implementing-google-workspace-sso-configuration

Google Workspace SSO 構成の実装

概要

Google Workspace の Single Sign-On（SSO）を使用すると、組織は Google のパスワードを個別に管理する代わりに、Okta、Azure AD（Microsoft Entra ID）、ADFS などの既存の ID プロバイダー（IdP）を通じてユーザーを認証できます。これは SAML 2.0 プロトコルを使用して実装され、Google Workspace がサービスプロバイダー（SP）として動作し、組織の IdP が認証を処理します。SSO により認証情報の管理が一元化され、IdP で MFA ポリシーを適用できるほか、ユーザーが組織を離れた際にアクセスを即座に取り消せます。

使用するタイミング

• 環境で google workspace sso configuration の実装機能を展開または構成する場合
• コンプライアンス要件に沿ったセキュリティ統制を確立する場合
• この分野のセキュリティアーキテクチャを構築または改善する場合
• この実装が必要なセキュリティ評価を実施する場合

前提条件

• Google Workspace Business、Enterprise、または Education エディション
• Google 管理コンソールへの Super Admin アクセス権
• SAML 2.0 に対応した ID プロバイダー（Okta、Azure AD、ADFS、Ping Identity）
• IdP の署名証明書（X.509 PEM 形式、RSA または DSA）
• Google Workspace ドメインの DNS 検証

基本概念

SAML 2.0 SSO フロー

User navigates to Google Workspace app (Gmail, Drive, etc.)
        │
        ├── Google checks: Is SSO configured for this domain?
        │
        ├── YES → Redirect user to IdP Sign-In Page URL
        │          (SAML AuthnRequest sent via browser redirect)
        │
        ├── User authenticates at IdP (credentials + MFA)
        │
        ├── IdP generates SAML Response with signed assertion
        │
        ├── Browser POSTs SAML Response to Google ACS URL:
        │   https://www.google.com/a/{domain}/acs
        │
        ├── Google validates SAML signature against uploaded certificate
        │
        └── User is granted access to Google Workspace

主要な SAML パラメーター

パラメーター	値
ACS URL	https://www.google.com/a/{your-domain}/acs
Entity ID	google.com/a/{your-domain} または google.com
NameID Format	urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
NameID Value	ユーザーの主要な Google Workspace メールアドレス
Binding	HTTP-POST（ACS 用）、HTTP-Redirect（SSO URL 用）

ワークフロー

ステップ 1：ID プロバイダーの準備

Okta の場合：

1. Applications > Add Application > "Google Workspace" を検索に移動します
2. ドメインを指定して Google Workspace アプリを構成します
3. ユーザーまたはグループをアプリケーションに割り当てます
4. IdP メタデータをダウンロードするか、SSO URL、Entity ID、証明書を控えます

Azure AD（Microsoft Entra ID）の場合：

1. Enterprise Applications > New Application > Google Cloud/Workspace に移動します
2. Single sign-on > SAML を構成します
3. Basic SAML Configuration を設定します：
   • Identifier（Entity ID）：google.com
   • Reply URL（ACS）：https://www.google.com/a/{your-domain}/acs
   • Sign on URL：https://www.google.com/a/{your-domain}/ServiceLogin
4. Federation Metadata XML または Certificate（Base64）をダウンロードします

ADFS の場合：

1. フェデレーションメタデータを使用して Relying Party Trust を追加します
2. NameID をメールアドレスとして渡すように要求規則を構成します
3. トークン署名証明書をエクスポートします

ステップ 2：Google Workspace SSO の構成

1. Super Admin として Google 管理コンソール（admin.google.com）にサインインします
2. Security > Authentication > SSO with third-party IdP に移動します
3. 「SSO プロファイルを追加」をクリックするか、デフォルトのプロファイルを構成します

サードパーティ SSO プロファイルの設定：

設定	値
サードパーティ IdP で SSO を設定	有効
サインインページの URL	IdP の SAML SSO エンドポイント（例：https://idp.example.com/sso/saml）
サインアウトページの URL	IdP のログアウト URL（例：https://idp.example.com/slo）
パスワード変更の URL	IdP のパスワード変更 URL
検証証明書	IdP の X.509 署名証明書をアップロード
ドメイン固有の発行者を使用	有効（entity ID として google.com/a/{domain} を使用）

ステップ 3：ユーザーへの SSO プロファイルの割り当て

SSO プロファイルはさまざまなスコープで適用できます：

Organization-wide (all users)
    │
    ├── Org Unit level (specific departments)
    │   ├── Engineering OU → SSO via Okta
    │   ├── Marketing OU → SSO via Azure AD
    │   └── Contractors OU → SSO via specific IdP
    │
    └── Group level (specific security groups)
        └── VPN Users → SSO with additional MFA

1. Security > Authentication > SSO with third-party IdP に移動します
2. 割り当てる SSO プロファイルを選択します
3. 組織単位またはグループを選択します
4. 保存し、反映されるまで待ちます（最大 24 時間、通常は数分）

ステップ 4: ネットワークマスクの設定（任意）

ネットワークマスクは、ユーザーの IP に基づいて SSO を適用するタイミングを制御します。

• ユーザーの IP がネットワークマスクに一致する場合、Google のサインインページを使用します
• ユーザーの IP が一致しない場合、IdP にリダイレクトされます

これは、社内ネットワークからは Google への直接ログインを許可し、外部からのアクセスには SSO を適用したい場合に便利です。

ステップ 5: SSO のテスト

1. シークレットブラウザウィンドウを開きます
2. https://mail.google.com/a/{your-domain} にアクセスします
3. IdP のサインインページにリダイレクトされることを確認します
4. IdP で認証します
5. Google Workspace に正常にリダイレクトされて戻ることを確認します
6. サインアウトの流れで IdP のログアウトページにリダイレクトされることをテストします
7. IdP で割り当てられていないユーザーでテストします（失敗するはずです）

検証チェックリスト

• IdP の SAML アプリケーションが正しい ACS URL と Entity ID で設定されている
• IdP の署名証明書が Google 管理コンソールにアップロードされている
• SSO プロファイルが対象の組織単位／グループに割り当てられている
• SAML アサーションに正しい NameID（メール形式）が含まれている
• すべての Google Workspace ユーザーに対して IdP で MFA が適用されている
• IdP セッションを終了するためのサインアウト URL が設定されている
• 社内と社外でアクセスが異なる場合、ネットワークマスクが設定されている
• 緊急時用の Super Admin アカウント（Google 認証を使用）は SSO をバイパスする
• 複数のユーザー種別（管理者、標準ユーザー、契約社員）で SSO をテストしている
• SAML レスポンスの署名が正常に検証される
• エラー処理をテスト済み（証明書の期限切れ、無効なユーザー、クロックスキュー）

参考資料

• Google Workspace SSO Configuration Guide
• Set Up Custom SAML App - Google
• Okta Google Workspace SAML Guide
• SAML 2.0 Technical Overview - OASIS