Google Workspace
Einen internen OAuth-Client in Google Cloud für deinen Workspace anlegen und ihn für Single Sign-on verbinden.
Costfluent meldet die Nutzer deines Workspace über Google per OpenID Connect an. Du legst einen OAuth-Client in einem Google-Cloud-Projekt deiner Workspace-Organisation an, und Costfluent vertraut den Adressen der Domains, die du bestätigst.
Bevor du beginnst
- Du brauchst in Costfluent die Organisationsrolle Eigentümer und ein Google-Cloud-Projekt in deiner Workspace-Organisation.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
- Google sendet keine Gruppen, deshalb werden Teams in Costfluent vergeben und nicht aus Google zugeordnet.
Verfügbar im Core-, Optimize- und Scale-Tarif. Tarife vergleichen
Anwendung registrieren
- Richte in der Google Cloud Console den OAuth-Zustimmungsbildschirm deines Projekts für interne Nutzer ein, sodass nur Konten deiner Workspace-Organisation ihn verwenden können.
- Lege eine OAuth-Client-ID vom Typ Webanwendung an.
- Füge den autorisierten Weiterleitungs-URI
https://app.costfluent.com/api/auth/sso/callbackhinzu. - Kopiere die Client-ID und den Clientschlüssel.
Deine Discovery-URL ist https://accounts.google.com/.well-known/openid-configuration.
Gruppen senden
Googles ID-Token enthält keinen Gruppen-Claim, und auch der Userinfo-Endpunkt liefert keinen. Die Zuordnung von Gruppen zu Teams bewirkt bei einer Google-Verbindung deshalb nichts. Nimm Personen stattdessen in Costfluent in Teams auf: siehe Benutzer, Teams und Rollen.
Eine Google-Verbindung legt Konten mit ihrer Standardrolle an und überlässt dir die Teamzugehörigkeit. Lass die Gruppenzuordnungen der Verbindung leer.
In Costfluent verbinden
- Öffne Einstellungen, dann Single Sign-on, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
- Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
- Aktiviere die Verbindung.
Anmeldung und Sicherheit beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.
So verhält es sich
Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:
iss, derhttps://accounts.google.comgleichen muss, dem Aussteller, den das Discovery-Dokument beim Verbinden nannte.sub, die feste ID des Google-Kontos, als die Identität, die Costfluent speichert.email, die in einer der bestätigten Domains der Verbindung liegen muss. Google ist ein Aussteller für alle Google-Konten, deshalb hält die bestätigte Domain ein Konto einer anderen Organisation fern: Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.name, für den Namen eines Kontos, das Costfluent anlegt.
Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.