Compartilhar via

Configurar o Google Cloud/G Suite Connector da Microsoft para logon único com a ID do Microsoft Entra

Neste artigo, você aprenderá a integrar o Google Cloud/G Suite Connector da Microsoft à ID do Microsoft Entra. Ao integrar o Google Cloud/G Suite Connector da Microsoft ao Microsoft Entra ID, você poderá:

  • Controlar no Microsoft Entra ID quem tem acesso ao Google Cloud/G Suite Connector da Microsoft.
  • Permitir que seus usuários entrem automaticamente no Google Cloud/G Suite Connector da Microsoft com suas contas do Microsoft Entra.
  • Gerencie suas contas em um local central.

Pré-requisitos

O cenário descrito neste artigo pressupõe que você já tenha os seguintes pré-requisitos:

  • Assinatura do Google Cloud / G Suite Connector da Microsoft habilitada para SSO (logon único).
  • Uma assinatura do Google Apps ou uma assinatura do Google Cloud Platform.

Observação

Para testar as etapas neste artigo, não recomendamos o uso de um ambiente de produção. Este documento foi criado usando o novo usuário, experiência de logon único. Se você ainda estiver usando o antigo, a configuração será diferente. Você pode habilitar a nova experiência nas configurações de logon único do aplicativo do G Suite. Vá para aplicativos Microsoft Entra ID>Enterprise, selecione Google Cloud/G Suite Connector da Microsoft, selecione Logon Único e, em seguida, selecione Experimentar nossa nova experiência.

Para testar as etapas neste artigo, siga estas recomendações:

  • Não use seu ambiente de produção, a menos que seja necessário.
  • Se você não tiver uma assinatura, poderá obter uma conta gratuita.

Alterações recentes

As atualizações recentes do Google agora permitem a adição de grupos de usuários a perfis de SSO de terceiros. Isso permite um controle mais granular sobre a atribuição de configurações de SSO. Agora você pode criar atribuições de perfil de logon único, permitindo migrar usuários em etapas, em vez de mover toda a empresa de uma só vez. Nesta área, você recebe detalhes do SP com uma ID de Entidade e uma URL ACS, que agora você precisa adicionar aos Aplicativos do Azure para resposta e ID de entidade.

Perguntas frequentes

  1. P: Essa integração oferece suporte à integração do SSO do Microsoft Entra ID com o Google Cloud Platform?

    A: Sim. O Google Cloud Platform e o Google Apps compartilham a mesma plataforma de autenticação. Portanto, para fazer a integração com o GCP, será necessário configurar o SSO com o Google Apps.

  2. P: Os Chromebooks e outros dispositivos Chrome são compatíveis com o logon único do Microsoft Entra?

    R: sim. Os usuários podem entrar em seus dispositivos Chromebook usando suas credenciais do Microsoft Entra. Consulte este artigo de suporte do Google Cloud/G Suite Connector by Microsoft para obter informações sobre por que os usuários podem receber solicitações de credenciais duas vezes.

  3. P: Se eu habilitar o logon único, os usuários poderão usar suas credenciais do Microsoft Entra para entrar em qualquer produto do Google, como Google Classroom, GMail, Google Drive, YouTube e assim por diante?

    R: Sim, dependendo de qual Conector do Google Cloud/G Suite da Microsoft você optar por habilitar ou desabilitar para sua organização.

  4. P: Posso habilitar o logon único para apenas um subconjunto dos meus usuários do Conector do Google Cloud / G Suite da Microsoft?

    R: Sim, os perfis de SSO podem ser selecionados por Usuário, Unidade Organizacional ou Grupo no Workspace do Google.

    Captura de tela da atribuição de perfil de SSO.

    Selecione o perfil de SSO como "nenhum" para o grupo do Workspace do Google. Isso impede que os membros desse (grupo do Workspace do Google) sejam redirecionados para o Microsoft Entra ID para logon.

  5. P: Se um usuário estiver conectado por meio do Windows, ele será autenticado automaticamente no Google Cloud/G Suite Connector pela Microsoft sem receber uma solicitação de senha?

    A: Há duas opções para este cenário. Primeiro, os usuários poderiam entrar em dispositivos Windows 10 por meio da associação ao Microsoft Entra. Como alternativa, os usuários podem entrar em dispositivos Windows que estão vinculados a um domínio em um Active Directory local que foi habilitado para autenticação única no Microsoft Entra ID por meio de uma implantação dos Serviços de Federação do Active Directory (AD FS). Ambas as opções exigem que você execute as etapas no artigo a seguir para habilitar o logon único entre o Microsoft Entra ID e o Google Cloud/G Suite Connector da Microsoft.

  6. P: O que devo fazer quando recebo uma mensagem de erro de "email inválido"?

    A: Para essa configuração, o atributo de email é necessário para os usuários entrarem. Esse atributo não pode ser definido manualmente.

    O atributo de email é populado automaticamente para qualquer usuário com uma licença válida do Exchange. Se o usuário não estiver habilitado para email, esse erro será recebido, pois o aplicativo precisará obter esse atributo para conceder acesso.

    Você pode ir para portal.office.com com uma conta de Administrador, depois selecionar no Centro de Administração, cobrança, assinaturas, selecionar sua Assinatura do Microsoft 365 e, em seguida, selecionar atribuir aos usuários, selecionar os usuários que você deseja verificar sua assinatura e, no painel direito, selecionar editar licenças.

    Depois que a licença do Microsoft 365 for atribuída, a ação poderá levar alguns minutos para ser aplicada. Depois disso, o atributo user.mail é preenchido automaticamente e o problema deve ser resolvido.

Descrição do cenário

Neste artigo, você configurará e testará o SSO do Microsoft Entra em um ambiente de teste.

Como adicionar o Google Cloud / G Suite Connector da Microsoft por meio da galeria

Para configurar a integração do Google Cloud/G Suite Connector da Microsoft no Microsoft Entra ID, você precisa adicionar o Google Cloud/G Suite Connector da Microsoft por meio da galeria à sua lista de aplicativos SaaS gerenciados.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Aplicativos na Nuvem.
  2. Navegue até Entrar ID>Aplicativos empresariais>Novo aplicativo.
  3. Na seção Adicionar por meio da galeria , digite Google Cloud/G Suite Connector da Microsoft na caixa de pesquisa.
  4. Selecione o Conector do Google Cloud/G Suite da Microsoft no painel de resultados e, em seguida, adicione o aplicativo. Aguarde alguns segundos enquanto o aplicativo é adicionado ao seu locatário.

Como alternativa, você também pode usar o Assistente de Configuração de Aplicativos Empresariais. Neste assistente, você pode adicionar um aplicativo ao seu locatário, adicionar usuários/grupos ao aplicativo, atribuir funções e também percorrer a configuração de SSO. Saiba mais sobre os assistentes do Microsoft 365.

Configurar e testar logon único do Azure AD para o Google Cloud/G Suite Connector da Microsoft

Configure e teste o SSO do Microsoft Entra com o Google Cloud / G Suite Connector da Microsoft usando um usuário de teste chamado B.Simon. Para que o SSO funcione, é necessário estabelecer uma relação de vínculo entre um usuário do Microsoft Entra e o usuário relacionado no Google Cloud/G Suite Connector da Microsoft.

Para configurar e testar o SSO do Microsoft Entra com o Google Cloud/G Suite Connector da Microsoft, execute as etapas a seguir:

  1. Configure o SSO do Microsoft Entra para permitir que os usuários usem esse recurso.
    1. Crie um usuário de teste do Microsoft Entra para testar a autenticação única do Microsoft Entra com B.Simon.
    2. Atribua o usuário de teste do Microsoft Entra para permitir que B.Simon use o logon único do Microsoft Entra.
  2. Configurar o Google Cloud/G Suite Connector by Microsoft SSO – para configurar as configurações de logon único no lado do aplicativo.
    1. Crie um usuário de teste do Google Cloud/G Suite Connector by Microsoft para ter um equivalente de B.Simon no Google Cloud/G Suite Connector da Microsoft que esteja vinculado à representação no Microsoft Entra do usuário.
  3. Testar o SSO – para verificar se a configuração funciona.

Configurar o SSO do Microsoft Entra

Siga estas etapas para habilitar o SSO do Microsoft Entra.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Aplicativos na Nuvem.

  2. Navegue até o Entra ID>Aplicativos empresariais>Google Cloud/G Suite Connector by Microsoft>Single sign-on.

  3. Na página Selecionar um método de logon único , selecione SAML.

  4. Na página Configurar autenticação única com SAML, para editar as configurações, selecione o ícone de lápis da Configuração Básica do SAML.

    Editar Configuração Básica do SAML

  5. Na seção Configuração Básica do SAML , se você quiser configurar para o Gmail , execute as seguintes etapas:

    um. Na caixa de texto Identificador, digite uma URL usando um dos seguintes padrões:

    Identificador
    google.com/a/<yourdomain.com>
    google.com
    https://google.com
    https://google.com/a/<yourdomain.com>

    b. Na caixa de texto URL de Resposta , digite uma URL usando um dos seguintes padrões:

    URL de resposta
    https://www.google.com
    https://www.google.com/a/<yourdomain.com>

    c. Na caixa de texto URL de Logon , digite uma URL usando o seguinte padrão: https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://mail.google.com

  6. Na seção Configuração Básica do SAML , se você quiser configurar para o Google Cloud Platform , execute as seguintes etapas:

    um. Na caixa de texto Identificador, digite uma URL usando um dos seguintes padrões:

    Identificador
    google.com/a/<yourdomain.com>
    google.com
    https://google.com
    https://google.com/a/<yourdomain.com>

    b. Na caixa de texto URL de Resposta , digite uma URL usando um dos seguintes padrões:

    URL de resposta
    https://www.google.com/acs
    https://www.google.com/a/<yourdomain.com>/acs

    c. Na caixa de texto URL de Logon , digite uma URL usando o seguinte padrão: https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://console.cloud.google.com

    Observação

    Esses valores não são reais. Atualize esses valores com o Identificador, a URL de Resposta e a URL de Logon reais. O Conector do Google Cloud/G Suite da Microsoft não fornece o valor da ID/Identificador da Entidade na configuração de Logon Único, portanto, quando você desmarca a opção do emissor específico do domínio , o valor do Identificador é google.com. Se você marcar a opção emissor específico do domínio, ela será google.com/a/<yourdomainname.com>. Para marcar/desmarcar a opção de emissor específico do domínio você precisa ir para a seção Configurar o Google Cloud/G Suite Connector by Microsoft SSO que é explicada mais adiante no artigo. Para obter mais informações, entre em contato com o Google Cloud/G Suite Connector pela equipe de suporte ao cliente da Microsoft.

  7. O aplicativo Google Cloud / G Suite Connector da Microsoft para o Azure AD espera as declarações SAML em um formato específico, o que exige a adição de mapeamentos de atributo personalizado à configuração de atributos do token SAML. A captura de tela a seguir mostra um exemplo disso. O valor padrão do Identificador de Usuário Exclusivo é user.userprincipalname , mas o Google Cloud/G Suite Connector da Microsoft espera que isso seja mapeado com o endereço de email do usuário. Para isso, você pode usar o atributo user.mail da lista ou usar o valor de atributo apropriado com base na configuração da sua organização.

    imagem

    Observação

    Verifique se a resposta SAML não inclui nenhum caractere ASCII não padrão no atributo Surname.

  8. Na página Configurar logon único com SAML , na seção Certificado de Autenticação SAML , localize o Certificado (Base64) e selecione Baixar para baixar o certificado e salvá-lo no computador.

    A captura de tela mostra o link de download do Certificado.

  9. Na seção Configurar o Google Cloud/G Suite Connector pela Microsoft , copie as URLs apropriadas de acordo com suas necessidades.

    A captura de tela mostra como copiar URLs de configuração.

    Observação

    A URL de logoff padrão listada no aplicativo está incorreta. A URL correta é: https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0

Criar e atribuir um usuário de teste do Microsoft Entra

Siga as diretrizes no guia de início rápido criar e atribuir uma conta de usuário para criar uma conta de usuário de teste chamada B.Simon.

Configurar o SSO do Google Cloud / G Suite Connector da Microsoft

  1. Abra uma nova guia no navegador e entre no Google Cloud/G Suite Connector pelo Microsoft Admin Console usando sua conta de administrador.

  2. Vá para o Menu –> Segurança –> Autenticação –> SSO com IDP de terceiros.

    Página de segurança do pacote G.

  3. Execute as seguintes alterações de configuração no perfil de SSO de terceiros na guia para sua organização:

    Configurar SSO.

    um. Ative o perfil de SSO para sua organização.

    b. No campo URL de Login no Google Cloud/G Suite Connector da Microsoft, cole o valor da URL de Login.

    c. No campo URL da página de logout no Google Cloud/G Suite Connector da Microsoft, cole o valor da URL de Logout.

    d. No Google Cloud/G Suite Connector da Microsoft, para o certificado de verificação, carregue o certificado que você baixou anteriormente.

    e. Verifique/desmarque a opção Usar um emissor específico do domínio de acordo com a nota mencionada na seção Configuração Básica de SAML acima na ID do Microsoft Entra.

    f. No campo Alterar URL de senha no Google Cloud/G Suite Connector da Microsoft, insira o valor como https://mysignins.microsoft.com/security-info/password/change

    g. Selecione Salvar.

Criar usuário de teste do Google Cloud/G Suite Connector da Microsoft

O objetivo desta seção é criar um usuário no Google Cloud/G Suite Connector da Microsoft chamado B.Simon. Depois que o usuário for sido criado de modo manual no Google Cloud / G Suite Connector da Microsoft, ele poderá entrar usando as credenciais de logon do Microsoft 365.

O Google Cloud / G Suite Connector da Microsoft também dá suporte ao provisionamento automático de usuários. Para configurar o provisionamento automático de usuário, primeiro você deve configurar o Google Cloud/G Suite Connector da Microsoft para provisionamento automático de usuário.

Observação

Verifique se o usuário já existe no Google Cloud/G Suite Connector da Microsoft se o provisionamento no Microsoft Entra ID não tiver sido ativado antes de testar o logon único.

Observação

Se você precisar criar um usuário manualmente, entre em contato com a equipe de suporte do Google.

Testar o SSO

Nesta seção, você vai testar a configuração de logon único do Microsoft Entra com as opções a seguir.

  • Selecione Testar este aplicativo, essa opção redireciona para o Google Cloud/G Suite Connector pela URL de Logon da Microsoft, na qual você pode iniciar o fluxo de logon.

  • Acesse a URL de Logon do Google Cloud / G Suite Connector da Microsoft diretamente e inicie o fluxo de logon de lá.

  • Você pode usar os Meus Aplicativos da Microsoft. Quando você seleciona o bloco do Google Cloud/G Suite Connector by Microsoft em Meus Aplicativos, essa opção redireciona para o Google Cloud/G Suite Connector pela URL de Logon da Microsoft. Para obter mais informações sobre meus aplicativos, consulte Introdução aos Meus Aplicativos.

Conteúdo relacionado

Depois de configurar o Google Cloud / G Suite Connector da Microsoft, você poderá impor o controle de sessão, que fornece proteção contra exportação e infiltração dos dados confidenciais da sua organização em tempo real. O Controle de Sessão é estendido do acesso condicional. Saiba como impor o controle de sessão com o Microsoft Defender para Aplicativos de Nuvem.