教程：Azure AD SSO 与 Google Cloud / G Suite Connector by Microsoft 的集成 - Microsoft Entra

link之家

链接快照平台

输入网页链接，自动生成快照
标签化管理网页链接

相关文章推荐

机灵的草稿本 · 【IDEA】Spring ...· 1 年前 ·

豪情万千的羽毛球 · HTML5原生拖拽/拖放(drag & ...· 2 年前 ·

从未表白的电池 · Oops!!! - 简书· 2 年前 ·

高大的茶壶 · linux环境下多线程编程 - 知乎· 2 年前 ·

本教程介绍如何将 Google Cloud / G Suite Connector by Microsoft 与 Azure Active Directory (Azure AD) 相集成。将 Google Cloud / G Suite Connector by Microsoft 与 Azure AD 集成后，可以：

在 Azure AD 中控制谁有权访问 Google Cloud / G Suite Connector by Microsoft。

让用户能够使用其 Azure AD 帐户自动登录到 Google Cloud / G Suite Connector by Microsoft。

在一个中心位置（Azure 门户）管理帐户。

若要开始操作，需备齐以下项目：

一个 Azure AD 订阅。

已启用 Google Cloud / G Suite Connector by Microsoft 单一登录 (SSO) 的订阅。

Google Apps 订阅或 Google Cloud Platform 订阅。

不建议使用生产环境测试本教程中的步骤。本文档中是使用新用户单一登录体验进行创建的。如果你仍在使用旧版，安装程序看起来会有所不同。可以在 G Suite 应用程序的单一登录设置中启用新体验。转到“Azure AD，企业应用程序”，依次选择“Google Cloud / G Suite Connector by Microsoft”、“单一登录”，然后单击“尝试新体验”。

测试本教程中的步骤应遵循以下建议：

除非必要，请勿使用生产环境。

如果没有订阅，可以获取一个免费帐户。

问：此集成是否支持 Google Cloud Platform SSO 与 Azure AD 的集成？

A:是的。 Google Cloud Platform 和 Google Apps 共用同一个身份验证平台。因此，若要实现 GCP 集成，需要配置 Google Apps 的 SSO。

问：Chromebook 和其他 Chrome 设备与 Azure AD 单一登录兼容吗？

A:兼容，用户能够使用他们的 Azure AD 凭据登录到他们的 Chromebook 设备。若要了解为何有时用户会两次收到输入凭据的提示，请参阅此 Google Cloud / G Suite Connector by Microsoft 支持文章。

问：如果我启用单一登录，用户是否可以使用他们的 Azure AD 凭据登录到任何 Google 产品（例如 Google Classroom、GMail、Google Drive、YouTube 等）？

答：可以，具体取决于选择为组织启用或禁用的 Google Cloud / G Suite Connector by Microsoft 。

问：是否可以仅为一部分 Google Cloud / G Suite Connector by Microsoft 用户启用单一登录？

答：是的，可以在 Google Workspace 中按用户、组织单位或组来选择 SSO 配置文件。

针对 Google Workspace 组，将 SSO 配置文件选择为“无”。这可以防止此组（Google Workspace 组）的成员被重定向到 Azure AD 以进行登录。

问：如果用户通过 Windows 登录，他们是否会自动进行 Google Cloud / G Suite Connector by Microsoft 身份验证而不会收到输入密码的提示？

A:有两种用于启用此方案的选项。第一种，用户可通过 Azure Active Directory Join 登录到 Windows 10 设备。或者，用户可以登录到通过域加入的方式加入到一个本地 Active Directory（已通加 Active Directory 联合身份验证服务 (AD FS) 部署启用 Azure AD 单一登录）的 Windows 设备。两种选项都要求执行以下教程中的步骤，才能在 Azure AD 与 Google Cloud / G Suite Connector by Microsoft 之间启用单一登录。

问：当我收到"无效的电子邮件"错误消息时，该怎么办？

A:对于此设置，需要电子邮件属性才能使用户进行登录。无法手动设置此属性。

对于任何拥有有效的 Exchange 许可证的用户，电子邮件属性会自动填充。如果用户未启用电子邮件，则将收到此错误，因为应用程序需要获取此属性才能提供访问权限。

可以使用管理员帐户访问 portal.office.com，接着单击“管理中心”、“帐单”、“订阅”，选择你的 Microsoft 365 订阅，然后单击“分配给用户”，选择要检查其订阅的用户，然后在右侧窗格中单击“编辑许可证”。

分配 Microsoft 365 许可证后，它可能需要几分钟的时间才能应用。之后，user.mail 属性将自动填充，此问题应会得到解决。

本教程在测试环境中配置并测试 Azure AD SSO。

Google Cloud / G Suite Connector by Microsoft 支持 SP 发起的 SSO。

Google Cloud / G Suite Connector by Microsoft 支持自动用户预配。

从库中添加 Google Cloud / G Suite Connector by Microsoft

若要配置 Google Cloud / G Suite Connector by Microsoft 与 Azure AD 的集成，需要从库中将 Google Cloud / G Suite Connector by Microsoft 添加到托管 SaaS 应用列表。

使用工作或学校帐户或个人 Microsoft 帐户登录到 Azure 门户。

在左侧导航窗格中，选择“Azure Active Directory”服务。

导航到“企业应用程序”，选择“所有应用程序” 。

若要添加新的应用程序，请选择“新建应用程序”。

在“从库中添加”部分的搜索框中，键入“Google Cloud / G Suite Connector by Microsoft”。

在结果面板中选择“Google Cloud / G Suite Connector by Microsoft”，然后添加该应用。在该应用添加到租户时等待几秒钟。

或者，也可以使用企业应用配置向导。在此向导中，可以将应用程序添加到租户、将用户/组添加到应用、分配角色，以及逐步完成 SSO 配置。详细了解 Microsoft 365 向导。

或者，也可以使用企业应用配置向导。在此向导中，可以将应用程序添加到租户、将用户/组添加到应用、分配角色，以及逐步完成 SSO 配置。可在此处详细了解 O365 向导。

配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Azure AD 单一登录

使用名为 B.Simon 的测试用户配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Azure AD SSO。若要正常使用 SSO，需要在 Azure AD 用户与 Google Cloud / G Suite Connector by Microsoft 中的相关用户之间建立链接关系。

若要配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Azure AD SSO，请执行以下步骤：

配置 Azure AD SSO - 使用户能够使用此功能。

创建 Azure AD 测试用户 - 使用 B. Simon 测试 Azure AD 单一登录。

分配 Azure AD 测试用户 - 使 B. Simon 能够使用 Azure AD 单一登录。

配置 Google Cloud / G Suite Connector by Microsoft SSO - 在应用程序端配置单一登录设置。

创建 Google Cloud / G Suite Connector by Microsoft 测试用户 - 在 Google Cloud / G Suite Connector by Microsoft 中创建 B.Simon 的对应用户，并将其链接到该用户在 Azure AD 中对应的身份。

测试 SSO - 验证配置是否正常工作。

配置 Azure AD SSO

按照下列步骤在 Azure 门户中启用 Azure AD SSO。

在 Azure 门户中的“Google Cloud / G Suite Connector by Microsoft”应用程序集成页上，找到“管理”部分并选择“单一登录”。

在“选择单一登录方法”页上选择“SAML” 。

在“设置 SAML 单一登录”页面上，单击“基本 SAML 配置”旁边的铅笔图标以编辑设置。

在“基本 SAML 配置” 部分中，如果想要为 Gmail 进行配置，请执行以下步骤：

a. 在“标识符”文本框中，使用以下模式之一键入 URL：
Identifier
c. 在“登录 URL”文本框中，使用以下模式键入 URL： https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://mail.google.com

在“基本 SAML 配置” 部分中，如果想要为 Google Cloud Platform 进行配置，请执行以下步骤：

a. 在“标识符”文本框中，使用以下模式之一键入 URL：
Identifier
c. 在“登录 URL”文本框中，使用以下模式键入 URL： https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://console.cloud.google.com

这些不是实际值。请使用实际的“标识符”、“回复 URL”和“登录 URL”更新这些值。 Google Cloud / G Suite Connector by Microsoft 不会在单一登录配置上提供“实体 ID/标识符”值，因此，在取消选中“特定于域的颁发者”选项后，“标识符”值将为 google.com 。如果勾选“特定于域的颁发者”选项，它将为 google.com/a/<yourdomainname.com> 。若要选中/取消选中“特定于域的颁发者”选项，需转到“配置 Google Cloud / G Suite Connector by Microsoft SSO”部分进行操作，详见本教程稍后的介绍。如需更多信息，请联系 Google Cloud / G Suite Connector by Microsoft 客户端支持团队。

Google Cloud / G Suite Connector by Microsoft 应用程序需要特定格式的 SAML 断言，这需要将自定义属性映射添加到 SAML 令牌属性配置。以下屏幕截图显示一个示例。 “唯一用户标识符”的默认值是“user.userprincipalname”，但 Google Cloud / G Suite Connector by Microsoft 要求将此值与用户的电子邮件地址相映射。为此，可以使用列表中的 user.mail 属性，或使用基于组织配置的相应属性值。

确保 SAML 响应在 DisplayName 和 Surname 属性中不包括任何非标准 ASCII 字符。

在“使用 SAML 设置单一登录”页的“SAML 签名证书”部分中，找到“证书(Base64)”，选择“下载”以下载该证书并将其保存到计算机上。

在“设置 Google Cloud / G Suite Connector by Microsoft”部分，根据要求复制相应的 URL。

https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0 创建 Azure AD 测试用户在本部分，我们将在 Azure 门户中创建名为 B.Simon 的测试用户。在 Azure 门户的左侧窗格中，依次选择“Azure Active Directory”、“用户”和“所有用户” 。选择屏幕顶部的“新建用户”。在“用户”属性中执行以下步骤：在“名称”字段中，输入。在“用户名”字段中输入。例如，B.Simon@contoso.com。选中“显示密码”复选框，然后记下“密码”框中显示的值。单击“创建”。分配 Azure AD 测试用户在本部分，你将通过授予 B.Simon 访问 Google Cloud / G Suite Connector by Microsoft 的权限，使其能够使用 Azure 单一登录。在 Azure 门户中，依次选择“企业应用程序”、“所有应用程序”。在应用程序列表中，选择“Google Cloud / G Suite Connector by Microsoft”。在应用的概述页中，找到“管理”部分，选择“用户和组” 。选择“添加用户”，然后在“添加分配”对话框中选择“用户和组”。在“用户和组”对话框中，从“用户”列表中选择“B.Simon”，然后单击屏幕底部的“选择”按钮。如果你希望将某角色分配给用户，可以从“选择角色”下拉列表中选择该角色。如果尚未为此应用设置任何角色，你将看到选择了“默认访问权限”角色。在“添加分配”对话框中，单击“分配”按钮。配置 Google Cloud / G Suite Connector by Microsoft SSO 在浏览器中打开新的标签页，并使用管理员帐户登录到 Google Cloud / G Suite Connector by Microsoft 管理员控制台。转到“菜单”->“安全性”->“身份验证”->“使用第三方 IDP 的 SSO”。在“组织的第三方 SSO 配置文件”选项卡中执行以下配置更改： a. 启用“组织的 SSO 配置文件”。 b. 在 Google Cloud / G Suite Connector by Microsoft 中的“登录页 URL”字段内，粘贴从 Azure 门户复制的“登录 URL”值。 c. 在 Google Cloud / G Suite Connector by Microsoft 中的“注销页 URL”字段内，粘贴从 Azure 门户复制的“注销 URL”值。 d. 在 Google Cloud / G Suite Connector by Microsoft 中，对于“验证证书”，请上传从 Azure 门户下载的证书。 e. 按照 Azure AD 中的上述“基本 SAML 配置”部分提供的说明，勾选/取消选中“使用特定于域的颁发者”选项。 f. 在 Google Cloud / G Suite Connector by Microsoft 的“更改密码 URL”字段中，输入值 https://account.activedirectory.windowsazure.com/changepassword.aspx g. 单击“ 保存”。创建 Google Cloud/G Suite Connector by Microsoft 测试用户本部分的目标是在 Google Cloud/G Suite Connector by Microsoft 中创建名为 B.Simon 的用户。在 Google Cloud/G Suite Connector by Microsoft 中手动创建用户后，该用户现在可以使用其 Microsoft 365 登录凭据登录。 Google Cloud/G Suite Connector by Microsoft 还支持自动用户预配。若要配置自动用户预配，必须先为自动用户预配配置 Google Cloud/G Suite Connector by Microsoft。如果在测试单一登录之前尚未在 Azure AD 中启用预配，请确保 Google Cloud/G Suite Connector by Microsoft 中已存在你的用户。如果需要手动创建用户，请联系 Google 支持团队。测试 SSO 在本部分，你将使用以下选项测试 Azure AD 单一登录配置。在 Azure 门户中单击“测试此应用程序”。这会重定向到 Google Cloud / G Suite Connector by Microsoft 登录 URL，可从中启动登录流。直接转到 Google Cloud / G Suite Connector by Microsoft 登录 URL，并从中启动登录流。你可使用 Microsoft 的“我的应用”。在“我的应用”中单击“Google Cloud / G Suite Connector by Microsoft”磁贴时，会重定向到 Google Cloud / G Suite Connector by Microsoft 登录 URL。有关“我的应用”的详细信息，请参阅“我的应用”简介。配置 Google Cloud / G Suite Connector by Microsoft 后，可以强制实施会话控制，实时防止组织的敏感数据外泄和渗透。会话控制扩展自条件访问。了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。