过其现有的身份提供商（IdP，如 Okta、Azure AD（Microsoft Entra ID）或 ADFS）对用户进行认证，而无需管理单独的 Google 密码。这通过 SAML 2.0 协议实现，其中 Google Workspace 充当服务提供商（SP），组织的 IdP 处理认证。SSO 集中了凭据管理，在 IdP 处强制执行 MFA 策略，并可在用户离开组织时立即撤销访问权限。

前置条件

• Google Workspace Business、Enterprise 或 Education 版本
• 对 Google 管理控制台的超级管理员访问权限
• 支持 SAML 2.0 的身份提供商（Okta、Azure AD、ADFS、Ping Identity）
• IdP 签名证书（X.509 PEM 格式，RSA 或 DSA）
• Google Workspace 域的 DNS 验证

核心概念

SAML 2.0 SSO 流程

用户导航到 Google Workspace 应用（Gmail、Drive 等）
        │
        ├── Google 检查：此域是否配置了 SSO？
        │
        ├── 是 → 将用户重定向到 IdP 登录页面 URL
        │          （通过浏览器重定向发送 SAML AuthnRequest）
        │
        ├── 用户在 IdP 处认证（凭据 + MFA）
        │
        ├── IdP 生成带有签名断言的 SAML 响应
        │
        ├── 浏览器将 SAML 响应 POST 到 Google ACS URL：
        │   https://www.google.com/a/{domain}/acs
        │
        ├── Google 根据上传的证书验证 SAML 签名
        │
        └── 用户获得 Google Workspace 访问权限

关键 SAML 参数

实施步骤

步骤 1：准备身份提供商

对于 Okta：

1. 导航到应用程序 > 添加应用程序 > 搜索"Google Workspace"
2. 配置 Google Workspace 应用与您的域
3. 为应用程序分配用户/组
4. 下载 IdP 元数据或记录：SSO URL、Entity ID、证书

对于 Azure AD（Microsoft Entra ID）：

1. 导航到企业应用程序 > 新建应用程序 > Google Cloud/Workspace
2. 配置单点登录 > SAML
3. 设置基本 SAML 配置：
   • 标识符（Entity ID）：google.com
   • 回复 URL（ACS）：https://www.google.com/a/{your-domain}/acs
   • 登录 URL：https://www.google.com/a/{your-domain}/ServiceLogin
4. 下载联合元数据 XML 或证书（Base64）

对于 ADFS：

1. 使用联合元数据添加信赖方信任
2. 配置声明规则以将 NameID 作为电子邮件地址传递
3. 导出令牌签名证书

步骤 2：配置 Google Workspace SSO

1. 以超级管理员身份登录 Google 管理控制台（admin.google.com）
2. 导航到安全 > 认证 > 使用第三方 IdP 的 SSO
3. 点击"添加 SSO 配置文件"或配置默认配置文件

第三方 SSO 配置文件设置：

步骤 3：将 SSO 配置文件分配给用户

SSO 配置文件可在不同范围应用：

组织范围（所有用户）
    │
    ├── 组织单元级别（特定部门）
    │   ├── 工程 OU → 通过 Okta 的 SSO
    │   ├── 市场 OU → 通过 Azure AD 的 SSO
    │   └── 承包商 OU → 通过特定 IdP 的 SSO
    │
    └── 组级别（特定安全组）
        └── VPN 用户 → 带附加 MFA 的 SSO

1. 导航到安全 > 认证 > 使用第三方 IdP 的 SSO
2. 选择要分配的 SSO 配置文件
3. 选择组织单元或组
4. 保存并等待传播（最多 24 小时，通常几分钟）

步骤 4：配置网络掩码（可选）

网络掩码根据用户的 IP 控制何时强制执行 SSO：

• 如果用户的 IP 与网络掩码匹配，则使用 Google 登录页面
• 如果用户的 IP 不匹配，则重定向到 IdP

这对于允许从企业网络直接登录 Google，同时对外部访问强制执行 SSO 非常有用。

步骤 5：测试 SSO

1. 打开无痕浏览器窗口
2. 导航到 https://mail.google.com/a/{your-domain}
3. 验证重定向到 IdP 登录页面
4. 在 IdP 处认证
5. 验证成功重定向回 Google Workspace
6. 测试注销流程重定向到 IdP 注销页面
7. 测试未在 IdP 中分配的用户（应失败）

验证清单

• IdP SAML 应用程序已配置正确的 ACS URL 和 Entity ID
• IdP 签名证书已上传到 Google 管理控制台
• SSO 配置文件已分配给目标组织单元/组
• SAML 断言包含正确的 NameID（邮箱格式）
• IdP 为所有 Google Workspace 用户强制执行 MFA
• 注销 URL 已配置为终止 IdP 会话
• 如果内外部访问不同，已配置网络掩码
• 紧急访问超级管理员账户绕过 SSO（使用 Google 认证）
• 已使用多种用户类型（管理员、标准用户、承包商）测试 SSO
• SAML 响应签名验证成功
• 已测试错误处理（证书过期、无效用户、时钟偏差）

参考资料

• Google Workspace SSO 配置指南
• 设置自定义 SAML 应用 - Google
• Okta Google Workspace SAML 指南
• SAML 2.0 技术概述 - OASIS