Google Workspace
Konfigurieren Sie SSO und Benutzerbereitstellung mit Google Workspace
Je nach Anwendungsfall, Verkada Command kann sich auf folgende Weise mit Google Workspace sowie anderen Identity Providern [IdPs] integrieren:
OpenID Connect (OIDC)
Security Assertion Markup Language (SAML)
Benutzer- und Gruppenbereitstellung
OIDC und SAML beide übernehmen die Authentifizierung und ermöglichen es Google Workspace, den Zugriff auf Command auf dieselbe Weise zu verwalten wie den Zugriff auf andere SaaS-Anwendungen in Ihrer Umgebung. Beide Protokolle ermöglichen es Ihnen, Command in Ihr bestehendes Identitätsframework zu integrieren und Benutzer gemäß Ihren aktuellen Richtlinien zu autorisieren.
Benutzer- und Gruppenbereitstellung hält Ihre Google Workspace-Benutzer und -Gruppen mit Command synchron. Command bietet eine native Google-Workspace-Integration, die Benutzer und Gruppen aus Ihren ausgewählten Organisationseinheiten und Gruppen in Command synchronisiert. Andere Identity Provider können SCIM 2.0 für dasselbe Ergebnis verwenden.
OIDC-basiertes SSO für Google Workspace
Verkada Command unterstützt Single Sign-On (SSO) über OpenID Connect (OIDC) mit Google Workspace. Diese Integration ermöglicht es unseren Benutzern, sich nahtlos und sicher mit ihren vorhandenen Google-Anmeldedaten zu authentifizieren, den Zugriff auf Command zu vereinfachen und die allgemeine Sicherheit zu verbessern.
OIDC-Konfiguration
Melden Sie sich bei Ihrem Google Cloud Console.
Klicken Sie auf Neues Projekt, um unter Ihrer Google-Workspace-Organisation ein neues Projekt zu erstellen.
Navigieren Sie in Ihrem neuen Projekt zu APIs & Services > Bibliothek.
a. Aktivieren Sie die folgenden APIs:
Identity and Access Management (IAM) API
Admin SDK API
Navigieren Sie zu APIs & Services > OAuth-Zustimmungsbildschirm. Wählen Sie für den Benutzertyp Intern und klicken Sie auf Erstellen.
Klicken Sie auf App bearbeiten.
Konfigurieren Sie Ihren OAuth-Zustimmungsbildschirm. Geben Sie Ihrer App einen eindeutigen Namen (z. B. Verkada SSO OIDC) und tragen Sie die E-Mail der Stelle, die Ihre Google-Workspace-Organisation verwaltet (z. B. IT), als Support-E-Mail Ihrer App ein. Klicken Sie auf Speichern und fortfahren.
Konfigurieren Sie Ihre OAuth-Berechtigungsbereiche.
Wählen Sie die folgenden Berechtigungsbereiche aus:
userinfo.email
userinfo.profile
openid
Klicken Sie auf Aktualisieren.
Falls Sie die letzte Option nicht sehen, müssen Sie möglicherweise Zur Tabelle hinzufügen unter Bereiche manuell hinzufügen.
Klicken Sie auf Speichern und fortfahren und kehren Sie zum Dashboard Ihrer Anwendung zurück.
Navigieren Sie zu Anmeldedaten. Klicken Sie auf Anmeldedaten erstellen und erstellen Sie eine OAuth-Client-ID.
Wählen Sie Webanwendung als Ihren Anwendungstyp aus. Geben Sie Ihrem Client einen eindeutigen Namen und fügen Sie Folgendes zur Liste der autorisierten Redirect-URIs hinzu:
https://org-short-name.command.verkada.com/oidc/google/callback (wobei org-short-name der Kurzname für Ihre Command-Organisation ist)
Klicken Sie auf Erstellen.
Kopieren Sie Ihre Client-ID. Beachten Sie, dass wir das Client-Geheimnis nicht verwenden werden.
Verkada Command-Konfiguration
Gehen Sie in Verkada Command zu Alle Produkte > Admin.
Wählen Sie in der linken Navigation Login & Access aus.
Wählen Sie Single Sign-On Configuration aus.
Klicken Sie unter OIDC Configuration auf Add New.
a. Aktivieren Sie Aktivieren. b. (Optional) Aktivieren Sie OIDC-SSO erforderlich. c. Unter Anbieter auswählen, wählen Sie Google. d. Unter Client und Mandant hinzufügen, klicken Sie auf :plus:.
In das Client-ID Feld fügen Sie die Client-ID ein, die Sie aus der Google Cloud Console kopiert haben.
In das Mandanten-ID Feld geben Sie die Domain ein, die von der Google-Workspace-Organisation Ihres Unternehmens verwendet wird (wenn Ihre Google-E-Mail example@your-domain.comlautet, geben Sie your-domain.com ein).
Klicken Sie auf Fertig um die Konfiguration abzuschließen.
h. E-Mail-Domänen, klicken Sie auf :plus:.
Geben Sie Ihre vorhandene Domäne ein (z. B. @verkada.com).
Klicken Sie auf Fertig.
Klicken Sie unter Login Test auf Run Login Test.
Ein erfolgreicher Anmeldetest sollte zur OIDC-Konfigurationsseite weiterleiten. Sobald Sie angemeldet sind, fügen Sie die Domain, die Sie auf die Zulassungsliste setzen müssen, unter Zugehörige Domains hinzu.
Sobald Ihre Domäne hinzugefügt wurde, führen Sie den Login-Test erneut aus. SSO wird erst aktiviert, wenn dieser zweite Login-Test erfolgreich abgeschlossen wurde.
Sobald Ihre Domäne verifiziert ist, sollten Sie sehen, dass sie erfolgreich validiert wurde.
Anmeldung über die mobile Anwendung
Geben Sie im Feld E-Mail-Adresse die E-Mail des Benutzers ein und klicken Sie auf Weiter.
Sie sollten zu Ihrem IdP (Google Workspace) weitergeleitet werden, um den Anmeldevorgang abzuschließen.
Google-Workspace-SAML-Integration
Verkada Command kann sich für Single-Sign-On-(SSO)-Szenarien mit Google Workspace (sowie anderen Identity Providern [IdPs]) integrieren. Security Assertion Markup Language (SAML) übernimmt die Authentifizierung, damit Google Workspace zur Verwaltung des Zugriffs auf Command verwendet werden kann.
Bevor Sie beginnen
Stellen Sie sicher, dass Sie sich bereits bei Verkada Command registriert haben und für den Benutzer in derselben benutzerdefinierten Domain ein Konto vorhanden ist. Sie können Command als benutzerdefinierte Anwendung hinzufügen.
Machen Sie sich mit diesen Begriffen vertraut, um Ihre Integration optimal zu nutzen:
Client-ID—Client-ID. Zum Auffinden gehen Sie zu Admin > Datenschutz & Sicherheit > Single-Sign-On-Konfiguration > Neu hinzufügen.
Federation Data XML—Die eindeutigen Informationen aus Ihrer Google-Workspace-Instanz, die es Verkada ermöglichen, die Föderation zwischen Google Workspace und Ihrer Command-Instanz einzurichten (die Schritte zum Herunterladen werden später bereitgestellt).
Google Workspace-Konfiguration
Gehen Sie zu Google Workspace > Google Admin-Dashboard und wählen Sie Web- und mobile Apps.
Wählen Sie das Dropdown Menü App hinzufügen und dann Benutzerdefinierte SAML-App hinzufügen.
Füllen Sie die Anwendungsinformationen aus; Sie können einen beliebigen Namen und eine beliebige Beschreibung verwenden.
Holen Sie sich das Verkada Command-Logo um es zu Ihrer Google-Workspace-Anwendung hinzuzufügen.
Klicken Sie auf Weiter.
Verwenden Sie Option 1, um die IdP-Metadaten herunterzuladen, die dem Federation Metadata Extensible Markup Language (XML) entsprechen, und klicken Sie auf Weiter.
Diese Datei ermöglicht es Verkada, SSO in Command zu konfigurieren. Speichern Sie sie an einem geeigneten Ort für die spätere Verwendung.
Geben Sie die Details des Dienstanbieters ein (wie gezeigt), um SSO zu konfigurieren, oder kopieren Sie die Details von der Seite Neue SSO-Konfiguration (in Verkada Command) und klicken Sie auf Weiter.
a. Für ACS-URL: Für US-Organisationen: https://vauth.command.verkada.com/saml/sso/<client-id> Für EU-Organisationen: https://saml.prod2.verkada.com/saml/sso/<client-id> Für AUS-Organisationen: https://saml.prod-ap-syd.verkada.com/saml/sso/<client-id> b. Für Entitäts-ID: Für US-Organisationen: https://vauth.command.verkada.com/saml/sso/<client-id> Für EU-Organisationen: https://saml.prod2.verkada.com/saml/sso/<client-id> Für AUS-Organisationen: https://saml.prod-ap-syd.verkada.com/saml/sso/<client-id> c. Für Start-URL: Für US-Organisationen: https://vauth.command.verkada.com/saml/login/<client-id> Für EU-Organisationen: https://saml.prod2.verkada.com/saml/login/<client-id> Für AUS-Organisationen: https://saml.prod-ap-syd.verkada.com/saml/login/<client-id>
Beziehen Sie sich darauf, wo Ihre Organisation erstellt wurde um zu bestätigen, in welcher Region sich Ihre Organisation befindet.
Füllen Sie die Attributzuordnungen aus (wie unten gezeigt) und klicken Sie auf Fertig stellen. Dadurch wird sichergestellt, dass Command die richtigen Informationen über den Benutzer erhält. Sie sollten zur App-Konfigurationsseite weitergeleitet werden.
Command-Konfiguration
Gehen Sie in Verkada Command zu Alle Produkte > Admin.
Wählen Sie Anmeldung & Zugriff > Single Sign On (SSO).
Klicken Sie auf Hinzufügen, um eine neue Konfiguration zu starten oder eine vorhandene Konfiguration zu bearbeiten.
Laden Sie unter Identity Provider XML-Metadaten Ihre Metadatendatei hoch.
Fügen Sie unter E-Mail-Domains die E-Mail-Domains hinzu, die für die Anmeldung bei Ihrer Organisation verwendet werden.
Vergewissern Sie sich, dass Sie über eine dieser URLs auf Command zugreifen können (ersetzen Sie die client-id durch die während der Einrichtung verwendete).
Für US-Organisationen: https://vauth.command.verkada.com/saml/login/<client-id>
Für EU-Organisationen: https://saml.prod2.verkada.com/saml/login/<client-id>
Für AUS-Organisationen: https://saml.prod-ap-syd.verkada.com/saml/sso/<client-id>
Siehe Admin > Datensphäre > Datenhoheit > Ort der Datenverarbeitung um zu bestätigen, wo sich Ihre Region befindet.
Sie werden zur Google-Workspace-App-Konfigurationsseite weitergeleitet, um die Anmeldung abzuschließen.
Anmeldung über die mobile Anwendung
Geben Sie im Feld E-Mail-Adresse die E-Mail des Benutzers ein und klicken Sie auf Weiter.
Sie sollten zu Ihrem IdP (Google Workspace) weitergeleitet werden, um den Anmeldevorgang abzuschließen.
Google-Workspace-Benutzerbereitstellung
Die native Google-Workspace-Integration ermöglicht es Organisationen, Benutzer und Gruppen automatisch von Google Workspace in Verkada Command zu synchronisieren. Dies vereinfacht das Identitätsmanagement und das allgemeine Onboarding von Benutzern.
Im Gegensatz zu Verkadas SCIM-Integrationen mit Okta oder Azure verwendet diese Integration das Google Workspace Admin SDK und die Reports API, authentifiziert über ein Google-Dienstkonto mit bereichsweiter Delegierung.
Wenn die Integration aktiviert ist, kann Command:
Benutzer und Gruppen aus ausgewählten Google-Workspace-Gruppen oder Organisationseinheiten (OUs) importieren
sie als verwaltete Benutzer und Gruppen in Command synchronisieren
die Verzeichnisgenauigkeit mit geplanten Hintergrundsynchronisierungen und bedarfsgesteuerten Synchronisierungen über die Admin-Benutzeroberfläche aufrechterhalten
Ein Google-Dienstkonto erstellen
Damit Command Benutzer- und Gruppendaten aus Ihrer Google-Workspace-Domain lesen kann, muss es sich bei den Google-APIs mit einem Dienstkonto authentifizieren. Diese Art von Konto ist für den programmatischen Zugriff vorgesehen und muss mit den richtigen API-Berechtigungsbereichen und bereichsweiter Delegierung konfiguriert werden. Diese Einstellungen werden in Ihrem Google Cloud Console Konto konfiguriert.
Richtlinien & Rollen überprüfen
Sie müssen zunächst überprüfen, ob Ihr Benutzer berechtigt ist, ein Dienstkonto zu erstellen und den JSON-Schlüssel des Dienstkontos zu generieren. Um sicherzustellen, dass Sie nicht durch Sicherheitsrichtlinien in Ihrem Mandanten blockiert werden:
Gehen Sie zu Google Cloud Console und melden Sie sich mit Ihren Super-Admin-Anmeldedaten an.
Öffnen Sie oben links das Dropdown-Menü Projektauswahl und wählen Sie Ihre oberste Ressource (Typ: Organisation) aus.
Navigieren Sie im linken Bereich zu IAM & Admin → IAM.
Klicken Sie unter Nach Prinzipalen anzeigen auf Zugriff gewähren.
a. Unter Prinzipale hinzufügen, geben Sie die E-Mail-Adresse des Benutzers ein. b. Unter Rollen zuweisen, suchen Sie nach Organisationsrichtlinien-Administrator. c. Klicken Sie auf Speichern.
Wählen Sie im linken Bereich Organisationsrichtlinien aus.
Suchen Sie in der Liste der Richtlinien nach den folgenden und deaktivieren Sie sie:
Ein Dienstkonto erstellen
In das Google Cloud Console, öffnen Sie oben links das Dropdown-Menü Projektauswahl.
Klicken Sie auf Neues Projekt.
Geben Sie einen Projektnamen ein (zum Beispiel Verkada Benutzer-Synchronisierung) und erstellen Sie das Projekt.
Sobald das Projekt erstellt ist, bestätigen Sie, dass es in der Navigationsleiste oben links ausgewählt ist.
Gehen Sie in der linken Seitenleiste zu IAM & Admin → Dienstkonten.
Klicken Sie auf + Dienstkonto erstellen.
Füllen Sie die folgenden Felder aus:
Name: Geben Sie einen beschreibenden Namen ein (z. B. Verkada Benutzerbereitstellung)
ID: Unverändert lassen oder anpassen (optional)
Beschreibung: Fügen Sie eine Notiz hinzu, z. B. Wird von Verkada verwendet, um Workspace-Verzeichnisdaten zu lesen (optional)
Klicken Sie auf Erstellen und fortfahren.
Überspringen Sie den Schritt Projektzugriff gewähren — hier sind keine Rollen erforderlich.
Klicken Sie auf Weiter → Fertig.
Kopieren Sie aus der Liste der Dienstkonten die OAuth-2-Client-ID für das neu erstellte Konto. Sie benötigen diese ID später, um Ihre Einrichtung abzuschließen.
Eine JSON-Schlüsseldatei generieren
Klicken Sie in der Liste der Dienstkonten auf den Kontonamen oder wählen Sie die drei Punkte neben Ihrem neuen Dienstkonto aus und wählen Sie Schlüssel verwalten.
Klicken Sie auf der Registerkarte Schlüssel auf Schlüssel hinzufügen → Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen.
Eine .json Datei wird auf Ihren Computer heruntergeladen. Speichern Sie sie an einem sicheren Ort, um sie später bei der Einrichtung der Integration in Verkada Command zu verwenden.
Diese JSON-Datei enthält die Anmeldedaten, die die Google-Workspace-Integration in Command verwendet, um sich über OAuth 2.0 bei Google-APIs zu authentifizieren. Bewahren Sie diese Datei sicher auf, da sie Zugriff auf Ihre Workspace-Daten gewährt und niemals weitergegeben oder öffentlich gemacht werden sollte.
Erforderliche Google-APIs aktivieren
Verkada Command benötigt Zugriff auf bestimmte Google-Workspace-APIs, um Benutzer, Gruppen, Domains und Audit-Logs lesen zu können. Diese APIs müssen in Ihrem Google-Cloud-Projekt aktiviert sein, bevor die Integration funktionieren kann.
Gehen Sie zu Google Cloud Console, und melden Sie sich mit Ihren Super-Admin-Anmeldedaten an.
Gehen Sie in der linken Seitenleiste zu APIs & Services → API-Bibliothek.
Suchen Sie in der Suchleiste nach Admin SDK API, wählen Sie sie aus und klicken Sie dann auf Aktivieren.
Diese API ist erforderlich, um Benutzer, Gruppen und Domänenmetadaten zu lesen.
(Optional) Suchen Sie nach der Reports API und aktivieren Sie sie, damit Audit-Log-Monitoring und die Erkennung von Verzeichnisänderungen möglich sind.
Bereichsweite Delegierung aktivieren
Damit das Dienstkonto einen Administrator imitieren und auf Benutzer- und Gruppendaten in Ihrer Domain zugreifen kann, müssen Sie ihm bereichsweite Delegierung gewähren. Dadurch kann das Dienstkonto Lesebefehle im Namen eines Administrators ausführen, ohne dass eine manuelle erneute Authentifizierung erforderlich ist.
Navigieren Sie zur Google Admin-Konsole und melden Sie sich mit Ihren Super-Administrator-Anmeldedaten für Ihren Google-Workspace-Mandanten an.
Gehen Sie auf der Startseite der Admin-Konsole zu Sicherheit → Zugriff & Datenkontrolle → API-Steuerung.
Scrollen Sie auf der Seite API-Steuerung zum Abschnitt Bereichsweite Delegierung und klicken Sie auf Bereichsweite Delegierung verwalten.
Klicken Sie auf Neu hinzufügen und geben Sie die folgenden Details ein:
Client-ID: Fügen Sie die OAuth-2-Client-ID für Ihre Dienstkontoschlüsseldatei ein (das
client_idFeld in der JSON).OAuth-Berechtigungsbereiche (durch Kommas getrennt):
Klicken Sie auf Autorisieren.
Der neue Delegierungseintrag wird auf der Seite angezeigt und bestätigt, dass das Dienstkonto jetzt von Verkada Command verwendet werden kann, um Benutzer-, Gruppen- und Audiodaten abzufragen.
Benutzerattributwerte festlegen
Bevor Sie Benutzer mit Verkada Command synchronisieren, vergewissern Sie sich, dass wichtige Attribute (wie Vorname, Nachname, E-Mail und Mitarbeiter-ID) in Google Workspace korrekt ausgefüllt sind.
Melden Sie sich bei der Google Admin-Konsole mit Ihrem Super-Admin-Konto an.
Gehen Sie zu Verzeichnis → Benutzer.
Wählen Sie das Benutzerprofil aus, das Sie aktualisieren möchten.
Klicken Sie auf Benutzerinformationen und erweitern Sie dann die relevanten Bereiche (z. B. Basisinformationen oder Mitarbeiterinformationen).
Aktualisieren Sie bei Bedarf die folgenden Felder:
Primäre E-Mail-Adresse
Vorname und Nachname
Mitarbeiter-ID (unter Mitarbeiterinformationen)
Telefonnummer (unter Kontaktinformationen)
Klicken Sie auf „Speichern“, um Ihre Änderungen zu übernehmen.
Die folgenden Attribute können von Google Workspace zu Verkada Command synchronisiert werden:
Vorname
Vorname
Nachname
Nachname
Abteilung
Abteilung
Kostenstelle
Abteilungs-ID
Mitarbeiter-ID
Mitarbeiter-ID
Berufsbezeichnung
Mitarbeitertitel
Telefonnummer (Primär/Privat/Arbeit/Mobil)
Telefonnummer
Benutzer und Gruppen, die aus Google Workspace synchronisiert werden, werden ausschließlich in Workspace verwaltet und können in Verkada Command nicht bearbeitet werden. Benutzer müssen einen Vornamen, Nachnamen und eine E-Mail-Adresse haben, damit die Synchronisierung mit Command erfolgreich ist.
Die Integration in Command aktivieren
Sie benötigen Organisationsadministrator Berechtigungen zum Konfigurieren dieser Integration.
Gehen Sie in Verkada Command zu Alle Produkte > Admin.
Wählen Sie unter Org-Einstellungen Anmeldung & Zugriff → Benutzerbereitstellung → Google Workspace aus.
a. Geben Sie die E-Mail-Adresse Ihres Google-Workspace-Super-Admins ein. Aus Sicherheits- und Kontinuitätsgründen empfiehlt Verkada die Verwendung eines dedizierten Dienstkontos mit gleichwertigen Administratorberechtigungen anstelle eines persönlichen Benutzerkontos. a. Laden Sie den JSON-Schlüssel hoch, den Sie in Ihrem Google-Cloud-Console-Projekt generiert haben. b. Sobald die Authentifizierung erfolgreich war, klicken Sie auf Hinzufügen um die Gruppen und/oder Organisationseinheiten auszuwählen, die Sie mit Command synchronisieren möchten. c. Klicken Sie auf Aktivieren.
Nach erfolgreichem Abschluss der ersten Synchronisierung steht jederzeit eine Schaltfläche Jetzt synchronisieren für bedarfsgesteuerte Aktualisierungen zur Verfügung.
FAQ
Zuletzt aktualisiert
War das hilfreich?