Google Workspace के साथ SSO सेट अप करें
यह पेज SSO कनेक्शन के Google Workspace वाले हिस्से के बारे में है। Bird वाला हिस्सा (डोमेन सत्यापित करना, परीक्षण करना, सक्रिय करना और SSO अनिवार्य करना) हर प्रदाता के लिए एक जैसा है और SSO और प्रोविज़निंग पेज पर दिया गया है।
Google और Bird दोनों को एक-दूसरे से मान चाहिए, इसलिए आप कहाँ से शुरू करते हैं, यह प्रोटोकॉल पर निर्भर करता है। काम करते समय दोनों को खुला रखें।
पहले परीक्षण की ज़्यादातर विफलताएँ Google के दो व्यवहारों से होती हैं, और इनमें से कोई भी Bird को कुछ नहीं बताता:
- परीक्षण से पहले उपयोगकर्ता पहुँच चालू करें। नया कस्टम SAML ऐप सभी के लिए बंद स्थिति में शुरू होता है। जब तक आप इसे साइन इन करने वाले लोगों के लिए चालू नहीं करते, Google अपनी ओर से ही अनुरोध अस्वीकार कर देता है और परीक्षण विंडो में कुछ नहीं दिखता।
- सहेजने के बाद कुछ मिनट रुकें। Google किसी SAML ऐप में किए गए बदलाव (प्रतिक्रिया पर हस्ताक्षर, Name ID फ़ॉर्मैट, उपयोगकर्ता पहुँच) लगभग दो से चार मिनट की देरी से लागू करता है। इस अवधि में चलाया गया परीक्षण पिछला कॉन्फ़िगरेशन दिखाता है, जो Bird की समस्या जैसा लगता है, पर वह नहीं होती।
SAML
SAML के लिए Bird से शुरू करें। SAML कनेक्शन का Entity ID और Assertion Consumer Service URL कनेक्शन से ही बनते हैं, इसलिए कनेक्शन को I have not set up my provider yet के साथ बनाएँ, फिर दिखाए गए मान पंजीकृत करें और Supply the details पर वापस आएँ। प्लेसहोल्डर मानों के बिना SAML सेट अप करना में यह पूरी प्रक्रिया बताई गई है।
Google कस्टम SAML ऐप के लिए कोई मेटाडेटा URL प्रकाशित नहीं करता। Google Admin console से मेटाडेटा फ़ाइल डाउनलोड करें और मेटाडेटा-दस्तावेज़ विकल्प चुनकर उसकी सामग्री Bird कनेक्शन के Supply the details में पेस्ट करें।
Google के फ़ील्ड नाम Bird के फ़ील्ड नामों से मेल नहीं खाते:
| Bird में, Register these with your identity provider के अंतर्गत | Google Workspace में |
|---|---|
| Assertion Consumer Service URL | ACS URL |
| Entity ID | Entity ID |
| इस कनेक्शन का साइन-इन URL | Start URL (वैकल्पिक) |
Signed response बंद करें
Signed response को अनचेक ही रहने दें। इसे चेक करने पर Google प्रतिक्रिया पर हस्ताक्षर करता है, पर उसके भीतर के असर्शन को बिना हस्ताक्षर के छोड़ देता है। Bird असर्शन के अपने हस्ताक्षर की जाँच करता है, इसलिए हर साइन-इन हस्ताक्षर त्रुटि के साथ अस्वीकार हो जाता है, जो प्रमाणपत्र की समस्या जैसी लगती है। इसे अनचेक करने पर असर्शन फिर से हस्ताक्षरित होता है और साइन-इन सफल होते हैं।
सदस्यों की पहचान उनके ईमेल पते से करें
Name ID format को EMAIL पर सेट करें। Google के अन्य फ़ॉर्मैट Bird के साथ काम नहीं करते:
UNSPECIFIEDको सीधे अस्वीकार कर दिया जाता है।PERSISTENTइसलिए अस्वीकार होता है क्योंकि यह फ़ॉर्मैट उस फ़ॉर्मैट से मेल नहीं खाता जिसकी कनेक्शन अपेक्षा करता है। Google इसके बावजूद मान के रूप में सदस्य का ईमेल पता ही भेजता है, इसलिए यह वह अपारदर्शी और कभी दोबारा न सौंपा जाने वाला पहचानकर्ता नहीं है जिसे persistent फ़ॉर्मैट में होना चाहिए।
Google NameID के लिए कोई अपारदर्शी पहचानकर्ता नहीं देता, इसलिए यहाँ केवल EMAIL ही उपयोगी विकल्प है। इससे इस कनेक्शन के ज़रिए साइन इन करने वाले हर व्यक्ति के लिए ईमेल पता स्थायी हो जाता है: अगर आपका संगठन कभी यह पता किसी और को सौंपता है, तो उसे पाने वाला अगला व्यक्ति Bird खाता भी पा लेता है। इस पर निर्भर होने से पहले सदस्यों की पहचान कैसे होती है पढ़ें।
असर्शन की वैधता और प्रमाणपत्र
Google जिन असर्शन पर हस्ताक्षर करता है, वे जारी होने से पाँच मिनट पहले से लेकर पाँच मिनट बाद तक मान्य रहते हैं, और Bird इसे स्वीकार करता है।
हस्ताक्षर प्रमाणपत्र और उसकी समाप्ति तिथि Google प्रबंधित करता है, और कस्टम SAML ऐप पर आपको प्रमाणपत्र बदलने का कोई नियंत्रण नहीं देता। Bird कनेक्शन पर दिखाई गई समाप्ति तिथि नोट करें और उससे पहले मेटाडेटा बदलने की योजना बनाएँ। जिस दिन प्रमाणपत्र समाप्त होता है, उस दिन से कनेक्शन के ज़रिए हर साइन इन विफल हो जाता है।
OIDC
OIDC के लिए Google Cloud console से शुरू करें। OIDC कनेक्शन बनाने के लिए Bird को issuer, क्लाइंट ID और क्लाइंट सीक्रेट चाहिए, इसलिए पहले Google पर ऐप्लिकेशन पंजीकृत करें। Bird का Redirect URI हर कनेक्शन के लिए एक जैसा है और कुछ भी बनाने से पहले Add connection में दिखता है, इसलिए आप इसे पहले ही पंजीकृत कर सकते हैं।
Google Cloud console में उस प्रोजेक्ट के लिए OAuth क्लाइंट क्रेडेंशियल बनाएँ जो आपके Workspace उपयोगकर्ताओं को सेवा देता है। फिर क्लाइंट ID और सीक्रेट को Bird में कॉपी करें और Issuer के रूप में https://accounts.google.com दर्ज करें। Bird वहीं से डिस्कवरी दस्तावेज़ पढ़ता है और client_secret_basic के साथ टोकन एंडपॉइंट पर प्रमाणीकरण करता है।
Bird के Redirect URI को क्लाइंट पर अधिकृत रीडायरेक्ट URI के रूप में पंजीकृत करें।
Google के OIDC तरीके में ऐप टाइल का कोई चरण नहीं है: कस्टम OAuth क्लाइंट Google ऐप्स लॉन्चर में नहीं दिखता, इसलिए सदस्य Bird के साइन इन पेज से या आपके दिए गए लिंक से शुरू करते हैं।
अगले चरण
- SSO और प्रोविज़निंग: डोमेन सत्यापित करें, कनेक्शन का परीक्षण करें और SSO अनिवार्य करें
- Okta के साथ SSO सेट अप करें
- Microsoft Entra ID के साथ SSO सेट अप करें
संबंधित संसाधन
इस विषय के लिए दस्तावेज़, गाइड और उदाहरणों के साथ आगे बढ़ें।