教程:Microsoft Entra SSO 与 Google Cloud / G Suite Connector by Microsoft 的集成

本教程介绍如何将 Google Cloud/G Suite Connector Microsoft 与 Microsoft Entra ID 集成。 将 Google Cloud / G Suite Connector by Microsoft 与 Microsoft Entra ID 集成后,可以:

  • 在 Microsoft Entra ID 中控制谁有权访问 Google Cloud / G Suite Connector by Microsoft。
  • 让用户能够使用其 Microsoft Entra 帐户自动登录到 Google Cloud / G Suite Connector by Microsoft。
  • 在中心位置管理帐户。

先决条件

若要开始操作,需备齐以下项目:

  • 一个 Microsoft Entra 订阅。
  • 已启用 Google Cloud / G Suite Connector by Microsoft 单一登录 (SSO) 的订阅。
  • Google Apps 订阅或 Google Cloud Platform 订阅。

注意

不建议使用生产环境测试本教程中的步骤。 本文档中是使用新用户单一登录体验进行创建的。 如果你仍在使用旧版,安装程序看起来会有所不同。 可以在 G Suite 应用程序的单一登录设置中启用新体验。 转到“Microsoft Entra ID”>“企业应用程序”,选择“Google Cloud/G Suite Connector by Microsoft”,选择“单一登录”,然后单击“尝试新体验”。

测试本教程中的步骤应遵循以下建议:

  • 除非必要,请勿使用生产环境。
  • 如果没有订阅,可以获取一个免费帐户

最近的更改

Google 的最新更新现在允许将用户组添加到第三方 SSO 配置文件。 这样就可以更精细地控制 SSO 设置的分配。 现在可以创建 SSO 配置文件分配,允许分阶段迁移用户,而不是一次性迁移整个公司。 在此区域中,你将获得 SP 详细信息,其中包含实体 ID 和 ACS URL,现在需要将其添加到回复和实体的Azure 应用中。

常见问题

  1. 问:此集成是否支持 Google Cloud Platform SSO 与 Microsoft Entra ID 的集成?

    A:是的。 Google Cloud Platform 和 Google Apps 共用同一个身份验证平台。 因此,若要实现 GCP 集成,需要配置 Google Apps 的 SSO。

  2. 问:Chromebook 和其他 Chrome 设备是否与 Microsoft Entra 单一登录兼容?

    答:是的,用户能够使用 Microsoft Entra 凭据登录到 Chromebook 设备。 若要了解为何有时用户会两次收到输入凭据的提示,请参阅此 Google Cloud / G Suite Connector by Microsoft 支持文章

  3. 问:如果我启用单一登录,用户能够使用他们的 Microsoft Entra 凭据登录到任何 Google 产品(例如 Google Classroom、GMail、Google Drive、YouTube 等)吗?

    答:可以,具体取决于选择为组织启用或禁用的 Google Cloud / G Suite Connector by Microsoft

  4. 问:是否可以仅为一部分 Google Cloud / G Suite Connector by Microsoft 用户启用单一登录?

    答:可以,可以在 Google Workspace 中为每个用户、组织单位或组选择 SSO 配置文件。

    SSO 配置文件分配的屏幕截图。

    针对 Google Workspace 组,将 SSO 配置文件选择为“无”。 这可以防止此(Google Workspace 组)的成员被重定向到Microsoft Entra ID 进行登录。

  5. 问:如果用户通过 Windows 登录,他们是否会自动进行 Google Cloud / G Suite Connector by Microsoft 身份验证而不会收到输入密码的提示?

    A:有两种用于启用此方案的选项。 首先,用户可以通过 Microsoft Entra 加入登录到 Windows 10 设备。 或者,用户可以登录到通过域加入的方式加入到一个本地 Active Directory(已通加 Active Directory 联合身份验证服务 (AD FS) 部署启用 Microsoft Entra ID 单一登录)的 Windows 设备。 两种选项都要求执行以下教程中的步骤,才能在 Microsoft Entra ID 与 Google Cloud / G Suite Connector by Microsoft 之间启用单一登录。

  6. 问:当我收到"无效的电子邮件"错误消息时,该怎么办?

    A:对于此设置,需要电子邮件属性才能使用户进行登录。 无法手动设置此属性。

    对于任何拥有有效的 Exchange 许可证的用户,电子邮件属性会自动填充。 如果用户未启用电子邮件,则会收到此错误,因为应用程序需要获取此属性才能授予访问权限。

    可以使用管理员帐户访问 portal.office.com,接着单击“管理中心”、“帐单”、“订阅”,选择你的 Microsoft 365 订阅,然后单击“分配给用户”,选择要检查其订阅的用户,然后在右侧窗格中单击“编辑许可证”。

    分配 Microsoft 365 许可证后,它可能需要几分钟的时间才能应用。 之后,user.mail 属性将自动填充,此问题应会得到解决。

方案描述

在本教程中,你将在测试环境中配置并测试 Microsoft Entra SSO。

  • Google Cloud / G Suite Connector by Microsoft 支持 SP 发起的 SSO。

  • Google Cloud / G Suite Connector by Microsoft 支持自动用户预配。

若要配置 Google Cloud / G Suite Connector by Microsoft 与 Microsoft Entra ID 的集成,需要从库中将 Google Cloud / G Suite Connector by Microsoft 添加到托管 SaaS 应用列表。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心
  2. 浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。
  3. 在“从库中添加”部分的搜索框中,键入“Google Cloud / G Suite Connector by Microsoft”。
  4. 在结果面板中选择“Google Cloud / G Suite Connector by Microsoft”,然后添加该应用。 在该应用添加到租户时等待几秒钟。

或者,也可以使用企业应用配置向导。 在此向导中,可以将应用程序添加到租户、将用户/组添加到应用、分配角色,以及逐步完成 SSO 配置。 详细了解 Microsoft 365 向导。

配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Microsoft Entra 单一登录

使用名为 B.Simon 的测试用户配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Microsoft Entra SSO。 若要正常使用 SSO,需要在 Microsoft Entra 用户与 Google Cloud / G Suite Connector by Microsoft 中的相关用户之间建立链接关系。

若要配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Microsoft Entra SSO,请执行以下步骤:

  1. 配置 Microsoft Entra SSO - 使用户能够使用此功能。
    1. 创建 Microsoft Entra 测试用户 - 使用 B.Simon 测试 Microsoft Entra 单一登录。
    2. 分配 Microsoft Entra 测试用户 - 使 B.Simon 能够使用 Microsoft Entra 单一登录。
  2. 配置 Google Cloud / G Suite Connector by Microsoft SSO - 在应用程序端配置单一登录设置。
    1. 创建 Google Cloud / G Suite Connector by Microsoft 测试用户 - 在 Google Cloud / G Suite Connector by Microsoft 中创建 B.Simon 的对应用户,并将其链接到该用户在 Microsoft Entra 中对应的身份。
  3. 测试 SSO - 验证配置是否正常工作。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心

  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“Google Cloud / G Suite Connector by Microsoft”>“单一登录”

  3. 在“选择单一登录方法”页上选择“SAML” 。

  4. 在“设置 SAML 单一登录”页面上,单击“基本 SAML 配置”旁边的铅笔图标以编辑设置 。

    编辑基本 SAML 配置

  5. 在“基本 SAML 配置” 部分中,如果想要为 Gmail 进行配置,请执行以下步骤:

    a. 在“标识符”文本框中,使用以下模式之一键入 URL:

    Identifier
    google.com/a/<yourdomain.com>
    google.com
    https://google.com
    https://google.com/a/<yourdomain.com>

    b. 在“回复 URL”文本框中,使用以下一种模式键入 URL:

    回复 URL
    https://www.google.com
    https://www.google.com/a/<yourdomain.com>

    c. 在“登录 URL”文本框中,使用以下模式键入 URL:https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://mail.google.com

  6. 在“基本 SAML 配置” 部分中,如果想要为 Google Cloud Platform 进行配置,请执行以下步骤:

    a. 在“标识符”文本框中,使用以下模式之一键入 URL:

    Identifier
    google.com/a/<yourdomain.com>
    google.com
    https://google.com
    https://google.com/a/<yourdomain.com>

    b. 在“回复 URL”文本框中,使用以下一种模式键入 URL:

    回复 URL
    https://www.google.com/acs
    https://www.google.com/a/<yourdomain.com>/acs

    c. 在“登录 URL”文本框中,使用以下模式键入 URL:https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://console.cloud.google.com

    注意

    这些不是实际值。 请使用实际的“标识符”、“回复 URL”和“登录 URL”更新这些值。 Google Cloud / G Suite Connector by Microsoft 不会在单一登录配置上提供“实体 ID/标识符”值,因此,在取消选中“特定于域的颁发者”选项后,“标识符”值将为 google.com。 如果勾选“特定于域的颁发者”选项, 它将为 google.com/a/<yourdomainname.com>。 若要选中/取消选中“特定于域的颁发者”选项,需转到“配置 Google Cloud / G Suite Connector by Microsoft SSO”部分进行操作,详见本教程稍后的介绍。 如需更多信息,请联系 Google Cloud / G Suite Connector by Microsoft 客户端支持团队

  7. Google Cloud / G Suite Connector by Microsoft 应用程序需要特定格式的 SAML 断言,这需要将自定义属性映射添加到 SAML 令牌属性配置。 以下屏幕截图显示一个示例。 “唯一用户标识符”的默认值是“user.userprincipalname”,但 Google Cloud / G Suite Connector by Microsoft 要求将此值与用户的电子邮件地址相映射。 为此,可以使用列表中的 user.mail 属性,或使用基于组织配置的相应属性值。

    图像

    注意

    确保 SAML 响应在 Surname 属性中不包括任何非标准 ASCII 字符。

  8. 在“使用 SAML 设置单一登录”页的“SAML 签名证书”部分中,找到“证书(Base64)”,选择“下载”以下载该证书并将其保存到计算机上 。

    显示证书下载链接的屏幕截图。

  9. 在“设置 Google Cloud / G Suite Connector by Microsoft”部分,根据要求复制相应的 URL。

    屏幕截图,其中显示复制配置 URL。

    注意

    应用中列出的默认注销 URL 不正确。 正确的 URL 为: https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0

创建 Microsoft Entra 测试用户

在本部分,你将创建名为 B.Simon 的测试用户。

  1. 至少以用户管理员身份登录到 Microsoft Entra 管理中心
  2. 浏览到“标识”>“用户”>“所有用户”
  3. 选择屏幕顶部的“新建用户”>“创建新用户”。
  4. “用户”属性中执行以下步骤:
    1. 在“显示名称”字段中输入 B.Simon
    2. 在“用户主体名称”字段中,输入 username@companydomain.extension。 例如 B.Simon@contoso.com
    3. 选中“显示密码”复选框,然后记下“密码”框中显示的值。
    4. 选择“查看 + 创建”。
  5. 选择“创建”。

分配 Microsoft Entra 测试用户

本部分将通过授予 B.Simon 访问 Google Cloud/G Suite Connector by Microsoft 的权限,使其能够使用单一登录。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心
  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“Google Cloud/G Suite Connector by Microsoft”
  3. 在应用的概述页面中,选择“用户和组”。
  4. 选择“添加用户/组”,然后在“添加分配”对话框中选择“用户和组” 。
    1. 在“用户和组”对话框中,从“用户”列表中选择“B.Simon”,然后单击屏幕底部的“选择”按钮。
    2. 如果你希望将某角色分配给用户,可以从“选择角色”下拉列表中选择该角色。 如果尚未为此应用设置任何角色,你将看到选择了“默认访问权限”角色。
    3. 在“添加分配”对话框中,单击“分配”按钮。

配置 Google Cloud / G Suite Connector by Microsoft SSO

  1. 在浏览器中打开新的标签页,并使用管理员帐户登录到 Google Cloud / G Suite Connector by Microsoft 管理员控制台

  2. 转到“菜单”->“安全性”->“身份验证”->“使用第三方 IDP 的 SSO”。

    G Suite 安全页面。

  3. 在“组织的第三方 SSO 配置文件”选项卡中执行以下配置更改:

    配置 SSO。

    a. 启用“组织的 SSO 配置文件”。

    b. 在 Google Cloud/G Suite Connector by Microsoft 中的登录页 URL字段内,粘贴登录 URL的值。

    c. 在 Google Cloud/G Suite Connector by Microsoft 中的退出登录页 URL字段内,粘贴退出登录 URL的值。

    d. 在 Google Cloud/G Suite Connector by Microsoft 中,对于“验证证书”,请上传之前下载的证书

    e. 按照 Microsoft Entra ID 中的上述“基本 SAML 配置”部分提供的说明,勾选/取消选中“使用特定于域的颁发者”选项。

    f. 在 Google Cloud / G Suite Connector by Microsoft 的“更改密码 URL”字段中,输入值 https://mysignins.microsoft.com/security-info/password/change

    g. 单击“ 保存”。

创建 Google Cloud/G Suite Connector by Microsoft 测试用户

本部分的目标是在 Google Cloud/G Suite Connector by Microsoft 中创建名为 B.Simon 的用户。 在 Google Cloud/G Suite Connector by Microsoft 中手动创建用户后,该用户现在可以使用其 Microsoft 365 登录凭据登录。

Google Cloud/G Suite Connector by Microsoft 还支持自动用户预配。 若要配置自动用户预配,必须先为自动用户预配配置 Google Cloud/G Suite Connector by Microsoft

注意

如果在测试单一登录之前尚未在 Microsoft Entra ID 中启用预配,请确保 Google Cloud/G Suite Connector by Microsoft 中已存在你的用户。

注意

如果需要手动创建用户,请联系 Google 支持团队

测试 SSO

在本部分,你将使用以下选项测试 Microsoft Entra 单一登录配置。

  • 单击“测试此应用程序”,这会重定向到 Google Cloud/G Suite Connector by Microsoft 登录 URL,可从中启动登录流

  • 直接转到 Google Cloud / G Suite Connector by Microsoft 登录 URL,并从中启动登录流。

  • 你可使用 Microsoft 的“我的应用”。 在“我的应用”中单击“Google Cloud / G Suite Connector by Microsoft”磁贴时,会重定向到 Google Cloud / G Suite Connector by Microsoft 登录 URL。 有关“我的应用”的详细信息,请参阅“我的应用”简介

后续步骤

配置 Google Cloud / G Suite Connector by Microsoft 后,可以强制实施会话控制,实时防止组织的敏感数据外泄和渗透。 会话控制扩展自条件访问。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制