本文档介绍了您在管理公司身份时可以参考的典型架构。公司身份管理的两个核心原则如下：
身份的权威来源，这是您为员工创建、管理和删除身份的唯一系统。权威来源系统中管理的身份可能会传播到其他系统。
中央身份提供商 (IdP)，这是唯一的身份验证系统，可为您的员工提供跨应用的单点登录体验。
使用 Google Cloud 或其他 Google 服务时，您必须决定要将哪个系统用作身份提供商，以及要将哪个系统用作权威来源。
将 Google 用作 IdP
通过使用 Cloud Identity 专业版或 Google Workspace，您可以将 Google 设置为您的主要 IdP。Google 为热门的第三方应用提供了大量现成可用的集成，您可以使用 SAML、OAuth 和 OpenID Connect 等标准协议集成您的自定义应用。
将 Google 用作 IdP 和权威来源
您可以将 Cloud Identity 专业版或 Google Workspace 用作 IdP 和权威来源，如下图所示。
- 您可以使用 Cloud Identity 专业版或 Google Workspace 来管理用户和群组。
- 所有 Google 服务都将 Cloud Identity 专业版或 Google Workspace 用作 IdP。
- 您可以配置公司应用和其他 SaaS 服务，将 Google 用作 IdP。
用户体验
在此配置中，对员工来说，登录用户体验如下所述：
- 在员工请求受保护的资源或对公司应用的访问权限时，系统会将其重定向到 Google 登录屏幕，提示他们输入电子邮件地址和密码。
- 如果启用了两步验证，系统会提示员工提供第二重身份验证，例如 USB 密钥或验证码。
- 员工通过身份验证后，系统会将其重定向回相应的受保护资源。
优势
将 Google 用作 IdP 和权威来源具有以下优势：
何时使用此架构
在以下情况下，请考虑将 Google 用作 IdP 和权威来源：
- 您已将 Google Workspace 用作您的协作和高效办公解决方案。
- 您没有必须要集成的现有本地基础架构或 IdP，或者您希望将其与 Google 上（Google Cloud 和 Google Ads 等）的所有资源分开。
- 您无需与人力资源信息系统 (HRIS) 集成即可管理身份。
将 Google 用作 IdP，并将 HRIS 用作权威来源
如果您使用人力资源信息系统 (HRIS) 来管理员工的入职和离职流程，您仍然可以将 Google 用作 IdP。Cloud Identity 和 Google Workspace 提供的 API 可让 HRIS 和其他系统控制用户和群组的管理，如下图所示。
- 您可以使用现有的 HRIS 来管理用户和（可选）群组。HRIS 仍然是身份管理的唯一可信来源，并可自动为 Cloud Identity 或 Google Workspace 预配用户。
- 所有 Google 服务都将 Cloud Identity 专业版或 Google Workspace 用作 IdP。
- 您可以配置公司应用和其他 SaaS 服务，将 Google 用作 IdP。
用户体验
对员工来说，登录用户体验相当于将 Google 用作 IdP 和权威来源。
优势
将 Google 用作 IdP 和权威来源具有以下优势：
何时使用此架构
在以下情况下，请考虑将 Google 用作 IdP，并将 HRIS 用作权威来源：
- 您已有一个 HRIS 或其他系统作为身份的权威来源。
- 您已将 Google Workspace 用作您的协作和高效办公解决方案。
- 您没有必须要集成的现有本地基础架构或 IdP，或者您希望将其与 Google 资源分开。
使用外部 IdP
如果您的组织已在使用 IdP（如 Active Directory、Azure AD、ForgeRock、Okta 或 Ping Identity），您可以使用联合将 Google Cloud 与此外部 IdP 集成。
通过将 Cloud Identity 或 Google Workspace 账号与外部 IdP 联合，您可以让员工使用其现有身份和凭据登录 Google Cloud、Google Marketing Platform 和 Google Ads 等 Google 服务。
将外部 IDaaS 用作 IdP 和权威来源
如果您使用身份即服务 (IDaaS) 提供商（例如 ForgeRock、Okta 或 Ping Identity），则可以设置联合，如下图所示。
- Cloud Identity 或 Google Workspace 将您的 IDaaS 用作 IdP 进行单点登录。
- IDaaS 自动为 Cloud Identity 或 Google Workspace 预配用户和群组。
- 现有公司应用和其他 SaaS 服务可以继续将您的 IDaaS 用作 IdP。
如需详细了解如何将 Cloud Identity 或 Google Workspace 与 Okta 联合，请参阅 Okta 用户预配和单点登录。
用户体验
对于员工来说，登录用户体验如下所述：
- 在员工请求受保护资源时，系统会将其重定向到 Google 登录屏幕，提示他们输入电子邮件地址。
- Google 登录将您重定向至相应 IDaaS 的登录页面。
- 您使用 IDaaS 进行身份验证。根据您的 IDaaS，这可能需要您提供第二重身份验证，例如验证码。
- 您通过身份验证后，系统会将您重定向回相应的受保护资源。
优势
将外部 IDaaS 用作 IdP 和权威来源具有以下优势：
- 您可以为员工提供单点登录体验，这种体验可以延伸到与您的 IDaaS 集成的 Google 服务和其他应用中。
- 如果您已将 IDaaS 配置为要求多重身份验证，该配置会自动应用于 Google Cloud。
- 您不需要将密码或其他凭据与 Google 同步。
- 您可以使用 Cloud Identity 免费版。
何时使用此架构
在以下情况下，请考虑将外部 IDaaS 用作 IdP 和权威来源：
- 您已将 IDaaS 提供商（例如 ForgeRock、Okta 或 Ping Identity）用作 IdP。
最佳做法
请参阅我们的联合 Google Cloud 与外部身份提供商的最佳做法。
将 Active Directory 用作 IdP 和权威来源
如果您将 Active Directory 用作身份管理的可信来源，可以按照下图所示设置联合。
- 您使用 Google Cloud Directory Sync 为 Cloud Identity 或 Google Workspace 自动预配 Active Directory 中的用户和群组。 Google Cloud Directory Sync 是 Google 提供的免费工具，可实现同步过程。它要么在 Google Cloud 上运行，要么在本地环境中运行。同步是单向的，因此 Active Directory 仍然是可靠来源。
- Cloud Identity 或 Google Workspace 使用 Active Directory Federation Services (AD FS) 进行单点登录。
- 现有公司应用和其他 SaaS 服务可以继续将您的 AD FS 用作 IdP。
作为此模式的一种变体，您还可以将 Active Directory 轻型目录服务 (AD LDS) 或其他 LDAP 目录与 AD FS 或其他符合 SAML 标准的 IdP 搭配使用。
如需详细了解此方法，请参阅将 Google Cloud 与 Active Directory 联合。
用户体验
- 在员工请求受保护资源时，系统会将其重定向到 Google 登录屏幕，提示他们输入电子邮件地址。
- Google 登录可以将员工重定向到 AD FS 的登录页面。
- 员工可能会看到一个登录屏幕，提示他们输入 Active Directory 用户名和密码，具体取决于 AD FS 的配置。或者，AD FS 可能会尝试根据员工的 Windows 登录信息自动为其登录。
- 在 AD FS 对员工进行身份验证后，系统会将其重定向回相应的受保护资源。
优势
将 Active Directory 用作 IdP 和权威来源具有以下优势：
- 您可以为员工提供单点登录体验，这种体验可以延伸到 Google 服务和本地环境中。
- 如果您已将 AD FS 配置为要求多重身份验证，该配置会自动应用于 Google Cloud。
- 您无需将密码或其他凭据同步到 Google。
- 您可以使用 Cloud Identity 免费版。
- 由于 Google Cloud Directory Sync 使用的 API 可公开访问，因此无需在本地网络和 Google Cloud 之间设置混合连接。
何时使用此架构
在以下情况下，请考虑将 Active Directory 用作 IdP 和权威来源：
- 您已有 Active Directory 基础架构。
- 您希望为 Windows 用户提供无缝登录体验。
最佳做法
请考虑以下最佳做法：
- Active Directory 和 Cloud Identity 使用不同的逻辑结构。请务必了解这些差异，并评估哪种网域、身份和群组映射方式最适合您的情况。如需了解详情，请参阅我们关于将 Google Cloud 与 Active Directory 联合的指南。
- 同步群组和用户。通过此方法，您可以设置 IAM，以便在 Active Directory 中使用群组成员资格来控制谁有权访问 Google Cloud 中的哪些资源。
- 部署并公开 AD FS 以供企业用户进行访问；不过除非必要，否则不要公开 AD FS。虽然企业用户必须能够访问 AD FS，但并不要求能从 Cloud Identity、Google Workspace 或 Google Cloud 上部署的任何应用访问 AD FS。
- 考虑在 AD FS 中启用集成式 Windows 身份验证 (IWA)，以允许用户根据其 Windows 登录信息自动登录。
- 如果 AD FS 不可用，用户可能无法使用 Google Cloud Console 或其他任何将 Google 用作 IdP 的资源。因此，请务必根据您的可用性目标对 AD FS 及其所依赖的网域控制器进行部署和规模调整。
如果您借助 Google Cloud 确保业务连续性，那么依赖本地 AD FS 可能影响将 Google Cloud 用作部署的独立副本这一目的。在这种情况下，请考虑通过以下方式之一在 Google Cloud 上部署所有相关系统的副本：
- 将现有 Active Directory 网域扩展到 Google Cloud 并将 Google Cloud Directory Sync 部署在 Google Cloud 上运行。
- 在 Google Cloud 上运行专用 AD FS 服务器。这些服务器使用在 Google Cloud 上运行的 Active Directory 网域控制器。
- 将 Cloud Identity 配置为使用部署在 Google Cloud 上的 AD FS 服务器进行单点登录。
如需了解详情，请参阅联合 Google Cloud 与外部身份提供商的最佳做法。
将 Azure AD 用作 IdP，并将 Active Directory 用作权威来源
如果您是 Microsoft Office 365 或 Azure 客户，您可能已将本地 Active Directory 连接到 Azure AD。如果所有可能需要访问 Google Cloud 的用户账号都已同步到 Azure AD，您可以通过将 Cloud Identity 与 Azure AD 联合来重复使用此集成，如下图所示。
- 您可以使用 Azure AD 将用户和群组自动预配到 Cloud Identity 或 Google Workspace。Azure AD 本身可能已与本地 Active Directory 集成。
- Cloud Identity 或 Google Workspace 使用 Azure AD 进行单点登录。
- 现有公司应用和其他 SaaS 服务可以继续将您的 Azure AD 用作 IdP。
如需详细了解此方法，请参阅将 Google Cloud 与 Azure Active Directory 联合。
用户体验
- 在员工请求受保护资源时，系统会将其重定向到 Google 登录屏幕，提示他们输入电子邮件地址。
- Google 登录可以将他们重定向到 AD FS 的登录页面。
- 根据其本地 Active Directory 连接到 Azure AD 的方式，Azure AD 可能会提示他们输入用户名和密码，或者将其重定向到本地 AD FS。
- 员工通过 Azure AD 身份验证后，系统会将其重定向回相应的受保护资源。
优势
将 Azure AD 用作 IdP 并将 Active Directory 用作权威来源具有以下几个优势：
- 您可以为员工提供单点登录体验，这种体验可以延伸到 Google 服务、Azure 和本地环境中。
- 如果您已将 Azure AD 配置为要求多重身份验证，该配置会自动应用于 Google Cloud。
- 您无需在本地安装任何其他软件。
- 如果您的本地 Active Directory 使用多个网域或林，并且您已自行将 Azure AD Connect 配置为将此结构映射到 Azure AD 租户，可以利用此集成。
- 您无需将密码或其他凭据同步到 Google。
- 您可以使用 Cloud Identity 免费版。
- 在 Office 365 门户中，您可以将 Google Cloud 控制台显示为磁贴。
- 由于 Azure AD 使用的 API 可公开访问，因此无需在 Azure 和 Google Cloud 之间设置混合连接。
何时使用此架构
在以下情况下，请考虑将 Azure AD 用作 IdP，并将 Active Directory 用作权威来源：
- 您已使用 Azure AD 并将其与现有的 Active Directory 基础架构集成。
- 您希望为 Azure 和 Google Cloud 用户提供无缝登录体验。
最佳做法
请遵循以下最佳做法：
- 由于 Azure AD 和 Cloud Identity 采用不同的逻辑结构，因此您必须了解二者的具体差异，评估哪种网域、身份和群组映射方式最适合您的情况。如需了解详情，请参阅将 Google Cloud 与 Azure AD 联合。
- 同步群组和用户。通过此方法，您可以设置 IAM，以便在 Azure AD 中使用群组成员资格来控制谁有权访问 Google Cloud 中的哪些资源。
- 如果您借助 Google Cloud 确保业务连续性，那么依赖 Azure AD 进行身份验证可能会影响将 Google Cloud 用作部署的独立副本这一目的。
如需了解详情，请参阅联合 Google Cloud 与外部身份提供商的最佳做法。