配置Google Workspace单点登录（SSO）_应用身份服务 (IDaaS)(IDaaS)-阿里云帮助中心

本文档介绍了在IDaaS与Google Workspace之间通过OIDC和SAML协议配置单点登录（SSO）的完整流程，涵盖应用创建、参数设置、凭证管理及验证步骤。

前提条件

创建OIDC应用。
1. 登录IDaaS控制台，选择对应的IDaaS实例，单击操作列的访问控制台。
2. 单击应用 > 添加应用 > 标准协议，添加 OIDC 应用。
配置参数。
1. 在OIDC 应用详情页的通用配置页签，获取client_id和client_secret。
2. 在登录访问 > 单点登录页签的应用配置信息处，获取 Issuer地址。
3. 登录 Redirect URI：填写 Google 返回的回调地址。
4. 授权范围：根据实际需求按需分配（默认手动授权）。
5. 应用授权。在登录访问 > 应用授权页签，添加需要授权的用户。

填写IDaaS参数。

字段	说明
单点登录（SSO）配置文件名称	标识该 OIDC 配置的自定义名称，建议包含业务系统或应用名称以便管理。
客户ID	IDaaS OIDC 应用的唯一标识符 client_id，用于在授权服务器识别客户端。
客户端密钥	IDaaS OIDC应用的客户端密钥 client_secret，用于向授权服务器验证客户端身份的敏感凭据，需严格保密。
颁发者网址	IDaaS OIDC应用的Issuer 地址，用于验证 ID Token 的签发来源。
更改密码网址	用户修改密码的链接（非必填项）。

创建SAML应用。
1. 登录IDaaS控制台，选择对应的IDaaS实例，单击操作列的访问控制台。
2. 单击应用 > 添加应用 > 标准协议，添加 SAML 2.0 应用。
配置参数。在SAML应用详情页，登录访问 > 单点登录处填写单点登录配置。
1. 单点登录地址：填写Google Workspace 的SP 配置信息的ACS 网址。
2. 应用唯一标识：填写Google Workspace 的SP 配置信息的实体 ID。
3. 授权范围：按需分配（默认手动授权）。
4. IdP 唯一标识：填入Google身份提供商的身份提供商实体 ID。
5. IdP SSO 地址：填入Google身份提供商的登录页网址。
6. 公钥证书：下载公钥证书，上传Google身份提供商的验证证书处。
应用授权。在登录访问 > 应用账户处添加应用账户，并在应用授权页签添加需要授权的用户。

单击添加SAML配置文件，填写以下身份提供商详细信息。填写完成后，单击右下角保存。

字段	说明
单点登录 (SSO) 配置文件名称	用于标识该 SSO 配置的自定义名称，建议包含业务系统或应用名称以方便管理。
身份提供商实体 ID	IDaaS 分配的 SAML 应用IdP 唯一标识（Entity ID），用于匹配服务提供商与 IDaaS 的身份绑定关系。
登录页网址	IDaaS中添加的SAML应用中单点登录配置信息中的IdP SSO 地址（IdP Sign-in URL）。
退出页网址	服务提供商接收 SAML 单点登出请求的接口地址（非必填项）。
更改密码网址	用户修改密码的链接（非必填项）。
验证证书	IDaaS 签发的公钥证书，用于验证 SAML 响应签名的有效性。