implementing-google-workspace-sso-configuration

实施 Google Workspace SSO 配置

概述

Google Workspace 的单点登录（SSO）允许组织通过其现有的身份提供方（IdP）对用户进行身份验证，例如 Okta、Azure AD（Microsoft Entra ID）或 ADFS，而无需管理单独的 Google 密码。这通过 SAML 2.0 协议实现，其中 Google Workspace 充当服务提供方（SP），组织的 IdP 负责身份验证。SSO 集中管理凭据、在 IdP 层面强制执行 MFA 策略，并在用户离开组织时实现即时访问撤销。

何时使用

• 在您的环境中部署或配置实施 google workspace sso 配置能力时
• 在建立与合规要求一致的安全控制时
• 在为该领域构建或改进安全架构时
• 在需要进行此实施的安全评估时

先决条件

• Google Workspace Business、Enterprise 或 Education 版本
• 对 Google 管理控制台的超级管理员访问权限
• 支持 SAML 2.0 的身份提供方（Okta、Azure AD、ADFS、Ping Identity）
• IdP 签名证书（X.509 PEM 格式，RSA 或 DSA）
• Google Workspace 域名的 DNS 验证

核心概念

SAML 2.0 SSO 流程

User navigates to Google Workspace app (Gmail, Drive, etc.)
        │
        ├── Google checks: Is SSO configured for this domain?
        │
        ├── YES → Redirect user to IdP Sign-In Page URL
        │          (SAML AuthnRequest sent via browser redirect)
        │
        ├── User authenticates at IdP (credentials + MFA)
        │
        ├── IdP generates SAML Response with signed assertion
        │
        ├── Browser POSTs SAML Response to Google ACS URL:
        │   https://www.google.com/a/{domain}/acs
        │
        ├── Google validates SAML signature against uploaded certificate
        │
        └── User is granted access to Google Workspace

关键 SAML 参数

参数	值
ACS URL	https://www.google.com/a/{your-domain}/acs
Entity ID	google.com/a/{your-domain} 或 google.com
NameID Format	urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
NameID Value	用户的主要 Google Workspace 邮箱
Binding	HTTP-POST（用于 ACS），HTTP-Redirect（用于 SSO URL）

工作流

第 1 步：准备身份提供方

对于 Okta：

1. 导航到 Applications > Add Application > 搜索 "Google Workspace"
2. 使用您的域名配置 Google Workspace 应用
3. 将用户/组分配给该应用
4. 下载 IdP 元数据或记录：SSO URL、Entity ID、Certificate

对于 Azure AD（Microsoft Entra ID）：

1. 导航到 Enterprise Applications > New Application > Google Cloud/Workspace
2. 配置 Single sign-on > SAML
3. 设置 Basic SAML Configuration：
   • Identifier (Entity ID)：google.com
   • Reply URL (ACS)：https://www.google.com/a/{your-domain}/acs
   • Sign on URL：https://www.google.com/a/{your-domain}/ServiceLogin
4. 下载 Federation Metadata XML 或 Certificate (Base64)

对于 ADFS：

1. 使用联合元数据添加依赖方信任
2. 配置声明规则以将 NameID 作为电子邮件地址传递
3. 导出令牌签名证书

第 2 步：配置 Google Workspace SSO

1. 以超级管理员身份登录 Google 管理控制台（admin.google.com）
2. 导航到 Security > Authentication > SSO with third-party IdP
3. 点击 "Add SSO profile" 或配置默认配置文件

第三方 SSO 配置文件设置：

设置	值
Set up SSO with third-party IdP	已启用
Sign-in page URL	IdP 的 SAML SSO 端点（例如 https://idp.example.com/sso/saml）
Sign-out page URL	IdP 的注销 URL（例如 https://idp.example.com/slo）
Change password URL	IdP 的密码更改 URL
Verification certificate	上传 IdP 的 X.509 签名证书
Use a domain-specific issuer	已启用（使用 google.com/a/{domain} 作为实体 ID）

第 3 步：将 SSO 配置文件分配给用户

SSO 配置文件可以应用于不同的范围：

Organization-wide (all users)
    │
    ├── Org Unit level (specific departments)
    │   ├── Engineering OU → SSO via Okta
    │   ├── Marketing OU → SSO via Azure AD
    │   └── Contractors OU → SSO via specific IdP
    │
    └── Group level (specific security groups)
        └── VPN Users → SSO with additional MFA

1. 导航到 Security > Authentication > SSO with third-party IdP
2. 选择要分配的 SSO 配置文件
3. 选择组织部门或群组
4. 保存并等待传播（最多 24 小时，通常为几分钟）

步骤 4：配置网络掩码（可选）

网络掩码用于根据用户的 IP 控制何时强制执行 SSO：

• 如果用户的 IP 与网络掩码匹配，则使用 Google 的登录页面
• 如果用户的 IP 不匹配，则重定向到 IdP

这对于允许从企业网络直接使用 Google 登录，同时对外部访问强制执行 SSO 非常有用。

步骤 5：测试 SSO

1. 打开一个无痕浏览器窗口
2. 导航到 https://mail.google.com/a/{your-domain}
3. 验证重定向到 IdP 登录页面
4. 在 IdP 进行身份验证
5. 验证成功重定向回 Google Workspace
6. 测试退出流程重定向到 IdP 注销页面
7. 使用未在 IdP 中分配的用户进行测试（应失败）

验证清单

• IdP SAML 应用已配置正确的 ACS URL 和 Entity ID
• IdP 签名证书已上传到 Google Admin Console
• SSO 配置文件已分配给目标组织部门/群组
• SAML 断言包含正确的 NameID（电子邮件格式）
• 已为所有 Google Workspace 用户在 IdP 强制执行 MFA
• 退出 URL 已配置为终止 IdP 会话
• 如果内部/外部访问不同，已配置网络掩码
• 应急 Super Admin 账户绕过 SSO（使用 Google 身份验证）
• 已使用多种用户类型测试 SSO（管理员、标准用户、承包商）
• SAML 响应签名验证成功
• 已测试错误处理（证书过期、无效用户、时钟偏差）

参考资料

• Google Workspace SSO 配置指南
• 设置自定义 SAML 应用 - Google
• Okta Google Workspace SAML 指南
• SAML 2.0 技术概述 - OASIS