Provisioning degli utenti di Okta e Single Sign-On

Last reviewed 2025-01-08 UTC

Questo documento mostra come configurare il provisioning degli utenti e il Single Sign-On tra un'organizzazione Okta e il tuo account Cloud Identity o Google Workspace.

Il documento presuppone che tu stia già utilizzando Okta nella tua organizzazione e che tu voglia utilizzarlo per consentire agli utenti di autenticarsi con Google Cloud.

  • Configura Okta per eseguire automaticamente il provisioning degli utenti e, facoltativamente, dei gruppi in Cloud Identity o Google Workspace.
  • Configura il Single Sign-On per consentire agli utenti di accedere a Google Cloud utilizzando un account utente Okta.

Costi

Se utilizzi la versione gratuita di Cloud Identity, la configurazione della federazione con Okta non utilizzerà alcun componente fatturabile di Google Cloud.

Consulta la pagina dei prezzi di Okta per eventuali commissioni che potrebbero essere applicate all'utilizzo di Okta.

Prima di iniziare

Preparazione dell'account Cloud Identity o Google Workspace

Creare un utente per Okta

Per consentire a Okta di accedere al tuo account Cloud Identity o Google Workspace, devi creare un utente per Okta nel tuo account Cloud Identity o Google Workspace.

L'utente Okta è destinato solo al provisioning automatico. Pertanto, è meglio mantenerlo distinto dagli altri account utente inserendolo in un'unità organizzativa (OU) distinta. L'utilizzo di un'OU separata ti consente inoltre di disattivare il Single Sign-On per l'utente Okta in un secondo momento.

Per creare una nuova OU:

  1. Apri la Console di amministrazione e accedi utilizzando l'utente super amministratore creato quando hai eseguito la registrazione a Cloud Identity o Google Workspace.
  2. Nel menu, vai a Directory > Unità organizzative.
  3. Fai clic su Crea unità organizzativa e fornisci un nome e una descrizione per l'UO:
    • Nome: Automation
    • Descrizione: Automation users
  4. Fai clic su Crea.

Crea un account utente per Okta e inseriscilo nell'unità organizzativa Automation:

  1. Nel menu, vai a Directory > Utenti e fai clic su Aggiungi nuovo utente per creare un utente.
  2. Fornisci un nome e un indirizzo email appropriati, ad esempio:

    • Nome: Okta
    • Cognome: Provisioning
    • Email principale: okta-provisioning

      Mantieni il dominio principale per l'indirizzo email.

  3. Fai clic su Gestisci la password, l'unità organizzativa e la foto del profilo dell'utente e configura le seguenti impostazioni:

    • Unità organizzativa: seleziona l'unità organizzativa Automation che hai creato in precedenza.
    • Password: seleziona Crea password e inserisci una password.
    • Richiedi di cambiare la password all'accesso successivo: Disattivata.
  4. Fai clic su Aggiungi nuovo utente.

  5. Fai clic su Fine.

Assegnare i privilegi a Okta

Per consentire a Okta di creare, elencare e sospendere utenti e gruppi nel tuo account Cloud Identity o Google Workspace, devi impostare l'utente okta-provisioning come super amministratore:

  1. Individua l'utente appena creato nell'elenco e fai clic sul suo nome per aprire la pagina del suo account.
  2. In Ruoli e privilegi di amministratore, fai clic su Assegna ruoli.
  3. Attiva il ruolo di super amministratore.
  4. Fai clic su Salva.

Configurazione del provisioning di Okta

Ora puoi collegare Okta al tuo account Cloud Identity o Google Workspace configurando l'applicazione Google Workspace dal catalogo di Okta.

L'applicazione Google Workspace può gestire sia il provisioning degli utenti sia l'accesso singolo. Utilizza questa applicazione anche se utilizzi Cloud Identity e hai intenzione di configurare il Single Sign-On solo per Google Cloud.

Crea un'applicazione

Per configurare l'applicazione Google Workspace:

  1. Apri la dashboard di amministrazione di Okta e accedi come utente con privilegi di super amministratore.
  2. Nel menu, vai a Applicazioni > Applicazioni.
  3. Fai clic su Sfoglia il catalogo di app.
  4. Cerca Google Workspace e seleziona l'applicazione Google Workspace.
  5. Fai clic su Aggiungi integrazione.
  6. Nella pagina Impostazioni generali, configura quanto segue:

    • Etichetta applicazione: Google Cloud
    • Il dominio aziendale Google Apps: il nome del dominio principale utilizzato dal tuo account Cloud Identity o Google Workspace.
    • Mostra i seguenti link:

      • Imposta Account su Attivato.
      • Imposta gli altri link su Attivato se utilizzi Google Workspace, altrimenti impostali su Disattivato.
    • Visibilità dell'applicazione: imposta su Attivata se utilizzi Google Workspace, Disattivata in caso contrario

    • Invio automatico dei plug-in del browser: impostato su Disattivato

  7. Fai clic su Avanti.

  8. Nella pagina Opzioni di accesso, configura quanto segue:

    • Metodi di accesso: seleziona SAML 2.0.
    • Stato di inoltro predefinito: lascia vuoto
    • Impostazioni di accesso avanzate > RPID: lascia vuoto
  9. Decidi come compilare l'indirizzo email principale per gli utenti in Cloud Identity o Google Workspace. L'indirizzo email principale di un utente deve utilizzare il dominio principale del tuo account Cloud Identity o Google Workspace o uno dei suoi domini secondari.

    Per utilizzare il nome utente di Okta dell'utente come indirizzo email principale, utilizza le seguenti impostazioni:

    • Formato del nome utente dell'applicazione: Nome utente Okta
    • Aggiorna il nome utente dell'applicazione in: Crea e aggiorna.

    Per utilizzare il nome utente di Okta dell'utente come indirizzo email principale, utilizza le seguenti impostazioni:

    • Formato del nome utente dell'applicazione: Email
    • Aggiorna il nome utente dell'applicazione in: Crea e aggiorna.
  10. Fai clic su Fine.

Configurare il provisioning degli utenti

In questa sezione, configuri Okta per eseguire automaticamente il provisioning di utenti e gruppi inGoogle Cloud.

  1. Nella pagina delle impostazioni dell'applicazione Google Cloud, apri la scheda Provisioning.
  2. Fai clic su Configura l'integrazione dell'API e configura quanto segue:

    • Attiva l'integrazione dell'API: impostato su abilitata
    • Importa gruppi: impostato su Disattivato, a meno che non esistano gruppi in Cloud Identity o Google Workspace che vuoi importare in Okta
  3. Fai clic su Autentica con Google Workspace.

  4. Accedi utilizzando l'utente okta-provisioning@DOMAIN che hai creato in precedenza, dove DOMAIN è il dominio principale del tuo account Cloud Identity o Google Workspace.

  5. Leggi i Termini di servizio e le Norme sulla privacy di Google. Se accetti i termini, fai clic su Ho capito.

  6. Conferma l'accesso all'API Cloud Identity facendo clic su Consenti.

  7. Fai clic su Salva.

Okta è collegato al tuo account Cloud Identity o Google Workspace, ma il provisioning è ancora disattivato. Per attivare il provisioning:

  1. Nella pagina delle impostazioni dell'applicazione Google Cloud, apri la scheda Provisioning.
  2. Fai clic su Modifica e configura quanto segue:

    • Crea utenti: impostato su Attivato
    • Aggiorna gli attributi utente: impostato su abilitato
    • Disattiva gli utenti: impostato su Attivato
    • Sincronizza password: impostato su Disattivata
  3. Se vuoi, fai clic su Vai all'editor del profilo per personalizzare le mappature degli attributi.

    Se utilizzi mappature personalizzate, devi mappare userName, nameGivenName e nameFamilyName. Tutte le altre mappature degli attributi sono facoltative.

  4. Fai clic su Salva.

Configurare l'assegnazione degli utenti

In questa sezione, configura gli utenti di Okta di cui eseguire il provisioning in Cloud Identity o Google Workspace:

  1. Nella pagina delle impostazioni dell'applicazione Google Cloud, apri la scheda Compiti.
  2. Fai clic su Assegna > Assegna a persone o su Assegna > Assegna a gruppi.
  3. Seleziona un utente o un gruppo e fai clic su Assegna.
  4. Nella finestra di dialogo dell'assegnazione visualizzata, mantieni le impostazioni predefinite e fai clic su Salva e torna indietro.
  5. Fai clic su Fine.

Ripeti i passaggi di questa sezione per ogni utente o gruppo di cui vuoi eseguire il provisioning. Per eseguire il provisioning di tutti gli utenti in Cloud Identity o Google Workspace, assegna il gruppo Tutti.

Configurare l'assegnazione di gruppo

Facoltativamente, puoi consentire a Okta di eseguire il provisioning dei gruppi in Cloud Identity o Google Workspace. Anziché selezionare i gruppi singolarmente, è meglio configurare Okta per eseguire il provisioning dei gruppi in base a una convenzione di denominazione.

Ad esempio, per consentire a Okta di eseguire il provisioning di tutti i gruppi che iniziano con google-cloud, procedi nel seguente modo:

  1. Nella pagina delle impostazioni dell'applicazione Google Cloud, apri la scheda Gruppi push.
  2. Fai clic su Gruppi push > Trova gruppi per ruolo.
  3. Nella pagina Push groups by rule (Esegui push dei gruppi in base alla regola), configura la seguente regola:

    • Nome regola: il nome del ruolo, ad esempio Google Cloud.
    • Nome del gruppo: inizia con google-cloud
  4. Fai clic su Crea regola.

Risoluzione dei problemi

Per risolvere i problemi di provisioning degli utenti o dei gruppi, fai clic su Visualizza log nella pagina delle impostazioni dell'applicazione Google Cloud.

Per consentire a Okta di riprovare un tentativo di provisioning degli utenti non riuscito, procedi nel seguente modo:

  1. Vai a Dashboard > Attività.
  2. Trova l'attività non riuscita e apri i dettagli.
  3. Nella pagina dei dettagli, fai clic su Riprova elementi selezionati.

Configurazione di Okta per il Single Sign-On

Se hai seguito i passaggi per configurare il provisioning di Okta, ora viene eseguito automaticamente il provisioning di tutti gli utenti Okta pertinenti in Cloud Identity o Google Workspace. Per consentire a questi utenti di accedere, configura Single Sign-On:

  1. Nella pagina delle impostazioni dell'applicazione Google Cloud, apri la scheda Accesso.
  2. Fai clic su SAML 2.0 > Ulteriori dettagli.
  3. Fai clic su Scarica per scaricare il certificato di firma.
  4. Prendi nota dei valori URL di accesso, URL di uscita ed Emittente, che ti serviranno in uno dei passaggi successivi.

Creare un profilo SAML

Crea un profilo SAML nel tuo account Cloud Identity o Google Workspace:

  1. Torna alla Console di amministrazione e vai a SSO con provider di identità di terze parti.

    Passare al SSO con IdP di terze parti

  2. Fai clic su Profili SSO di terze parti > Aggiungi profilo SAML.

  3. Nella pagina Profilo SSO SAML, inserisci le seguenti impostazioni:

    • Nome: Okta
    • ID entità IdP: inserisci l'Issuer (Emittente) dalla dashboard di amministrazione di Okta.
    • URL pagina di accesso: inserisci l'URL di accesso dalla dashboard di amministrazione di Okta.
    • URL della pagina di uscita: inserisci l'URL di uscita dalla dashboard di amministrazione di Okta.
    • URL per la modifica della password:: https://ORGANIZATION.okta.com/enduser/settings dove ORGANIZATION è il nome della tua organizzazione Okta.
  4. Nella sezione Certificato di verifica, fai clic su Carica certificato, quindi scegli il certificato di firma del token che hai scaricato in precedenza.

  5. Fai clic su Salva.

    La pagina Profilo SSO SAML visualizzata contiene un ID entità nel formato https://accounts.google.com/samlrp/RPID, dove RPID è un ID univoco.

    Prendi nota del valore RPID. Ti servirà nel passaggio successivo.

Assegna il profilo SAML

Seleziona gli utenti a cui applicare il nuovo profilo SAML:

  1. Nella Console di amministrazione, nella pagina SSO con IdP di terze parti, fai clic su Gestisci assegnazioni di profili SSO > Gestisci.

    Vai a Gestisci assegnazione di profili SSO

  2. Nel riquadro a sinistra, seleziona il gruppo o l'unità organizzativa per cui vuoi applicare il profilo SSO. Per applicare il profilo a tutti gli utenti, seleziona l'unità organizzativa principale.

  3. Nel riquadro a destra, nel menu, seleziona il profilo Okta - SAML SSO che hai creato in precedenza.

  4. Fai clic su Salva.

Per assegnare il profilo SAML a un altro gruppo o a un'altra unità organizzativa, ripeti i passaggi precedenti.

Aggiorna le impostazioni SSO per il gruppo di organizzazioni Automation per disattivare il Single Sign-On:

  1. Nel riquadro a sinistra, seleziona l'OU Automation.
  2. Modifica l'assegnazione del profilo SSO in Nessuno.
  3. Fai clic su Sostituisci.

Completa la configurazione SSO in Okta

Torna a Okta e completa la configurazione SSO:

  1. Nella dashboard di amministrazione di Okta, nella pagina delle impostazioni dell'applicazione Google Cloud, apri la scheda Accesso.
  2. Fai clic su Modifica e aggiorna le seguenti impostazioni:

    • Impostazioni di accesso avanzate > RPID: inserisci l'RPID che hai copiato dalla Console di amministrazione.
  3. Fai clic su Salva.

(Facoltativo) Configura le verifiche dell'accesso

L'accesso con Google potrebbe richiedere agli utenti un'ulteriore verifica quando accedono da dispositivi sconosciuti o quando il loro tentativo di accesso sembra sospetto per altri motivi. Queste verifiche dell'accesso contribuiscono a migliorare la sicurezza e ti consigliamo di lasciarle abilitate.

Se ritieni che le verifiche dell'accesso causino troppi disagi, puoi disattivarle nel seguente modo:

  1. Nella Console di amministrazione, vai a Sicurezza > Autenticazione > Verifiche dell'accesso.
  2. Nel riquadro a sinistra, seleziona un'unità organizzativa per cui vuoi disattivare le verifiche dell'accesso. Per disattivare le verifiche dell'accesso per tutti gli utenti, seleziona l'unità organizzativa principale.
  3. In Impostazioni per gli utenti che eseguono l'accesso con altri profili SSO, seleziona Non chiedere agli utenti ulteriori verifiche da parte di Google.
  4. Fai clic su Salva.

Aggiungere la console Google Cloud e altri servizi Google alla dashboard dell'app

Per aggiungere la console Google Cloud e, facoltativamente, altri servizi Google alla dashboard dell'app Okta degli utenti, segui questi passaggi:

  1. Nella dashboard di amministrazione di Okta, seleziona Applicazioni > Applicazioni.
  2. Fai clic su Sfoglia il catalogo di app.
  3. Cerca Bookmark app e seleziona l'applicazione App Preferiti.
  4. Fai clic su Aggiungi integrazione.
  5. Nella pagina Impostazioni generali, configura quanto segue:

    • Etichetta applicazione: Google Cloud console
    • URL: https://www.google.com/a/PRIMARY_DOMAIN/ServiceLogin?continue=https://console.cloud.google.com/, sostituire PRIMARY_DOMAIN con il nome di dominio primario utilizzato dal tuo account Cloud Identity o Google Workspace.
  6. Fai clic su Fine.

  7. Cambia il logo dell'applicazione con il logoGoogle Cloud .

  8. Apri la scheda Accedi.

  9. Fai clic su Autenticazione utente > Modifica e configura quanto segue:

    • Criteri di autenticazione: impostato su Dashboard Okta
  10. Fai clic su Salva.

  11. Apri la scheda Assegnazione e assegna uno o più utenti. Gli utenti assegnati visualizzano il link alla console Google Cloud nella propria dashboard utente.

Se vuoi, ripeti i passaggi precedenti per gli eventuali altri servizi Google che vuoi includere nelle dashboard degli utenti. La tabella seguente contiene gli URL e i loghi dei servizi Google di uso comune:

Servizio Google URL Logo
Console Google Cloud https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://console.cloud.google.com Logo Google Cloud
Documenti Google https://docs.google.com/a/DOMAIN Logo di Documenti Google
Fogli Google https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://sheets.google.com Logo di Fogli Google
Google Sites https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://slides.google.com Logo di Google Sites
Google Drive https://drive.google.com/a/DOMAIN Logo di Google Drive
Gmail https://mail.google.com/a/DOMAIN Logo di Gmail
Google Gruppi https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://groups.google.com Logo di Google Gruppi
Google Keep https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://keep.google.com Logo di Google Keep
Looker Studio https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://lookerstudio.google.com Logo di Looker Studio
YouTube https://www.google.com/a/DOMAIN/ServiceLogin?continue=https://www.youtube.com/ Logo YouTube

Testare il Single Sign-On

Dopo aver completato la configurazione dell'accesso singolo sia in Okta sia in Cloud Identity o Google Workspace, puoi accedere Google Cloud in due modi:

Per verificare che la seconda opzione funzioni come previsto, esegui il seguente test:

  1. Scegli un utente Okta di cui è stato eseguito il provisioning in Cloud Identity o Google Workspace e a cui non sono stati assegnati i privilegi di super amministratore. Gli utenti con privilegi di super amministratore devono sempre accedere utilizzando le credenziali di Google e pertanto non sono adatti per testare il Single Sign-On.
  2. Apri una nuova finestra del browser e vai all'indirizzo https://console.cloud.google.com/.
  3. Nella pagina di accesso a Google visualizzata, inserisci l'indirizzo email dell'utente e fai clic su Avanti.
  4. Verrà visualizzata un'altra richiesta di accesso. Inserisci l'indirizzo email dell'utente e segui i passaggi per l'autenticazione.

    Una volta completata l'autenticazione, Okta dovrebbe reindirizzarti nuovamente a Accesso Google. Poiché è la prima volta che accedi con questo utente, ti viene chiesto di accettare i Termini di servizio e le Norme sulla privacy di Google.

  5. Se accetti i termini, fai clic su Ho capito.

    Ti reindirizziamo alla console Google Cloud, dove ti viene chiesto di confermare le preferenze e accettare i Termini di servizio di Google Cloud.

  6. Se accetti i termini, scegli e fai clic su Accetta e continua.

  7. Fai clic sull'icona dell'avatar in alto a sinistra nella pagina, poi su Uscire.

    Verrà visualizzata una pagina di Okta che ti conferma che la disconnessione è andata a buon fine.

Tieni presente che gli utenti con privilegi di super amministratore sono esenti dal singolo accesso, quindi puoi comunque utilizzare la Console di amministrazione per verificare o modificare le impostazioni.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Passaggi successivi