认证源 - Google Workspace - 专属集成平台

功能说明

Google Workspace 认证源用于通过 SAML 方式把 Google Workspace 作为身份提供方接入数犀集成平台。

当前管理页面把 Google Workspace 认证源映射到 SAML 配置表单，使用 IdP 元数据、ACS URL、SP Metadata URL 和 SP Entity ID 完成双方配置。本文不使用 Google OAuth/OIDC 的 Client ID、Client Secret 或 /api/auth/callback/google 回调方式。

testo 目标租户已运行确认该类型打开“Google - 认证源信息”SAML 表单，包含 IdP 元数据 URL/Metadata File、账号映射规则和 JIT 开关。Google 管理端的菜单和策略仍应在正式配置前以当前 Google Workspace 管理界面为准。

前置条件

当前账号具有认证源管理权限。

具有 Google Workspace 管理员权限。

准备一个不会影响生产用户的测试组织单位或测试组。

确认 Google 用户与平台用户之间使用哪个唯一属性匹配。

准备 Google IdP 元数据 URL，或导出的 XML 元数据文件。

元数据文件必须是 XML。当前上传控件要求文件小于 50 KB，并校验文件类型为 text/xml。

创建 Google Workspace 认证源

新增认证源

进入认证源管理，新建 Google Workspace 认证源。

填写名称

填写能够区分环境和用途的认证源名称，例如“Google Workspace - 测试组织”。

选择元数据方式

IdP 元数据可选择 URL 或 Metadata File。两种方式只需使用一种。

填写元数据 URL

选择 URL 时，填写 Google Workspace 提供的 IdP 元数据地址。

或上传元数据文件

选择 Metadata File 时，上传 Google Workspace 导出的 XML 文件。确认文件小于 50 KB，且没有手工改坏 XML 内容。

保存认证源

保存后重新打开该认证源，取得平台生成的 ACS URL、SP Metadata URL 和 SP Entity ID。

在 Google Workspace 中配置 SAML 应用

在 Google 管理端创建或打开对应的自定义 SAML 应用，并使用平台页面实际显示的参数完成 SP 配置：

ACS URL：平台为当前认证源生成的 SAML 接收地址。

Entity ID：使用平台页面显示的 SP Entity ID。

SP Metadata：如 Google 配置流程支持导入，可使用平台生成的 SP Metadata URL。

Name ID：选择双方已约定且能唯一匹配用户的属性。

不要从其他租户、测试环境或历史文档复制 ACS URL 和 Entity ID。不同环境生成的地址可能不同。

Google 管理端的具体菜单、证书和应用启用范围可能随版本变化，应以当前 Google Workspace 管理界面为准。

用户匹配和授权

当前表单展示账号映射规则和 JIT 开关，但本次只读核验没有保存配置或执行登录，因此不能仅凭字段存在承诺具体匹配、创建和授权结果，也不能承诺：

使用 sub、hd 等 OIDC Claim 完成映射。

仅填写域名即可限制登录。

打开 JIT 后任何 Google 用户都会自动创建并获得权限。

Google 账号会自动获得平台权限。

上线前应在目标租户实际确认：

平台用哪个属性查找已有用户。

用户不存在时是拒绝登录、自动创建还是进入其他流程。

Google 侧哪些组织单位或群组允许使用该 SAML 应用。

平台侧哪些用户、用户组或策略允许使用该认证源。

联调验证

启用测试范围

先只向测试组织单位或测试组开放 Google SAML 应用。

验证 IdP 发起登录

从 Google Workspace 应用入口发起登录，确认能够到达平台并匹配正确用户。

验证平台入口

从平台登录入口选择对应认证源，确认重定向、SAML Response 和最终登录结果正常。

检查属性匹配

核对邮箱、用户名或约定的唯一标识是否映射到正确的平台账号。

验证拒绝场景

使用未授权用户、平台不存在用户和属性不匹配用户分别测试，确认结果符合当前策略。

记录证据

保存脱敏后的双方配置、测试账号范围、登录时间、失败信息和相关日志编号。

变更与回滚

替换 Google IdP 元数据或证书前：

确认新旧证书的生效时间。

评估平台是否允许并行信任。

在测试范围完成登录验证。

保留旧配置和回滚窗口。

再扩大 Google 应用的开放范围。

不要在没有备用管理员登录方式时直接替换生产认证配置。

验证清单

Google Workspace 认证源使用 SAML，而不是 OIDC Client ID/Secret。

元数据 URL 可访问，或 XML 文件符合大小和格式要求。

ACS URL、SP Metadata URL 和 SP Entity ID 均来自当前认证源页面。

Google 侧应用范围只包含预定测试用户。

正常用户能够匹配到正确的平台账号。

未授权、用户不存在和属性不匹配场景符合当前策略。

已保留管理员备用登录方式和回滚方案。

截图中元数据地址、用户邮箱、租户域名和证书信息已按安全要求脱敏。

常见问题

需要在 Google Cloud 创建 OAuth Client 吗？

当前 Google Workspace 认证源页面使用 SAML 元数据接入，不需要按 OIDC 方式填写 Client ID 和 Client Secret。

保存后为什么才看到 ACS URL？

ACS URL、SP Metadata URL 和 SP Entity ID 依赖认证源 ID，当前页面在已有认证源中展示这些只读地址。

配置 Google 域名后会自动限制登录吗？

当前基础表单没有域名限制字段。实际访问范围应同时在 Google 应用分配和平台授权策略中配置并验证。

首次登录会自动创建用户吗？

不能仅从当前表单得出这个结论。应在目标租户确认用户匹配和创建策略，并用测试账号验证。

认证源 - Google Workspace

功能说明#

前置条件#

创建 Google Workspace 认证源#

在 Google Workspace 中配置 SAML 应用#

用户匹配和授权#

联调验证#

变更与回滚#

验证清单#

常见问题#