Cómo configurar el acceso a Google Apps a través de SIR


Google Apps proporciona un método de acceso federado, denominado por ellos Single Sign On, que emplea el protocolo SAML2, soportado por SIR, y por tanto es posible usar las identidades digitales gestionadas a través de SIR para acceder a los servicios de Google Apps.

Para poder usar las identidades gestionadas por SIR en el acceso a Google Apps es necesario seguir los siguientes pasos:

  1. El administrador del dominio se pondrá en contacto con el equipo de SIR para comunicarle su intención de conectar con GoogleApps a través de SIR. Es importante que en la comunicación detallen dos aspectos:
    1. El patrón que planean seguir para las cuentas de los usuarios en GoogleApps. Estas cuentas deben corresponderse con uno de los valores del atributo mail en las aserciones enviadas a través de SIR.
    2. Si la institución dispone de un mecanismo para hacer logout de su entorno de SSO Web y cuál es el URL para acceder al mismo. SIR proporciona un mecanismo de logout general a partir del enlace de fin de sesion en las aplicaciones de Google Apps, que puede ser extendido mediante el URL que mencionábamos para que se aplique también en el entorno SSO local.
  2. El equipo de SIR responderá con un conjunto de datos que deben introducirse en el interface de administración de SSO para el dominio en Google Apps (https://www.google.com/a/cpanel//SetupSSO):
    • El URL del conector de SIR a Google Apps (campo URL de la página de acceso)
    • El URL del artefacto de logout SIR desde Google Apps (campo URL de la página de fin de sesión)
    • El certificado que debe asociarse al dominio para que Google Apps verifique los datos enviados por SIR (campo Certificado de verificación, opción de Sustituir certificado)
    NOTA: Dado que SIR es una infraestructura federada, el campo "Cambiar URL de contraseña" es una cuestión completamente interna a la institución.
  3. El administrador del dominio comunicará al equipo de SIR la cumplimentación de los datos para que se active el conector. Para la activación es necesario que confirme si ha marcado o no la opción Utilizar una determinada entidad emisora de dominios. Si bien SIR puede funcionar en ambos casos, es necesario conocer su estado para configurar el conector. En cualquier caso, creemos que es recomendable activarla.
  4. El equipo de SIR activará de manera temporal el conector para que los administradores del dominio realicen las pruebas pertinentes.
  5. Una vez realizadas las pruebas, los administradores del dominio deben remitir al equipo de SIR el documento de Condiciones de Uso del SIR para SPs externos adecuadamente cumplimentado. Los datos en este caso son: 
       URL: google.com
   Protocolo: SAML2
   Datos: mail
    La conexión con Google Apps se considerará en pruebas hasta que el documento haya sido validado por el equipo de SIR.