Provisioning degli utenti e Single Sign-On di Microsoft Entra ID (in precedenza Azure AD)

Questo documento mostra come configurare il provisioning degli utenti e il Single Sign-On tra un tenant di Microsoft Entra ID (in precedenza Azure AD) e il tuo account Cloud Identity o Google Workspace.

Il documento presuppone che tu utilizzi già Microsoft Office 365 o Microsoft Entra ID nella tua organizzazione e vuoi utilizzare Microsoft Entra ID per consentire agli utenti di eseguire l'autenticazione con Google Cloud. Lo stesso Microsoft Entra ID potrebbe essere connesso ad una Active Directory on-premise e potrebbe utilizzare la federazione degli ID Entra, l'autenticazione pass-through o la sincronizzazione dell'hash delle password.

Obiettivi

  • Configura Microsoft Entra ID per il provisioning automatico degli utenti e, facoltativamente, dei gruppi su Cloud Identity o Google Workspace.
  • Configura il Single Sign-On per consentire agli utenti di accedere a Google Cloud utilizzando un account utente Microsoft Entra ID o un utente di cui è stato eseguito il provisioning da Active Directory a Microsoft Entra ID.

Costi

Se utilizzi la versione gratuita di Cloud Identity, la configurazione della federazione con Microsoft Entra ID non utilizzerà componenti fatturabili di Google Cloud.

Consulta la pagina dei prezzi di Microsoft Entra ID per conoscere le eventuali tariffe che potrebbero essere applicate all'utilizzo di Microsoft Entra ID.

Prima di iniziare

  • Assicurati di comprendere le differenze tra la connessione di Google Cloud a Microsoft Entra ID e la connessione diretta di Google Cloud ad Active Directory.
  • Decidi come vuoi mappare le identities, i gruppi e i domini tra Microsoft Entra ID e Cloud Identity o Google Workspace. In particolare, rispondi alle seguenti domande:
    • Hai intenzione di utilizzare indirizzi email o nomi UPN (User Principal Name) come identificatori comuni per gli utenti?
    • Hai intenzione di eseguire il provisioning dei gruppi? Se sì, hai intenzione di mappare i gruppi in base all'indirizzo email o al nome?
    • Prevedi di eseguire il provisioning di tutti gli utenti in Google Cloud o solo di un sottoinsieme selezionato?
  • Prima di connettere il tenant di produzione Microsoft Entra ID a Google Cloud, valuta la possibilità di utilizzare un tenant di test Microsoft Entra ID per configurare e testare il provisioning degli utenti.
  • Registrati a Cloud Identity se non hai ancora un account.
  • Se utilizzi la versione gratuita di Cloud Identity e intendi eseguire il provisioning di più di 50 utenti, richiedi un aumento del numero totale di utenti Cloud Identity gratuiti tramite il tuo contatto dell'assistenza.
  • Se sospetti che uno dei domini che prevedi di utilizzare per Cloud Identity possa essere stato utilizzato dai dipendenti per registrare account consumer, valuta la possibilità di eseguire prima la migrazione di questi account utente. Per maggiori dettagli, consulta Valutazione degli account utente esistenti.

Preparare l'account Cloud Identity o Google Workspace

Crea un utente per Microsoft Entra ID

Per consentire a Microsoft Entra ID di accedere al tuo account Cloud Identity o Google Workspace, devi creare un utente per Microsoft Entra ID nel tuo account Cloud Identity o Google Workspace.

L'utente Microsoft Entra ID è destinato solo al provisioning automatico. Ti consigliamo quindi di tenerlo separato dagli altri account utente inserendolo in un'unità organizzativa (UO) separata. L'utilizzo di un'UO separata garantisce anche la possibilità in seguito di disabilitare il Single Sign-On per l'utente Microsoft Entra ID.

Per creare una nuova UO:

  1. Apri la Console di amministrazione e accedi utilizzando l'utente super amministratore creato quando hai eseguito la registrazione a Cloud Identity o Google Workspace.
  2. Nel menu, vai a Directory > Unità organizzative.
  3. Fai clic su Crea unità organizzativa e fornisci un nome e una descrizione per l'UO:
    • Nome: Automation
    • Descrizione: Automation users
  4. Fai clic su Crea.

Crea un account utente per Microsoft Entra ID e inseriscilo nell'UO Automation:

  1. Nel menu, vai a Directory > Utenti e fai clic su Aggiungi nuovo utente per creare un utente.

  2. Fornisci un nome e un indirizzo email appropriati, come quelli seguenti:

    • Nome: Microsoft Entra ID
    • Cognome: Provisioning

    • Indirizzo email principale: azuread-provisioning

      Mantieni il dominio principale dell'indirizzo email.

  3. Fai clic su Gestisci la password, l'unità organizzativa e la foto del profilo dell'utente e configura le seguenti impostazioni:

    • Unità organizzativa: seleziona l'UO Automation che hai creato in precedenza.
    • Password: seleziona Crea password e inserisci una password.
    • Richiedi di cambiare la password all'accesso successivo: Disattivato.

  4. Fai clic su Aggiungi nuovo utente.

  5. Fai clic su Fine.

Assegna privilegi a Microsoft Entra ID

Per consentire a Microsoft Entra ID di creare, elencare e sospendere utenti e gruppi nel tuo account Cloud Identity o Google Workspace, devi concedere all'utente azuread-provisioning privilegi aggiuntivi, come indicato di seguito:

  • Per consentire a Microsoft Entra ID di gestire tutti gli utenti, inclusi gli amministratori delegati e gli utenti super amministratori, devi impostare l'utente azuread-provisioning come super amministratore.

  • Per consentire a Microsoft Entra ID di gestire solo gli utenti non amministratori, è sufficiente impostare l'utente azuread-provisioning come amministratore con delega. In qualità di amministratore con delega, Microsoft Entra ID non può gestire altri utenti con delega di amministratore o super amministratore.

Super amministratore

Per impostare l'utente azuread-provisioning come super amministratore:

  1. Individua l'utente appena creato nell'elenco e fai clic sul nome dell'utente per aprire la pagina del suo account.
  2. In Ruoli e privilegi di amministratore, fai clic su Assegna ruoli.
  3. Abilita il ruolo di super amministratore.
  4. Fai clic su Salva.

Utente con delega di amministratore

Per impostare l'utente azuread-provisioning come amministratore con delega, crea un nuovo ruolo di amministratore e assegnalo all'utente:

  1. Nel menu, vai ad Account > Ruoli amministratore.
  2. Fai clic su Crea nuovo ruolo.
  3. Fornisci un nome e una descrizione per il ruolo, ad esempio:
    • Nome: Microsoft Entra ID
    • Descrizione: Role for automated user and group provisioning
  4. Fai clic su Continua.
  5. Nella schermata successiva, scorri verso il basso fino alla sezione denominata Privilegi API Admin e imposta i seguenti privilegi su abilitati:
    • Unità organizzative > Lettura
    • Utenti
    • Gruppi
  6. Fai clic su Continua.
  7. Fai clic su Crea ruolo.
  8. Fai clic su Assegna utenti.
  9. Seleziona l'utente azuread-provisioning e fai clic su Assegna ruolo.

Registra domini

In Cloud Identity e Google Workspace, gli utenti e i gruppi sono identificati per indirizzo email. I domini utilizzati da questi indirizzi email devono essere registrati e verificati prima.

Prepara un elenco di domini DNS che devi registrare:

  • Se prevedi di mappare gli utenti in base al numero UPN, includi tutti i domini utilizzati dagli UPN. In caso di dubbi, includi tutti i domini personalizzati del tenant Microsoft Entra ID.
  • Se prevedi di mappare gli utenti in base all'indirizzo email, includi tutti i domini utilizzati negli indirizzi email. L'elenco dei domini potrebbe essere diverso dall'elenco dei domini personalizzati del tenant di Microsoft Entra ID.

Se prevedi di eseguire il provisioning di gruppi, modifica l'elenco dei domini DNS:

  • Se prevedi di mappare i gruppi in base all'indirizzo email, includi tutti i domini utilizzati negli indirizzi email dei gruppi. In caso di dubbi, includi tutti i domini personalizzati del tenant di Microsoft Entra ID.
  • Se prevedi di mappare i gruppi per nome, includi un sottodominio dedicato come groups.PRIMARY_DOMAIN, dove PRIMARY_DOMAIN è il nome di dominio principale del tuo account Cloud Identity o Google Workspace.

Ora che hai identificato l'elenco dei domini DNS, puoi registrare i domini mancanti. Per ogni dominio nell'elenco non ancora registrato, segui questi passaggi:

  1. Nella Console di amministrazione, vai ad Account > Domini > Gestisci domini.
  2. Fai clic su Aggiungi un dominio.
  3. Inserisci il nome di dominio e seleziona Dominio secondario.
  4. Fai clic su Aggiungi dominio e avvia la verifica e segui le istruzioni per verificare la proprietà del dominio.

Configurare il provisioning di Microsoft Entra ID

Crea un'applicazione aziendale

È tutto pronto per connettere Microsoft Entra ID al tuo account Cloud Identity o Google Workspace configurando l'app Google Cloud/G Suite Connector by Microsoft dal Marketplace di Microsoft Azure.

L'app Galleria può essere configurata per gestire sia il provisioning degli utenti sia il Single Sign-On. In questo documento vengono utilizzate due istanze dell'app Galleria: una per il provisioning degli utenti e una per il Single Sign-On.

Innanzitutto, crea un'istanza dell'app Galleria per gestire il provisioning degli utenti:

  1. Apri il portale di Azure e accedi come utente con privilegi di amministratore globale.
  2. Seleziona Microsoft Entra ID > Applicazioni aziendali.
  3. Fai clic su Nuova applicazione.
  4. Cerca Google Cloud, quindi fai clic sulla voce Google Cloud/G Suite Connector di Microsoft nell'elenco dei risultati.
  5. Imposta il nome dell'applicazione su Google Cloud (Provisioning).
  6. Fai clic su Crea.
  7. L'aggiunta dell'applicazione potrebbe richiedere alcuni secondi. Dovresti quindi essere reindirizzato a una pagina intitolata Google Cloud (Provisioning) - Panoramica.
  8. Nel menu a sinistra, fai clic su Gestisci > Proprietà:
    1. Imposta Attivato per l'accesso dagli utenti su No.
    2. Imposta Compito obbligatorio su No.
    3. Imposta Visibile agli utenti su No.
    4. Fai clic su Salva.

  9. Nel menu a sinistra, fai clic su Gestisci > Provisioning:

    1. Fai clic su Inizia.
    2. Imposta Modalità di provisioning su Automatica.
    3. Fai clic su Credenziali di amministrazione > Autorizza.

    4. Accedi utilizzando l'utente azuread-provisioning@DOMAIN creato in precedenza, dove DOMAIN è il dominio principale del tuo account Cloud Identity o Google Workspace.

    5. Poiché è la prima volta che accedi utilizzando questo utente, ti viene chiesto di accettare i Termini di servizio e le norme sulla privacy di Google.

    6. Se accetti i termini, fai clic su Ho capito.

    7. Conferma l'accesso all'API Cloud Identity facendo clic su Consenti.

    8. Fai clic su Test Connection (Verifica connessione) per verificare che Microsoft Entra ID possa eseguire correttamente l'autenticazione con Cloud Identity o Google Workspace.

    9. Fai clic su Salva.

Configurare il provisioning degli utenti

Il modo corretto per configurare il provisioning degli utenti dipende dalla tua intenzione di mappare gli utenti tramite indirizzo email o UPN.

UPN

  1. In Mappature, fai clic su Esegui il provisioning degli utenti Entra ID.
  2. Per gli attributi surname e givenName:
    1. Fai clic su Modifica.
    2. Imposta Valore predefinito se null su _.
    3. Fai clic su Ok.
  3. Fai clic su Salva.
  4. Fai clic su Sì per confermare che il salvataggio delle modifiche comporterà la risincronizzazione di utenti e gruppi.
  5. Fai clic sulla X per chiudere la finestra di dialogo Mappatura attributi.

UPN: sostituzione del dominio

  1. In Mappature, fai clic su Esegui il provisioning degli utenti Entra ID.

  2. Per l'attributo userPrincipalName:

    1. Fai clic su Modifica.

    2. Configura la mappatura seguente:

      • Tipo di mappatura: Espressione

      • Espressione:

        Replace([userPrincipalName], "@DOMAIN", , , "@SUBSTITUTE_DOMAIN", , )

      Sostituisci quanto segue:

      • DOMAIN: nome di dominio da sostituire
      • Nome di dominio SUBSTITUTE_DOMAIN da utilizzare in alternativa

    3. Fai clic su Ok.

  3. Per gli attributi surname e givenName, procedi nel seguente modo:

    1. Fai clic su Modifica.
    2. Imposta Valore predefinito se null su _.
    3. Fai clic su Ok.

  4. Fai clic su Salva.

  5. Fai clic su Sì per confermare che il salvataggio delle modifiche comporterà la risincronizzazione di utenti e gruppi.

  6. Fai clic sulla X per chiudere la finestra di dialogo Mappatura attributi.

Indirizzo email

  1. In Mappature, fai clic su Esegui il provisioning degli utenti Entra ID.
  2. Per l'attributo userPrincipalName, segui questi passaggi:
    1. Fai clic su Modifica.
    2. Imposta Attributo origine su mail.
    3. Fai clic su Ok.
  3. Per gli attributi surname e givenName:
    1. Fai clic su Modifica.
    2. Imposta Valore predefinito se null su _.
    3. Fai clic su Ok.
  4. Fai clic su Salva.
  5. Fai clic su Sì per confermare che il salvataggio delle modifiche comporterà la risincronizzazione di utenti e gruppi.
  6. Fai clic sulla X per chiudere la finestra di dialogo Mappatura attributi.

Devi configurare le mappature per primaryEmail, name.familyName, name.givenName e suspended. Tutte le altre mappature degli attributi sono facoltative.

Quando configuri mapping di attributi aggiuntivi, tieni presente quanto segue:

  • Attualmente la galleria Google Cloud/G Suite Connector di Microsoft non consente di assegnare alias email.
  • Attualmente la galleria Google Cloud/G Suite Connector di Microsoft non consente di assegnare licenze agli utenti. Come soluzione alternativa, valuta la possibilità di impostare l'assegnazione automatica delle licenze per le unità organizzative.
  • Per assegnare un utente a un'unità organizzativa, aggiungi una mappatura per OrgUnitPath. Il percorso deve iniziare con un carattere / e deve fare riferimento a un'unità organizzativa già esistente, ad esempio /employees/engineering.

Configurare il provisioning dei gruppi

Il modo giusto per configurare il provisioning dei gruppi dipende dall'abilitazione o meno della posta dei gruppi. Se i gruppi non sono abilitati alla posta o se utilizzano un indirizzo email che termina con "onmicrosoft.com", puoi ricavare un indirizzo email dal nome del gruppo.

Nessuna mappatura dei gruppi

  1. In Mappature, fai clic su Esegui il provisioning di gruppi di ID Entra.
  2. Imposta Attivato su No.
  3. Fai clic su Salva.
  4. Fai clic su Sì per confermare che il salvataggio delle modifiche comporterà la risincronizzazione di utenti e gruppi.
  5. Fai clic sulla X per chiudere la finestra di dialogo Mappatura attributi.

Nome

  1. Nella sezione Mappature, fai clic su Esegui il provisioning di gruppi di ID Entra.
  2. Per l'attributo mail, procedi nel seguente modo:
    1. Fai clic su Modifica.
    2. Configura le seguenti impostazioni:
      1. Tipo di mappatura: Espressione.
      2. Espressione: Join("@", NormalizeDiacritics(StripSpaces([displayName])), "GROUPS_DOMAIN"). Sostituisci GROUPS_DOMAIN con il dominio che tutti gli indirizzi email del gruppo dovrebbero utilizzare, ad esempio groups.example.com.
      3. Attributo di destinazione: email.
    3. Fai clic su Ok.
  3. Fai clic su Salva.
  4. Fai clic su Sì per confermare che il salvataggio delle modifiche comporterà la risincronizzazione di utenti e gruppi.
  5. Fai clic sulla X per chiudere la finestra di dialogo Mappatura attributi.

Indirizzo email

  • Se mappi i gruppi in base all'indirizzo email, mantieni le impostazioni predefinite.

Configura assegnazione utenti

Se sai che solo un determinato sottoinsieme di utenti ha bisogno di accedere a Google Cloud, puoi facoltativamente limitare l'insieme di utenti di cui eseguire il provisioning assegnando l'app aziendale a utenti o gruppi di utenti specifici.

Se vuoi che venga eseguito il provisioning di tutti gli utenti, puoi saltare i passaggi seguenti.

  1. Nel menu a sinistra, fai clic su Gestisci > Utenti e gruppi.
  2. Aggiungi gli utenti o i gruppi di cui vuoi eseguire il provisioning. Se selezioni un gruppo, viene eseguito automaticamente il provisioning di tutti i membri del gruppo.
  3. Fai clic su Assegna.

Attiva il provisioning automatico

Il passaggio successivo consiste nel configurare Microsoft Entra ID in modo da eseguire automaticamente il provisioning degli utenti su Cloud Identity o Google Workspace:

  1. Nel menu a sinistra, fai clic su Gestisci > Provisioning.
  2. Seleziona Modifica provisioning.
  3. Imposta Provisioning Status (Stato del provisioning) su On (Attivo).

  4. In Impostazioni, imposta Ambito su una delle seguenti:

    1. Sincronizza solo gli utenti e i gruppi assegnati se hai configurato l'assegnazione utente.
    2. Sincronizza tutti gli utenti e i gruppi.

    Se questa casella per impostare l'ambito non è visualizzata, fai clic su Salva e aggiorna la pagina.

  5. Fai clic su Salva.

Microsoft Entra ID avvia una sincronizzazione iniziale. A seconda del numero di utenti e gruppi nella directory, questo processo può richiedere diversi minuti o ore. Puoi aggiornare la pagina del browser per vedere lo stato della sincronizzazione in fondo alla pagina o selezionare Audit log nel menu per visualizzare ulteriori dettagli.

Al termine della sincronizzazione iniziale, Microsoft Entra ID proporrà periodicamente gli aggiornamenti da Microsoft Entra ID al tuo account Cloud Identity o Google Workspace. Per ulteriori dettagli su come Microsoft Entra ID gestisce le modifiche di utenti e gruppi, consulta Mappare il ciclo di vita dell'utente e Mappare il ciclo di vita di un gruppo.

Risoluzione dei problemi

Se la sincronizzazione non viene avviata entro cinque minuti, puoi forzarne l'avvio nel seguente modo:

  1. Fai clic su Modifica provisioning.
  2. Imposta Provisioning Status (Stato del provisioning) su Off (Disattivato).
  3. Fai clic su Salva.
  4. Imposta Provisioning Status (Stato del provisioning) su On (Attivo).
  5. Fai clic su Salva.
  6. Chiudi la finestra di dialogo di provisioning.
  7. Fai clic su Riavvia provisioning.

Se la sincronizzazione continua a non avviarsi, fai clic su Verifica connessione per verificare che le credenziali siano state salvate correttamente.

Configura l'ID Microsoft Entra per il Single Sign-On

Sebbene venga eseguito automaticamente il provisioning di tutti gli utenti Microsoft Entra ID pertinenti su Cloud Identity o Google Workspace, non puoi ancora utilizzare questi utenti per accedere. Per consentire agli utenti di accedere, devi comunque configurare il Single Sign-On.

Crea un profilo SAML

Per configurare il Single Sign-On con Microsoft Entra ID, devi prima creare un profilo SAML nel tuo account Cloud Identity o Google Workspace. Il profilo SAML contiene le impostazioni relative al tenant di Microsoft Entra ID, tra cui l'URL e il certificato di firma.

In seguito, assegnerai il profilo SAML a determinati gruppi o unità organizzative.

Per creare un nuovo profilo SAML nel tuo account Cloud Identity o Google Workspace, segui questi passaggi:

  1. Nella Console di amministrazione, vai a SSO con IdP di terze parti.

    Vai a SSO con un IdP di terze parti

  2. Fai clic su Profili SSO di terze parti > Aggiungi profilo SAML.

  3. Nella pagina Profilo SSO SAML, inserisci le seguenti impostazioni:

    • Nome: Entra ID
    • IDP entità ID: lascia vuoto
    • URL pagina di accesso: lascia vuoto
    • URL della pagina di uscita:: lascia vuoto
    • Modifica URL della password: lascia vuoto

    Non caricare ancora un certificato di verifica.

  4. Fai clic su Salva.

    La pagina Profilo SSO SAML visualizzata contiene due URL:

    • ID entità
    • URL ACS

    Questi URL saranno necessari nella sezione successiva, quando configuri l'ID Microsoft Entra.

Crea un'applicazione Microsoft Entra ID

Crea una seconda applicazione aziendale per gestire il Single Sign-On:

  1. Nel portale di Azure, vai a Microsoft Entra ID > Applicazioni Enterprise.
  2. Fai clic su Nuova applicazione.
  3. Cerca Google Cloud, quindi fai clic su Google Cloud/G Suite Connector di Microsoft nell'elenco dei risultati.
  4. Imposta il nome dell'applicazione su Google Cloud.

  5. Fai clic su Crea.

    L'aggiunta dell'applicazione potrebbe richiedere alcuni secondi. Si aprirà una pagina intitolata Google Cloud - Panoramica.

  6. Nel menu a sinistra, fai clic su Gestisci > Proprietà.

  7. Imposta Abilitato per l'accesso degli utenti su Sì.

  8. Imposta Compito obbligatorio su Sì a meno che tu non voglia consentire a tutti gli utenti di utilizzare il Single Sign-On.

  9. Fai clic su Salva.

Configura assegnazione utenti

Se sai già che solo un determinato sottoinsieme di utenti ha bisogno di accedere a Google Cloud, puoi facoltativamente limitare il gruppo di utenti a cui consentire l'accesso assegnando l'app aziendale a utenti o gruppi di utenti specifici.

Se imposti Assegnazione utente obbligatoria su No prima, puoi saltare i seguenti passaggi.

  1. Nel menu a sinistra, fai clic su Gestisci > Utenti e gruppi.
  2. Aggiungi gli utenti o i gruppi per i quali vuoi consentire il Single Sign-On.
  3. Fai clic su Assegna.

Abilita Single Sign-On

Per consentire a Cloud Identity di utilizzare Microsoft Entra ID per l'autenticazione, devi modificare alcune impostazioni:

  1. Nel menu a sinistra, fai clic su Gestisci > Single Sign-On.
  2. Nella schermata elettorale, fai clic sulla scheda SAML.
  3. Nella scheda Configurazione SAML di base, fai clic su Modifica.

  4. Nella finestra di dialogo Configurazione SAML di base, inserisci le seguenti impostazioni:

    1. Identificatore (ID entità):
      • Aggiungi l'URL entità dal tuo profilo SSO e imposta Predefinito su attivato.
      • Rimuovi tutte le altre voci.
    2. URL di risposta: aggiungi l'URL ACS dal tuo profilo SSO.

    3. URL di accesso:

      https://www.google.com/a/PRIMARY_DOMAIN/ServiceLogin?continue=https://console.cloud.google.com/

      Sostituisci PRIMARY_DOMAIN con il nome di dominio principale utilizzato dal tuo account Cloud Identity o Google Workspace.

  5. Fai clic su Salva, quindi chiudi la finestra di dialogo facendo clic sulla X.

  6. Nella scheda Certificato di firma SAML, individua la voce Certificato (Base 64) e fai clic su Scarica per scaricare il certificato sul tuo computer locale.

  7. Nella scheda Configura Google Cloud, sono disponibili due URL:

    • URL di accesso
    • Identificatore ID Microsoft Entra

    Questi URL saranno necessari nella prossima sezione, una volta completato il profilo SAML.

I passaggi rimanenti variano a seconda che tu esegua la mappatura degli utenti tramite indirizzo email o UPN.

UPN

  1. Nella scheda Attributi e rivendicazioni, fai clic su Modifica.

  2. Elimina tutte le rivendicazioni elencate in Rivendicazioni aggiuntive. Puoi eliminare i record facendo clic sul pulsante … e selezionando ….

    L'elenco di attributi e rivendicazioni è simile al seguente:

    Finestra di dialogo Attributi utente e rivendicazioni.

  3. Chiudi la finestra di dialogo facendo clic sulla X.

UPN: sostituzione del dominio

  1. Nella scheda Attributi e rivendicazioni dell'utente, fai clic su Modifica.

  2. Elimina tutte le rivendicazioni elencate in Rivendicazioni aggiuntive. Puoi eliminare i record facendo clic sul pulsante … e selezionando ….

    L'elenco di attributi e rivendicazioni è simile al seguente:

    Finestra di dialogo Attributi utente e rivendicazioni.

  3. Fai clic su Identificatore univoco (ID nome) per modificare la mappatura delle rivendicazioni.

  4. Imposta Origine su Trasformazione e configura la seguente trasformazione:

    • Trasformazione: ExtractMailPrefix()
    • Parametro 1: user.userPrincipalName

  5. Seleziona Aggiungi trasformazione e configura la trasformazione seguente:

    • Trasformazione: Join()
    • Separatore: @
    • Parametro 2: inserisci il nome di dominio sostitutivo.

    Devi utilizzare lo stesso nome di dominio sostitutivo per il provisioning degli utenti e il Single Sign-On. Se il nome di dominio non è presente nell'elenco, potresti dover prima verificarlo .

  6. Fai clic su Aggiungi.

  7. Fai clic su Salva.

  8. Chiudi la finestra di dialogo facendo clic sulla X.

Indirizzo email

  1. Nella scheda Attributi e rivendicazioni dell'utente, fai clic su Modifica.
  2. Seleziona la riga denominata Identificatore univoco (ID nome).
  3. Modifica Attributo di origine in user.mail.
  4. Fai clic su Salva.

  5. Elimina tutte le rivendicazioni elencate in Rivendicazioni aggiuntive. Per eliminare tutti i record, fai clic su , quindi su Elimina.

    Finestra di dialogo Attributi utente e rivendicazioni.

  6. Chiudi la finestra di dialogo facendo clic su .

Completa il profilo SAML

Completa la configurazione del tuo profilo SAML:

  1. Torna alla Console di amministrazione e vai a Sicurezza > Autenticazione > SSO con IdP di terze parti.

    Vai a SSO con un IdP di terze parti

  2. Apri il profilo SAML Entra ID che hai creato in precedenza.

  3. Fai clic sulla sezione Dettagli IdP per modificare le impostazioni.

  4. Inserisci le seguenti impostazioni:

    • ID entità IdP: inserisci l'identificatore Microsoft Entra nella scheda Configura Google Cloud nel Portale Azure.
    • URL pagina di accesso: inserisci l'URL di accesso dalla scheda Configura Google Cloud nel Portale Azure.
    • URL della pagina di uscita: https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0
    • URL per la modifica della password: https://account.activedirectory.windowsazure.com/changepassword.aspx

  5. In Certificato di verifica, fai clic su Carica certificato, quindi scegli il certificato di firma del token che hai scaricato in precedenza.

  6. Fai clic su Salva.

Il certificato di firma del token ID Microsoft Entra ID è valido per un periodo di tempo limitato e devi ruotarlo prima che scada. Per ulteriori informazioni, vedi Ruotare un certificato Single Sign-On più avanti in questo documento.

Il tuo profilo SAML è completo, ma devi ancora assegnarlo.

Assegna il profilo SAML

Seleziona gli utenti a cui deve essere applicato il nuovo profilo SAML:

  1. Nella pagina SSO con IdP di terze parti della Console di amministrazione, fai clic su Gestisci le assegnazioni dei profili SSO > Gestisci.

    Vai a Gestisci assegnazioni dei profili SSO

  2. Nel riquadro a sinistra, seleziona il gruppo o l'unità organizzativa a cui vuoi applicare il profilo SSO. Per applicare il profilo a tutti gli utenti, seleziona l'unità organizzativa principale.

  3. Nel riquadro a destra, seleziona Un altro profilo SSO.

  4. Nel menu, seleziona il profilo SSO Entra ID - SAML che hai creato in precedenza.

  5. Fai clic su Salva.

Per assegnare il profilo SAML a un altro gruppo o a un'altra unità organizzativa, ripeti i passaggi precedenti.

Aggiorna le impostazioni SSO per l'UO Automation per disabilitare il Single Sign-On:

  1. Nel riquadro a sinistra, seleziona l'UO Automation.
  2. Nel riquadro a destra, seleziona Nessuno.
  3. Fai clic su Sostituisci.

(Facoltativo) Configurare i reindirizzamenti per gli URL di servizi specifici del dominio

Quando esegui il collegamento alla console Google Cloud da portali o documenti interni, puoi migliorare l'esperienza utente utilizzando URL di servizio specifici del dominio.

A differenza dei normali URL di servizio come https://console.cloud.google.com/, gli URL di servizi specifici del dominio includono il nome del tuo dominio principale. Gli utenti non autenticati che fanno clic su un link all'URL di un servizio specifico di un dominio vengono reindirizzati immediatamente ad Entra ID, anziché visualizzare prima una pagina di accesso di Google.

Ecco alcuni esempi di URL di servizi specifici del dominio:

Servizio Google URL Logo
Console Google Cloud https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://console.cloud.google.com Logo Google Cloud
Documenti Google https://docs.google.com/a/DOMAIN Logo di Documenti Google
Fogli Google https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://sheets.google.com Logo di Fogli Google
Google Sites https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://slides.google.com Logo di Google Sites
Google Drive https://drive.google.com/a/DOMAIN Logo di Google Drive
Gmail https://mail.google.com/a/DOMAIN Logo di Gmail
Google Gruppi https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://groups.google.com Logo di Google Gruppi
Google Keep https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://keep.google.com Logo di Google Keep
Looker Studio https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://lookerstudio.google.com Logo di Looker Studio

Per configurare gli URL di servizio specifici del dominio in modo che reindirizzino all'ID Entra, segui questi passaggi:

  1. Nella pagina SSO con IdP di terze parti della Console di amministrazione, fai clic su URL di servizio specifici del dominio > Modifica.

    Vai agli URL di servizio specifici del dominio

  2. Imposta Reindirizza automaticamente gli utenti all'IdP di terze parti nel seguente profilo SSO su attivato.

  3. Imposta il profilo SSO su Entra ID.

  4. Fai clic su Salva.

(Facoltativo) Configurare le verifiche dell'accesso

Accedi con Google potrebbe chiedere agli utenti di effettuare ulteriori verifiche quando accedono da dispositivi sconosciuti o quando il loro tentativo di accesso sembra sospetto per altri motivi. Queste verifiche dell'accesso migliorano la sicurezza e ti consigliamo di lasciarle attivate.

Se noti che le verifiche dell'accesso causano troppi problemi, puoi disattivarle nel seguente modo:

  1. Nella Console di amministrazione, vai a Sicurezza > Autenticazione > Verifiche dell'accesso.
  2. Nel riquadro a sinistra, seleziona un'unità organizzativa per la quale vuoi disattivare le verifiche dell'accesso. Per disattivare le verifiche dell'accesso per tutti gli utenti, seleziona l'unità organizzativa principale.
  3. In Impostazioni per gli utenti che accedono utilizzando altri profili SSO, seleziona Non chiedere agli utenti verifiche aggiuntive da Google.
  4. Fai clic su Salva.

Testa il Single Sign-On

Ora che hai completato la configurazione Single Sign-On sia in Microsoft Entra ID che in Cloud Identity o Google Workspace, puoi accedere a Google Cloud in due modi:

Per verificare che la seconda opzione funzioni come previsto, esegui il test seguente:

  1. Scegli un utente Microsoft Entra ID di cui è stato eseguito il provisioning in Cloud Identity o Google Workspace e a cui non sono stati assegnati i privilegi di super amministratore. Gli utenti con privilegi di super amministratore devono sempre accedere utilizzando le credenziali Google e pertanto non sono idonei per testare il Single Sign-On.
  2. Apri una nuova finestra del browser e vai all'indirizzo https://console.cloud.google.com/.

  3. Nella pagina Accedi con Google visualizzata, inserisci l'indirizzo email dell'utente e fai clic su Avanti. Se utilizzi la sostituzione del dominio, questo indirizzo deve essere l'indirizzo email a cui è stata applicata la sostituzione.

    Finestra di dialogo Accedi con Google.

  4. Ti reindirizzeremo a Microsoft Entra ID e vedrai un'altra richiesta di accesso. Inserisci l'indirizzo email dell'utente (senza sostituzione del dominio) e fai clic su Avanti.

    Finestra di dialogo di accesso a Microsoft Entra ID.

  5. Dopo aver inserito la password, ti verrà chiesto se mantenere l'accesso o meno. Per il momento scegli No.

    Dopo l'autenticazione, Microsoft Entra ID dovrebbe reindirizzarti di nuovo ad Accedi con Google. Poiché è la prima volta che accedi utilizzando questo utente, ti viene chiesto di accettare i Termini di servizio e le norme sulla privacy di Google.

  6. Se accetti i termini, fai clic su Ho capito.

    Si aprirà la console Google Cloud, in cui ti verrà chiesto di confermare le preferenze e accettare i Termini di servizio di Google Cloud.

  7. Se accetti i termini, scegli Sì e fai clic su Accetta e continua.

  8. Fai clic sull'icona dell'avatar in alto a sinistra nella pagina, quindi fai clic su Esci.

    Verrà visualizzata una pagina Microsoft Entra ID in cui ti verrà confermata la disconnessione.

Tieni presente che gli utenti con privilegi di super amministratore sono esenti dal Single Sign-On, pertanto puoi comunque utilizzare la Console di amministrazione per verificare o modificare le impostazioni.

Ruotare un certificato Single Sign-On

Il certificato di firma del token ID Microsoft Entra ID è valido solo per diversi mesi e devi sostituirlo prima che scada.

Per ruotare un certificato di firma, aggiungine uno aggiuntivo all'applicazione Microsoft Entra ID:

  1. Nel portale Azure, vai ad Microsoft Entra ID > Applicazioni Enterprise e apri l'applicazione che hai creato per il Single Sign-On.
  2. Nel menu a sinistra, fai clic su Gestisci > Single Sign-On.

  3. Nella scheda SAML Signing Certificate (Certificato di firma SAML), fai clic su Edit (Modifica).

    Viene visualizzato un elenco di uno o più certificati. Un certificato è contrassegnato come Attivo.

  4. Fai clic su Nuovo certificato.

  5. Mantieni le impostazioni di firma predefinite e fai clic su Salva.

    Il certificato viene aggiunto all'elenco dei certificati ed è contrassegnato come Non attivo.

  6. Seleziona il nuovo certificato e fai clic su  > Download del certificato Base64.

    Tieni aperta la finestra del browser e non chiuderla.

Per utilizzare il nuovo certificato:

  1. Apri una nuova scheda o finestra del browser.

  2. Apri la Console di amministrazione e vai a SSO con IdP di terze parti.

    Vai a SSO con un IdP di terze parti

  3. Apri il profilo SAML Entra ID.

  4. Fai clic su Dettagli IdP.

  5. Fai clic su Carica un altro certificato e seleziona il nuovo certificato che hai scaricato in precedenza.

  6. Fai clic su Salva.

  7. Torna al portale Microsoft Entra ID e alla finestra di dialogo Certificato di firma SAML.

  8. Seleziona il nuovo certificato e fai clic su  > Attiva il certificato.

  9. Fai clic su Sì per attivare il certificato.

    Microsoft Entra ID ora utilizza il nuovo certificato di firma.

  10. Verifica che l'accesso SSO continui a funzionare come previsto. Per maggiori informazioni, consulta Testare il Single Sign-On.

Per rimuovere il certificato precedente:

  1. Torna alla Console di amministrazione e al profilo SAML Entra ID.
  2. Fai clic su Dettagli IdP.
  3. In Certificato di verifica, confronta le date di scadenza dei certificati per trovare il certificato precedente e fai clic su .
  4. Fai clic su Salva.

Esegui la pulizia

Per evitare che al tuo Account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Per disattivare il Single Sign-On nel tuo account Cloud Identity o Google Workspace, segui questi passaggi:

  1. Nella Console di amministrazione, vai a Gestire le assegnazioni dei profili SSO.

    Vai a Gestisci assegnazioni dei profili SSO

  2. Per ogni assegnazione di un profilo, segui questi passaggi:

    1. Apri il profilo.
    2. Se viene visualizzato il pulsante Eredita, fai clic su Eredita. Se non vedi il pulsante Eredita, seleziona Nessuno e fai clic su Salva.

  3. Torna alla pagina SSO con IdP di terze parti e apri il profilo SAML Microsoft Entra ID.

  4. Fai clic su Elimina.

Puoi rimuovere le impostazioni Single Sign-On e provisioning in Microsoft Entra ID come segue:

  1. Nel portale di Azure, vai a Microsoft Entra ID > Applicazioni Enterprise.
  2. Dall'elenco delle applicazioni, scegli Google Cloud.
  3. Nel menu a sinistra, fai clic su Gestisci > Single Sign-On.
  4. Fai clic su Elimina.
  5. Conferma l'eliminazione facendo clic su Sì.

Passaggi successivi