القائمة
为 Google Workspace 配置基于 SAML 2.0 的单点登录（SSO），与第三方身份提供商集成，实现集中认证并强制执行全组织范围的访问策略。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-google-workspace-sso-configurationيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
عرض SKILL.md
استنادا إلى تصنيف SOC المهني
| name | implementing-google-workspace-sso-configuration |
| description | 为 Google Workspace 配置基于 SAML 2.0 的单点登录（SSO），与第三方身份提供商集成，实现集中认证并强制执行全组织范围的访问策略。 |
| domain | cybersecurity |
| subdomain | identity-access-management |
| tags | ["google-workspace","sso","saml","identity-provider","authentication","federation"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
Google Workspace 的单点登录（SSO）允许组织通过其现有的身份提供商（IdP，如 Okta、Azure AD（Microsoft Entra ID）或 ADFS）对用户进行认证，而无需管理单独的 Google 密码。这通过 SAML 2.0 协议实现，其中 Google Workspace 充当服务提供商（SP），组织的 IdP 处理认证。SSO 集中了凭据管理，在 IdP 处强制执行 MFA 策略，并可在用户离开组织时立即撤销访问权限。
用户导航到 Google Workspace 应用（Gmail、Drive 等）
│
├── Google 检查：此域是否配置了 SSO？
│
├── 是 → 将用户重定向到 IdP 登录页面 URL
│ （通过浏览器重定向发送 SAML AuthnRequest）
│
├── 用户在 IdP 处认证（凭据 + MFA）
│
├── IdP 生成带有签名断言的 SAML 响应
│
├── 浏览器将 SAML 响应 POST 到 Google ACS URL：
│ https://www.google.com/a/{domain}/acs
│
├── Google 根据上传的证书验证 SAML 签名
│
└── 用户获得 Google Workspace 访问权限
| 参数 | 值 |
|---|---|
| ACS URL | https://www.google.com/a/{your-domain}/acs |
| Entity ID | google.com/a/{your-domain} 或 google.com |
| NameID 格式 | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress |
| NameID 值 | 用户的主要 Google Workspace 邮箱 |
| 绑定方式 | HTTP-POST（用于 ACS），HTTP-Redirect（用于 SSO URL） |
对于 Okta：
对于 Azure AD（Microsoft Entra ID）：
google.comhttps://www.google.com/a/{your-domain}/acshttps://www.google.com/a/{your-domain}/ServiceLogin对于 ADFS：
第三方 SSO 配置文件设置：
| 设置 | 值 |
|---|---|
| 使用第三方 IdP 设置 SSO | 已启用 |
| 登录页面 URL | IdP 的 SAML SSO 端点（如 https://idp.example.com/sso/saml） |
| 注销页面 URL | IdP 的注销 URL（如 https://idp.example.com/slo） |
| 更改密码 URL | IdP 的密码更改 URL |
| 验证证书 | 上传 IdP 的 X.509 签名证书 |
| 使用域特定颁发者 | 已启用（使用 google.com/a/{domain} 作为 Entity ID） |
SSO 配置文件可在不同范围应用：
组织范围（所有用户）
│
├── 组织单元级别（特定部门）
│ ├── 工程 OU → 通过 Okta 的 SSO
│ ├── 市场 OU → 通过 Azure AD 的 SSO
│ └── 承包商 OU → 通过特定 IdP 的 SSO
│
└── 组级别（特定安全组）
└── VPN 用户 → 带附加 MFA 的 SSO
网络掩码根据用户的 IP 控制何时强制执行 SSO：
这对于允许从企业网络直接登录 Google，同时对外部访问强制执行 SSO 非常有用。
https://mail.google.com/a/{your-domain}