Diese Anleitung gilt für Mac-Computer
Über Passport mit Google Workspace
Mit Passport und Google Workspace können sich Benutzer mit ihren Google Workspace-Anmeldedaten an Mac-Computern anmelden. Passport verwendet bei der macOS-Anmeldung das Google-Identitätssystem Ihrer Organisation.Funktionsweise
Passport wird über Secure LDAP in Ihre Google Workspace-Instanz integriert, um Benutzer am macOS-Anmeldebildschirm zu authentifizieren. Wenn Benutzer ihre Google Workspace-Anmeldedaten eingeben, überprüft Passport diese anhand Ihres Google-Verzeichnisses und erstellt oder aktualisiert das lokale Mac-Benutzerkonto.- Google Workspace
- Iru Endpoint
Voraussetzungen
- Die Google Workspace-Instanz Ihrer Organisation muss Secure Lightweight Directory Access Protocol (LDAP) unterstützen. Google stellt hier eine Liste der unterstützten Lizenzen für den LDAP-Dienst bereit.
- Jedem Google Workspace-Benutzer, der sich mit Passport anmelden wird, muss in Google Workspace eine Cloud Identity Premium-Lizenz zugewiesen sein.
- Sie benötigen Zugriff auf das Super-Administrator-Konto Ihrer Organisation.
- Wenn Ihr Webbrowser .zip-Dateien automatisch entpackt, ändern Sie diese Einstellung vorübergehend und laden Sie die Datei erneut herunter, oder komprimieren Sie den entpackten Ordner, bevor Sie ihn in Ihr Passport Library Item hochladen.
Einen Secure LDAP-Client erstellen und das Zertifikat herunterladen
Passport verwendet Secure LDAP, um mit Google zu kommunizieren, Anmeldedaten zu bestätigen und grundlegende Benutzer- und Gruppeninformationen abzurufen. Wenn Sie in Google Workspace einen neuen Secure LDAP-Client erstellen, laden Sie ein Zertifikat zur Absicherung der Kommunikation herunter und aktivieren den Dienst.1
Bei der Google Admin-Konsole anmelden
Melden Sie sich in einem Webbrowser mit dem Super-Administrator-Konto Ihrer Organisation unter admin.google.com bei der Google Admin-Konsole Ihrer Organisation an.
2
Bereich Apps öffnen
Wählen Sie in der linken Seitenleiste Apps aus.
3
LDAP öffnen
Wählen Sie im Bereich Apps die Option LDAP aus.
Wenn LDAP nicht angezeigt wird, enthält Ihre Edition möglicherweise kein Secure LDAP. Business Starter und Business Standard bieten den Secure LDAP-Dienst nicht an.
4
LDAP-Client hinzufügen, wenn bereits andere vorhanden sind
Wenn Ihre Organisation bereits einen oder mehrere Secure LDAP-Clients hat, werden diese in der Liste auf der im vorherigen Schritt geöffneten Seite LDAP angezeigt. Wählen Sie oben rechts ADD CLIENT aus, um einen weiteren Client für Passport zu erstellen.
5
LDAP-Client hinzufügen, wenn noch keiner vorhanden ist
Wenn Ihre Organisation noch keine Secure LDAP-Clients hat, zeigt die LDAP-Apps-Seite ADD LDAP CLIENT an. Wählen Sie ADD LDAP CLIENT aus, um mit der Erstellung des Clients für Passport zu beginnen.
6
Namen des LDAP-Clients eingeben
Geben Sie im Feld LDAP client name einen Namen wie Iru Passport ein.
7
Beschreibung eingeben
Geben Sie im Feld Beschreibung eine Beschreibung wie Passport: keep Mac login passwords in sync with Google Workspace ein.
8
Konfiguration fortsetzen
Wählen Sie CONTINUE aus.
9
Überprüfung der Benutzeranmeldedaten konfigurieren
Wählen Sie im Abschnitt Verify user credentials entweder Entire domain (Ihre Domain wird in Klammern angezeigt) oder, wenn Sie Passport auf bestimmte Konten beschränken möchten, Selected organizational units, groups and excluded groups aus.
10
Lesen von Benutzerinformationen konfigurieren
Konfigurieren Sie im Abschnitt Read user information dieselben Einstellungen wie unter Verify user credentials (z. B. Entire domain oder Selected organizational units, wenn diese Optionen angezeigt werden).
11
System Attributes aktivieren
Vergewissern Sie sich, dass das Kontrollkästchen System Attributes aktiviert ist, damit Passport die Standard-Benutzerattribute lesen kann.
12
Benutzerdefinierte Attribute deaktiviert lassen
Lassen Sie Public Custom Attributes und Private Custom Attributes deaktiviert; Passport verwendet keine benutzerdefinierten Benutzerattribute.
13
Lesen von Gruppeninformationen konfigurieren
Stellen Sie im Abschnitt Read group information den Schalter auf On, damit Sie Passport so konfigurieren können, dass die Google Workspace-Gruppeninformationen eines Benutzers verwendet werden, um sein lokales Mac-Konto bei der Anmeldung dynamisch zwischen Standard- und Administratorrechten umzustellen. Sie können diese Option auch später aktivieren, wenn Sie sie jetzt nicht aktivieren.
14
LDAP-Client überprüfen und erstellen
Überprüfen Sie Ihre Konfiguration und wählen Sie dann ADD LDAP CLIENT aus.
15
Zertifikat herunterladen
Wählen Sie Download certificate aus.
16
Weiter zu den Client-Details
Wählen Sie CONTINUE TO CLIENT DETAILS aus.
17
Diensteinstellungen öffnen
Wählen Sie im Abschnitt Service status die Option OFF oder das Aufklapp-Steuerelement (Chevron) aus, um den Ablauf zu öffnen, in dem Sie den LDAP-Dienst aktivieren können.
18
Dienst für alle aktivieren
Wählen Sie auf der Seite Service status die Option ON for everyone aus.
19
Konfiguration speichern
Wählen Sie SAVE aus.
Ihr Secure LDAP-Zertifikat erneut herunterladen (optional)
Nachdem Sie den LDAP-Client im vorherigen Abschnitt konfiguriert haben, können Sie das Zertifikat, das die LDAP-Kommunikation zwischen Passport und Google absichert, jederzeit herunterladen. Es gibt viele weitere Optionen, z. B. das Umbenennen eines Zertifikats, das Generieren zusätzlicher Zertifikate und das Löschen eines Zertifikats.1
Bei der Google Admin-Konsole anmelden
Melden Sie sich in einem Webbrowser mit dem Super-Administrator-Konto Ihrer Organisation unter admin.google.com bei der Google Admin-Konsole Ihrer Organisation an.
2
Bereich Apps öffnen
Wählen Sie in der linken Seitenleiste Apps aus.
3
LDAP öffnen
Wählen Sie im Bereich Apps die Option LDAP aus.
4
LDAP-Client auswählen
Wählen Sie in der Liste der LDAP-Clients den LDAP-Client aus, den Sie für Passport erstellt haben.
5
Abschnitt Authentication öffnen
Öffnen Sie den Abschnitt Authentifizierung für den Client.
6
Zertifikat herunterladen
Wählen Sie unter Certificates das Download-Symbol in der Zertifikatszeile aus. Der Tooltip des Steuerelements lautet Download certificate.
Gruppen-E-Mail-Präfixe für die Benutzerbereitstellung sammeln
Wenn Passport den Mac-Kontotyp jedes Benutzers anhand der Google-Gruppenmitgliedschaft festlegen soll, sammeln Sie das Präfix der Group email für jede Gruppe, die Sie zuordnen möchten. Sie verwenden diese Werte unter Benutzerbereitstellung auf der Registerkarte Iru Endpoint des Passport Library Item.1
Eine Gruppe in Google Admin öffnen
Öffnen Sie in Google Admin eine Gruppe, die Sie für die Passport-Benutzerbereitstellung verwenden möchten.
2
Das Gruppen-E-Mail-Präfix kopieren
Kopieren Sie aus Group email alles vor dem @-Zeichen. Passport erwartet dieses Präfix im Library Item, nicht den Anzeigenamen der Gruppe.
3
Das Präfix in ein Dokument einfügen
Fügen Sie das Präfix in ein sicheres Textdokument oder ein internes Runbook ein. Wenn Sie mehrere Gruppen verwenden, notieren Sie, welches Präfix zu welcher Gruppe gehört.
4
Für jede Gruppe wiederholen
Wiederholen Sie die vorherigen Schritte für jede Google-Gruppe, auf die Sie in Passport verweisen möchten.
Wenn der Secure LDAP-Client und das Zertifikat bereit sind, öffnen Sie die Registerkarte Iru Endpoint, um das Zertifikat hochzuladen und die dortigen Library-Item-Schritte abzuschließen.
Nach der Ersteinrichtung
Ablauf und Erneuerung des Zertifikats
Google Workspace Secure LDAP-Zertifikate laufen ab. Generieren, laden Sie herunter und laden Sie einen Ersatz hoch, bevor das aktuelle Zertifikat abläuft, damit Passport Benutzer ohne Unterbrechung authentifizieren kann.1
Ihren Passport-LDAP-Client in Google Admin öffnen
Melden Sie sich bei der Google Admin-Konsole an, öffnen Sie Apps → LDAP und wählen Sie dann den LDAP-Client aus, den Sie für Passport verwenden.
2
Ablauf des Zertifikats prüfen
Öffnen Sie den Abschnitt Authentifizierung für diesen Client.
3
Ablaufdaten für die Erneuerungsplanung notieren
Notieren Sie das Expiration date in der Zertifikatstabelle (und Earliest Certificate Expires in in der Client-Liste unter Apps → LDAP, wenn Sie diese Spalte verwenden), damit Sie die Erneuerung im Voraus planen können.
4
Ein neues Zertifikat generieren
Wählen Sie unter Certificates die Option GENERATE NEW CERTIFICATE aus. Warten Sie nach Möglichkeit nicht, bis das aktuelle Zertifikat bereits abgelaufen ist.
5
Das neue Zertifikat herunterladen
Laden Sie das neue Zertifikatspaket mit demselben Download-Symbol wie unter Ihr Secure LDAP-Zertifikat erneut herunterladen herunter (Tooltip Download certificate).
6
Das Zertifikat im Passport Library Item ersetzen
Öffnen Sie in Iru Endpoint die Registerkarte Iru Endpoint und verwenden Sie Ablauf und Erneuerung des Zertifikats, um das alte komprimierte Zertifikat zu entfernen, das neue Paket hochzuladen und zu speichern.
7
Das vorherige Zertifikat in Google Admin entfernen
Kehren Sie in Google Admin zum Abschnitt Authentifizierung Ihres Passport-LDAP-Clients zurück. Öffnen Sie für die Zeile des vorherigen Zertifikats das Zeilenmenü Mehr (vertikale Auslassungspunkte) und wählen Sie DELETE CERTIFICATE aus.
Für die nächsten Schritte in diesem Workflow öffnen Sie die Registerkarte Iru Endpoint und folgen Sie Ablauf und Erneuerung des Zertifikats.
Fehlerbehebung
E-Mail-Adresse und Passwort korrekt, Anmeldung schlägt dennoch fehl
E-Mail-Adresse und Passwort korrekt, Anmeldung schlägt dennoch fehl
Wenn ein Benutzer die korrekte Google Workspace-E-Mail-Adresse und das korrekte Passwort eingibt, sich aber dennoch nicht mit Passport anmelden kann, prüfen Sie, ob er die Anforderung der Cloud Identity Premium-Lizenz für Passport erfüllt.Öffnen Sie in Google Admin Benutzer, wählen Sie den Benutzer aus und öffnen Sie dann Licenses. Vergewissern Sie sich, dass Cloud Identity Premium diesem Benutzer zugewiesen und aktiviert ist. Falls sie fehlt, weisen Sie die Lizenz zu und lassen Sie den Benutzer es erneut versuchen.
Secure LDAP-Zertifikat abgelaufen
Secure LDAP-Zertifikat abgelaufen
Passport kann Benutzer nicht authentifizieren, wenn das Secure LDAP-Zertifikat in Google Workspace abgelaufen ist oder abgelehnt wird. Auf der Registerkarte Google Workspace führt Ablauf und Erneuerung des Zertifikats durch das Generieren und Herunterladen eines neuen Zertifikats in Google Admin sowie das Entfernen des alten Zertifikats dort. Auf der Registerkarte Iru Endpoint behandelt Ablauf und Erneuerung des Zertifikats die Aktualisierung des Passport Library Item. Planen Sie die Erneuerung vor dem Ablaufdatum, damit Benutzer den Anmeldezugriff nicht verlieren.