教程：Microsoft Entra SSO 与 Google Cloud / G Suite Connector by Microsoft 的集成

  • 项目

本教程介绍如何将 Google Cloud / G Suite Connector by Microsoft 与 Microsoft Entra ID 集成。 将 Google Cloud / G Suite Connector by Microsoft 与 Microsoft Entra ID 集成后，可以：

  • 在 Microsoft Entra ID 中控制谁有权访问 Google Cloud / G Suite Connector by Microsoft。
  • 让用户能够使用其 Microsoft Entra 帐户自动登录到 Google Cloud / G Suite Connector by Microsoft。
  • 在中心位置管理帐户。

先决条件

若要开始操作，需备齐以下项目：

  • 一个 Microsoft Entra 订阅。
  • 已启用 Google Cloud / G Suite Connector by Microsoft 单一登录 (SSO) 的订阅。
  • Google Apps 订阅或 Google Cloud Platform 订阅。

注意

不建议使用生产环境测试本教程中的步骤。 本文档中是使用新用户单一登录体验进行创建的。 如果你仍在使用旧版，安装程序看起来会有所不同。 可以在 G Suite 应用程序的单一登录设置中启用新体验。 转到“Microsoft Entra ID”>“企业应用程序”，选择“Google Cloud/G Suite Connector by Microsoft”，选择“单一登录”，然后单击“尝试新体验”。

测试本教程中的步骤应遵循以下建议：

  • 除非必要，请勿使用生产环境。
  • 如果没有订阅，可以获取一个免费帐户。

常见问题

  1. 问：此集成是否支持 Google Cloud Platform SSO 与 Microsoft Entra ID 的集成？

    A:是的。 Google Cloud Platform 和 Google Apps 共用同一个身份验证平台。 因此，若要实现 GCP 集成，需要配置 Google Apps 的 SSO。

  2. 问：Chromebook 和其他 Chrome 设备是否与 Microsoft Entra 单一登录兼容？

    答：是的，用户能够使用 Microsoft Entra 凭据登录到 Chromebook 设备。 若要了解为何有时用户会两次收到输入凭据的提示，请参阅此 Google Cloud / G Suite Connector by Microsoft 支持文章。

  3. 问：如果我启用单一登录，用户能够使用他们的 Microsoft Entra 凭据登录到任何 Google 产品（例如 Google Classroom、GMail、Google Drive、YouTube 等）吗？

    答：可以，具体取决于选择为组织启用或禁用的 Google Cloud / G Suite Connector by Microsoft。

  4. 问：是否可以仅为一部分 Google Cloud / G Suite Connector by Microsoft 用户启用单一登录？

    答：是的，可以在 Google Workspace 中按用户、组织单位或组来选择 SSO 配置文件。

    Screenshot for SSO profile assignment.

    针对 Google Workspace 组，将 SSO 配置文件选择为“无”。 这可以防止此组（Google Workspace 组）的成员被重定向到 Microsoft Entra ID 以进行登录。

  5. 问：如果用户通过 Windows 登录，他们是否会自动进行 Google Cloud / G Suite Connector by Microsoft 身份验证而不会收到输入密码的提示？

    A:有两种用于启用此方案的选项。 首先，用户可以通过 Microsoft Entra 加入登录到 Windows 10 设备。 或者，用户可以登录到通过域加入的方式加入到一个本地 Active Directory（已通加 Active Directory 联合身份验证服务 (AD FS) 部署启用 Microsoft Entra ID 单一登录）的 Windows 设备。 两种选项都要求执行以下教程中的步骤，才能在 Microsoft Entra ID 与 Google Cloud / G Suite Connector by Microsoft 之间启用单一登录。

  6. 问：当我收到"无效的电子邮件"错误消息时，该怎么办？

    A:对于此设置，需要电子邮件属性才能使用户进行登录。 无法手动设置此属性。

    对于任何拥有有效的 Exchange 许可证的用户，电子邮件属性会自动填充。 如果用户未启用电子邮件，则将收到此错误，因为应用程序需要获取此属性才能提供访问权限。

    可以使用管理员帐户访问 portal.office.com，接着单击“管理中心”、“帐单”、“订阅”，选择你的 Microsoft 365 订阅，然后单击“分配给用户”，选择要检查其订阅的用户，然后在右侧窗格中单击“编辑许可证”。

    分配 Microsoft 365 许可证后，它可能需要几分钟的时间才能应用。 之后，user.mail 属性将自动填充，此问题应会得到解决。

方案描述

在本教程中，你将在测试环境中配置并测试 Microsoft Entra SSO。

  • Google Cloud / G Suite Connector by Microsoft 支持 SP 发起的 SSO。

  • Google Cloud / G Suite Connector by Microsoft 支持自动用户预配。

从库中添加 Google Cloud / G Suite Connector by Microsoft

若要配置 Google Cloud / G Suite Connector by Microsoft 与 Microsoft Entra ID 的集成，需要从库中将 Google Cloud / G Suite Connector by Microsoft 添加到托管 SaaS 应用列表。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。
  3. 在“从库中添加”部分的搜索框中，键入“Google Cloud / G Suite Connector by Microsoft”。
  4. 在结果面板中选择“Google Cloud / G Suite Connector by Microsoft”，然后添加该应用。 在该应用添加到租户时等待几秒钟。

或者，也可以使用企业应用配置向导。 在此向导中，可以将应用程序添加到租户、将用户/组添加到应用、分配角色，以及逐步完成 SSO 配置。 详细了解 Microsoft 365 向导。

配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Microsoft Entra 单一登录

使用名为 B.Simon 的测试用户配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Microsoft Entra SSO。 若要正常使用 SSO，需要在 Microsoft Entra 用户与 Google Cloud / G Suite Connector by Microsoft 中的相关用户之间建立链接关系。

若要配置并测试 Google Cloud / G Suite Connector by Microsoft 的 Microsoft Entra SSO，请执行以下步骤：

  1. 配置 Microsoft Entra SSO - 使用户能够使用此功能。
    1. 创建 Microsoft Entra 测试用户 - 使用 B.Simon 测试 Microsoft Entra 单一登录。
    2. 分配 Microsoft Entra 测试用户 - 使 B.Simon 能够使用 Microsoft Entra 单一登录。
  2. 配置 Google Cloud / G Suite Connector by Microsoft SSO - 在应用程序端配置单一登录设置。
    1. 创建 Google Cloud / G Suite Connector by Microsoft 测试用户 - 在 Google Cloud / G Suite Connector by Microsoft 中创建 B.Simon 的对应用户，并将其链接到该用户在 Microsoft Entra 中对应的身份。
  3. 测试 SSO - 验证配置是否正常工作。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“Google Cloud / G Suite Connector by Microsoft”>“单一登录”。

  3. 在“选择单一登录方法”页上选择“SAML” 。

  4. 在“设置 SAML 单一登录”页面上，单击“基本 SAML 配置”旁边的铅笔图标以编辑设置 。

    Edit Basic SAML Configuration

  5. 在“基本 SAML 配置” 部分中，如果想要为 Gmail 进行配置，请执行以下步骤：

    a. 在“标识符”文本框中，使用以下模式之一键入 URL：

    Identifier
    google.com/a/<yourdomain.com>
    google.com
    https://google.com
    https://google.com/a/<yourdomain.com>

    b. 在“回复 URL”文本框中，使用以下一种模式键入 URL：

    回复 URL
    https://www.google.com
    https://www.google.com/a/<yourdomain.com>

    c. 在“登录 URL”文本框中，使用以下模式键入 URL：https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://mail.google.com

  6. 在“基本 SAML 配置” 部分中，如果想要为 Google Cloud Platform 进行配置，请执行以下步骤：

    a. 在“标识符”文本框中，使用以下模式之一键入 URL：

    Identifier
    google.com/a/<yourdomain.com>
    google.com
    https://google.com
    https://google.com/a/<yourdomain.com>

    b. 在“回复 URL”文本框中，使用以下一种模式键入 URL：

    回复 URL
    https://www.google.com/acs
    https://www.google.com/a/<yourdomain.com>/acs

    c. 在“登录 URL”文本框中，使用以下模式键入 URL：https://www.google.com/a/<yourdomain.com>/ServiceLogin?continue=https://console.cloud.google.com

    注意

    这些不是实际值。 请使用实际的“标识符”、“回复 URL”和“登录 URL”更新这些值。 Google Cloud / G Suite Connector by Microsoft 不会在单一登录配置上提供“实体 ID/标识符”值，因此，在取消选中“特定于域的颁发者”选项后，“标识符”值将为 google.com。 如果勾选“特定于域的颁发者”选项， 它将为 google.com/a/<yourdomainname.com>。 若要选中/取消选中“特定于域的颁发者”选项，需转到“配置 Google Cloud / G Suite Connector by Microsoft SSO”部分进行操作，详见本教程稍后的介绍。 如需更多信息，请联系 Google Cloud / G Suite Connector by Microsoft 客户端支持团队。

  7. Google Cloud / G Suite Connector by Microsoft 应用程序需要特定格式的 SAML 断言，这需要将自定义属性映射添加到 SAML 令牌属性配置。 以下屏幕截图显示一个示例。 “唯一用户标识符”的默认值是“user.userprincipalname”，但 Google Cloud / G Suite Connector by Microsoft 要求将此值与用户的电子邮件地址相映射。 为此，可以使用列表中的 user.mail 属性，或使用基于组织配置的相应属性值。

    image

    注意

    确保 SAML 响应在 Surname 属性中不包括任何非标准 ASCII 字符。

  8. 在“使用 SAML 设置单一登录”页的“SAML 签名证书”部分中，找到“证书(Base64)”，选择“下载”以下载该证书并将其保存到计算机上 。

    Screenshot shows the Certificate download link.

  9. 在“设置 Google Cloud / G Suite Connector by Microsoft”部分，根据要求复制相应的 URL。

    Screenshot shows to copy configuration URLs.

    https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0

创建 Microsoft Entra 测试用户

在本部分，你将创建名为 B.Simon 的测试用户。

  1. 至少以用户管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览到“标识”>“用户”>“所有用户”。
  3. 选择屏幕顶部的“新建用户”>“创建新用户”。
  4. 在“用户”属性中执行以下步骤：
    1. 在“显示名称”字段中输入 B.Simon。
    2. 在“用户主体名称”字段中，输入 username@companydomain.extension。 例如 B.Simon@contoso.com。
    3. 选中“显示密码”复选框，然后记下“密码”框中显示的值。
    4. 选择“查看 + 创建”。
  5. 选择“创建”。

分配 Microsoft Entra 测试用户

本部分将通过授予 B.Simon 访问 Google Cloud/G Suite Connector by Microsoft 的权限，使其能够使用单一登录。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“Google Cloud/G Suite Connector by Microsoft”。
  3. 在应用的概述页面中，选择“用户和组”。
  4. 选择“添加用户/组”，然后在“添加分配”对话框中选择“用户和组” 。
    1. 在“用户和组”对话框中，从“用户”列表中选择“B.Simon”，然后单击屏幕底部的“选择”按钮。
    2. 如果你希望将某角色分配给用户，可以从“选择角色”下拉列表中选择该角色。 如果尚未为此应用设置任何角色，你将看到选择了“默认访问权限”角色。
    3. 在“添加分配”对话框中，单击“分配”按钮。

配置 Google Cloud / G Suite Connector by Microsoft SSO

  1. 在浏览器中打开新的标签页，并使用管理员帐户登录到 Google Cloud / G Suite Connector by Microsoft 管理员控制台。

  2. 转到“菜单”->“安全性”->“身份验证”->“使用第三方 IDP 的 SSO”。

    G suite security page.

  3. 在“组织的第三方 SSO 配置文件”选项卡中执行以下配置更改：

    Configure SSO.

    a. 启用“组织的 SSO 配置文件”。

    b. 在 Google Cloud/G Suite Connector by Microsoft 中的登录页 URL字段内，粘贴登录 URL的值。

    c. 在 Google Cloud/G Suite Connector by Microsoft 中的退出登录页 URL字段内，粘贴退出登录 URL的值。

    d. 在 Google Cloud/G Suite Connector by Microsoft 中，对于“验证证书”，请上传之前下载的证书。

    e. 按照 Microsoft Entra ID 中的上述“基本 SAML 配置”部分提供的说明，勾选/取消选中“使用特定于域的颁发者”选项。

    f. 在 Google Cloud / G Suite Connector by Microsoft 的“更改密码 URL”字段中，输入值 https://account.activedirectory.windowsazure.com/changepassword.aspx

    g. 单击“ 保存”。

创建 Google Cloud/G Suite Connector by Microsoft 测试用户

本部分的目标是在 Google Cloud/G Suite Connector by Microsoft 中创建名为 B.Simon 的用户。 在 Google Cloud/G Suite Connector by Microsoft 中手动创建用户后，该用户现在可以使用其 Microsoft 365 登录凭据登录。

Google Cloud/G Suite Connector by Microsoft 还支持自动用户预配。 若要配置自动用户预配，必须先为自动用户预配配置 Google Cloud/G Suite Connector by Microsoft。

注意

如果在测试单一登录之前尚未在 Microsoft Entra ID 中启用预配，请确保 Google Cloud/G Suite Connector by Microsoft 中已存在你的用户。

注意

如果需要手动创建用户，请联系 Google 支持团队。

测试 SSO

在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置。

  • 单击“测试此应用程序”，这会重定向到 Google Cloud/G Suite Connector by Microsoft 登录 URL，可从中启动登录流。

  • 直接转到 Google Cloud / G Suite Connector by Microsoft 登录 URL，并从中启动登录流。

  • 你可使用 Microsoft 的“我的应用”。 在“我的应用”中单击“Google Cloud / G Suite Connector by Microsoft”磁贴时，会重定向到 Google Cloud / G Suite Connector by Microsoft 登录 URL。 有关“我的应用”的详细信息，请参阅“我的应用”简介。

后续步骤

配置 Google Cloud / G Suite Connector by Microsoft 后，可以强制实施会话控制，实时防止组织的敏感数据外泄和渗透。 会话控制扩展自条件访问。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。