Implementando a Configuração de SSO do Google Workspace

Visão Geral

O Single Sign-On (SSO) para o Google Workspace permite que as organizações autentiquem usuários através de seu provedor de identidade (IdP) existente, como Okta, Azure AD (Microsoft Entra ID) ou ADFS, em vez de gerenciar senhas separadas do Google. Isso é implementado usando o protocolo SAML 2.0, onde o Google Workspace atua como o Provedor de Serviço (SP) e o IdP da organização lida com a autenticação. O SSO centraliza o gerenciamento de credenciais, impõe políticas de MFA no IdP e permite a revogação imediata de acesso quando os usuários deixam a organização.

Quando Usar

• Ao implantar ou configurar capacidades de implementação de configuração de SSO do Google Workspace em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Edição Google Workspace Business, Enterprise ou Education
• Acesso de Super Administrador ao Google Admin Console
• Provedor de Identidade com suporte a SAML 2.0 (Okta, Azure AD, ADFS, Ping Identity)
• Certificado de assinatura do IdP (formato PEM X.509, RSA ou DSA)
• Verificação de DNS para o domínio do Google Workspace

Conceitos Principais

Fluxo de SSO SAML 2.0

User navigates to Google Workspace app (Gmail, Drive, etc.)
        │
        ├── Google checks: Is SSO configured for this domain?
        │
        ├── YES → Redirect user to IdP Sign-In Page URL
        │          (SAML AuthnRequest sent via browser redirect)
        │
        ├── User authenticates at IdP (credentials + MFA)
        │
        ├── IdP generates SAML Response with signed assertion
        │
        ├── Browser POSTs SAML Response to Google ACS URL:
        │   https://www.google.com/a/{domain}/acs
        │
        ├── Google validates SAML signature against uploaded certificate
        │
        └── User is granted access to Google Workspace

Parâmetros Chave do SAML

Fluxo de Trabalho

Etapa 1: Preparar o Provedor de Identidade

Para Okta:

1. Navegue até Aplicativos > Adicionar Aplicativo > Pesquisar "Google Workspace"
2. Configure o aplicativo Google Workspace com seu domínio
3. Atribua usuários/grupos ao aplicativo
4. Baixe os metadados do IdP ou anote: URL de SSO, ID da Entidade, Certificado

Para Azure AD (Microsoft Entra ID):

1. Navegue até Aplicativos Empresariais > Novo Aplicativo > Google Cloud/Workspace
2. Configure Single sign-on > SAML
3. Defina a Configuração Básica do SAML:
   • Identificador (ID da Entidade): google.com
   • URL de Resposta (ACS): https://www.google.com/a/{your-domain}/acs
   • URL de Início de Sessão: https://www.google.com/a/{your-domain}/ServiceLogin
4. Baixe o XML de Metadados de Federação ou o Certificado (Base64)

Para ADFS:

1. Adicione uma Confiança de Parte Confiável usando metadados de federação
2. Configure regras de declaração para passar o NameID como endereço de e-mail
3. Exporte o certificado de assinatura de token

Etapa 2: Configurar o SSO do Google Workspace

1. Faça login no Google Admin Console (admin.google.com) como Super Administrador
2. Navegue até Segurança > Autenticação > SSO com IdP de terceiros
3. Clique em "Adicionar perfil de SSO" ou configure o perfil padrão

Configurações do Perfil de SSO de Terceiros:

Etapa 3: Atribuir Perfil de SSO aos Usuários

Os perfis de SSO podem ser aplicados em diferentes escopos:

Organization-wide (all users)
    │
    ├── Org Unit level (specific departments)
    │   ├── Engineering OU → SSO via Okta
    │   ├── Marketing OU → SSO via Azure AD
    │   └── Contractors OU → SSO via specific IdP
    │
    └── Group level (specific security groups)
        └── VPN Users → SSO with additional MFA