Configures SAML 2.0 SSO for Google Workspace with IdPs like Okta, Azure AD, ADFS. Enables centralized authentication, MFA enforcement, and org-wide access policies.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
Google Workspace 的单点登录（SSO）允许组织通过其现有的身份提供商（IdP，如 Okta、Azure AD（Microsoft Entra ID）或 ADFS）对用户进行认证，而无需管理单独的 Google 密码。这通过 SAML 2.0 协议实现，其中 Google Workspace 充当服务提供商（SP），组织的 IdP 处理认证。SSO 集中了凭据管理，在 IdP 处强制执行 MFA 策略，并可在用户离开组织时立即撤销访问权限。
Configure SAML 2.0 SSO for Google Workspace with IdPs like Okta or Azure AD, centralizing authentication and enforcing access policies.
Configures SAML 2.0 SSO for Google Workspace with IdPs like Okta or Azure AD, enabling centralized authentication and access policies. Useful for securing organizational environments.
Deploys Okta as centralized IdP for AWS, Azure, GCP SSO integration, phishing-resistant MFA with FastPass/FIDO2, user lifecycle automation via SCIM, and adaptive access policies on device posture/risk.
Share bugs, ideas, or general feedback.
Google Workspace 的单点登录（SSO）允许组织通过其现有的身份提供商（IdP，如 Okta、Azure AD（Microsoft Entra ID）或 ADFS）对用户进行认证，而无需管理单独的 Google 密码。这通过 SAML 2.0 协议实现，其中 Google Workspace 充当服务提供商（SP），组织的 IdP 处理认证。SSO 集中了凭据管理，在 IdP 处强制执行 MFA 策略，并可在用户离开组织时立即撤销访问权限。
用户导航到 Google Workspace 应用（Gmail、Drive 等）
│
├── Google 检查：此域是否配置了 SSO？
│
├── 是 → 将用户重定向到 IdP 登录页面 URL
│ （通过浏览器重定向发送 SAML AuthnRequest）
│
├── 用户在 IdP 处认证（凭据 + MFA）
│
├── IdP 生成带有签名断言的 SAML 响应
│
├── 浏览器将 SAML 响应 POST 到 Google ACS URL：
│ https://www.google.com/a/{domain}/acs
│
├── Google 根据上传的证书验证 SAML 签名
│
└── 用户获得 Google Workspace 访问权限
| 参数 | 值 |
|---|---|
| ACS URL | https://www.google.com/a/{your-domain}/acs |
| Entity ID | google.com/a/{your-domain} 或 google.com |
| NameID 格式 | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress |
| NameID 值 | 用户的主要 Google Workspace 邮箱 |
| 绑定方式 | HTTP-POST（用于 ACS），HTTP-Redirect（用于 SSO URL） |
对于 Okta：
对于 Azure AD（Microsoft Entra ID）：
google.comhttps://www.google.com/a/{your-domain}/acshttps://www.google.com/a/{your-domain}/ServiceLogin对于 ADFS：
第三方 SSO 配置文件设置：
| 设置 | 值 |
|---|---|
| 使用第三方 IdP 设置 SSO | 已启用 |
| 登录页面 URL | IdP 的 SAML SSO 端点（如 https://idp.example.com/sso/saml） |
| 注销页面 URL | IdP 的注销 URL（如 https://idp.example.com/slo） |
| 更改密码 URL | IdP 的密码更改 URL |
| 验证证书 | 上传 IdP 的 X.509 签名证书 |
| 使用域特定颁发者 | 已启用（使用 google.com/a/{domain} 作为 Entity ID） |
SSO 配置文件可在不同范围应用：
组织范围（所有用户）
│
├── 组织单元级别（特定部门）
│ ├── 工程 OU → 通过 Okta 的 SSO
│ ├── 市场 OU → 通过 Azure AD 的 SSO
│ └── 承包商 OU → 通过特定 IdP 的 SSO
│
└── 组级别（特定安全组）
└── VPN 用户 → 带附加 MFA 的 SSO
网络掩码根据用户的 IP 控制何时强制执行 SSO：
这对于允许从企业网络直接登录 Google，同时对外部访问强制执行 SSO 非常有用。
https://mail.google.com/a/{your-domain}