Aanmelden met Google Workspace

Tiaris verbindt op twee manieren met Google Workspace. Beide laten mensen hun beheerde Google-account gebruiken op beheerde computers. Het verschil zit in het aanmeldscherm. Lees eerst Directoryaanmelding instellen als je nog niet hebt gekozen.

• Google Workspace toont een webadres en een eenmalige code op het aanmeldscherm. Mensen ronden de aanmelding af op een telefoon of andere computer. Dit vereist GDM. Elke Blueprint op het beleid moet Lokaal bouwen vanuit broncode toestaan inschakelen.
• Google Workspace (wachtwoord) laat mensen hun Google-wachtwoord direct op het aanmeldscherm invoeren. Elk aanmeldscherm werkt en bronbuilds zijn niet nodig. Deze methode gebruikt Google Secure LDAP, dat niet in elke Workspace-editie zit.

Google Workspace met een aanmeldcode

De Google-client maken

1. Open Google Auth Platform en maak of selecteer een project van je Google Workspace-organisatie.
2. Kies bij een nieuwe Auth Platform-app Get started. Voer een herkenbare appnaam en bewaakte ondersteunings- en contactadressen in.
3. Zet Audience op Internal, zodat alleen accounts uit je Workspace-organisatie de app kunnen toestaan. Beperk de toegang tot de basis-identiteitsbereiken openid, email en profile die Tiaris aanvraagt.
4. Open Clients, kies Create client en selecteer TVs and Limited Input devices als applicatietype.
5. Geef de client een naam, maak deze aan en kopieer direct Client ID en Client secret. Google toont een nieuw clientgeheim alleen volledig bij het aanmaken. Bewaar het via je normale proces voor geheimbeheer.

Zie de actuele Google-instructies voor Auth Platform instellen, aanmelding op apparaten met beperkte invoer en clientgeheimen beheren.

Verbinden met Tiaris

1. Open in Tiaris Instellingen > Aanmeldbronnen.
2. Zoek onder Directoryverbindingen de bron Google Workspace en kies Verbinden.
3. Voer het primaire Workspace-domein van de organisatie in en plak Client-ID en Client-geheim. Het geheim wordt versleuteld voordat het wordt opgeslagen.
4. Laat groepsregels onder Beheerrechten op de computers leeg, tenzij je identiteitstokens een bijpassende claim bevatten. Gewone Google-identiteitstokens bevatten geen Workspace-groepslidmaatschap. Een groepsregel komt daarom meestal met niemand overeen.
5. Kies Testen en verbinden, open het getoonde Google-adres op een ander apparaat, voer de eenmalige code in en meld je aan met een account uit het Workspace-domein.
6. Tiaris toont welk account is aangemeld en welke gebruikersnaam dit op de computer krijgt. Kies Gereed.

Blokkeert Google de test, controleer dan het type TVs and Limited Input devices, de doelgroep van de app en of de Workspace-API-beperkingen de OAuth-client toestaan. Nieuwe Google-clientinstellingen kunnen tijd nodig hebben om overal actief te worden.

Google Workspace met een wachtwoord

Deze methode gebruikt Google Secure LDAP. De computer controleert het wachtwoord rechtstreeks bij Google. Er zijn geen code of browser nodig en elk aanmeldscherm werkt.

Voordat je begint

• Een Workspace-editie met Secure LDAP. Business Starter en Business Standard bevatten dit niet. Controleer je editie in de LDAP-clientdocumentatie van Google.
• Een gebruikersnummer en groepsnummer voor elke gebruiker. Een computer identificeert mensen met nummers, niet met namen. Google geeft alleen een nummer terug als dit op het account is ingesteld. Tiaris kan dit voor je doen, zie Tiaris gebruikersnummers laten toekennen, of je kunt ze zelf in Google Admin instellen. De verbindingstest toont welke nummers terugkomen.

Je hoeft geen thuismap of shell in Google in te stellen. Tiaris geeft iedereen een thuismap onder /home en de beheerde shell en negeert de directorywaarden voor beide.

De LDAP-client in Google Admin maken

1. Open in de Google Admin console Apps > LDAP en kies Add client.
2. Geef de client een naam, bijvoorbeeld Tiaris workstations, en ga verder.
3. Sta onder Access permissions de opties Verify user credentials, Read user information en Read group information toe voor het hele domein of de organisatie-eenheden waarvan mensen op beheerde computers aanmelden.
4. Ga verder en kies Download certificate. De ZIP bevat een .crt- en een .key-bestand. Bewaar deze via je normale proces voor geheimbeheer.
5. Open de clientgegevens en zet de servicestatus op On.

Google beschrijft dit in Connect LDAP clients to the Secure LDAP service. Nieuwe LDAP-clients kunnen tijd nodig hebben voordat ze bruikbaar zijn.

Verbinden met Tiaris

1. Open in Tiaris Instellingen > Aanmeldbronnen.
2. Zoek onder Directoryverbindingen de bron Google Workspace (wachtwoord) en kies Verbinden.
3. Voer Workspace-domein in. Tiaris vult op basis hiervan het Google-directoryadres en de bijpassende zoekbasis in.
4. Selecteer onder Google-certificaat en -sleutel zowel het .crt- als het .key-bestand uit de Google-ZIP.
5. Voer bij Testen met dit account de gebruikersnaam van een op te zoeken directoryaccount in: het deel van het adres vóór @.
6. Kies Verbinding testen. Tiaris slaat de verbinding op als het account wordt gevonden.

Geavanceerde LDAP-instellingen bevat het directoryadres, de zoekbasis, directoryindeling en een bindaccount. De gebruikelijke Google-waarden worden automatisch ingevuld. Wijzig ze alleen voor een eigen bestaande aangepaste LDAPS-installatie.

Het testresultaat lezen

De test controleert meer dan alleen het wachtwoord: je ziet wat de computer voor die persoon ontvangt.

• Gebruikersnaam is de accountnaam op de computer.
• Gebruikersnummer en Groepsnummer worden gemarkeerd als de directory ze niet teruggeeft. Zonder deze nummers kan de computer het account niet maken en mislukt aanmelden. Schakel automatische gebruikersnummers in en test opnieuw.
• Persoonlijke map en Shell zijn alleen informatief. Tiaris vervangt beide op elke beheerde computer door eigen waarden. Het maakt dus niet uit wat Google teruggeeft.
• Een waarschuwing verschijnt als de directory niet op gebruikersnummer doorzoekbaar is. In het gunstigste geval tonen bestandslijsten en id nummers in plaats van namen voor personen die nog niet op die computer zijn aangemeld. In het ongunstigste geval kunnen zij niet aanmelden. Los dit op voordat je op de verbinding vertrouwt. Tiaris de nummers laten toekennen lost het op.

Bij een mislukte test noemt Tiaris de waarschijnlijke oorzaak, zoals een verkeerde zoekbasis, geweigerd certificaat of ontbrekend account. Verbinden zonder testen slaat de verbinding ongecontroleerd op.

Tiaris gebruikersnummers laten toekennen

Een computer identificeert mensen met nummers. Elke persoon heeft een gebruikers- en groepsnummer nodig dat op elke computer blijvend gelijk is. Daardoor blijven bestanden van die persoon wanneer deze naar een tweede machine gaat. Die nummers moeten uit Google komen, want de computer vraagt ze daar op. Tiaris kan niet pas bij aanmelden een nummer verzinnen: computers zoeken gebruikers voortdurend op zonder dat iemand zich aanmeldt, en een lokaal verzonnen nummer zou op de volgende computer anders kunnen zijn.

Tiaris kan de nummers voor je in Google zetten, zodat je accounts niet handmatig hoeft te nummeren.

Google eenmalig voorbereiden

1. Open Service accounts in Google Cloud binnen een project van je Workspace-organisatie. Maak een serviceaccount, bijvoorbeeld tiaris-directory.
2. Voeg onder Keys een sleutel van type JSON toe en download deze. Bewaar deze via je normale proces voor geheimbeheer.
3. Schakel in hetzelfde project de Admin SDK API in.
4. Open in Tiaris de verbinding Google Workspace (wachtwoord). Zoek Laat Tiaris gebruikersnummers toewijzen, selecteer de gedownloade .json-sleutel en voer het adres van een Workspace-beheerder in. Tiaris handelt namens die persoon bij het bijwerken van accounts.
5. Tiaris toont de Client id van het serviceaccount en het vereiste Scope. Voeg in Google Admin onder Domain-wide delegation die client-ID toe met dat bereik.
6. Kies Inschakelen en daarna Nu toewijzen.

Google beschrijft dit in Control API access with domain-wide delegation.

Wat Tiaris doet

• Elk account in het domein zonder nummer krijgt een nummer, vanaf 1.000.000.
• Accounts die al nummers hebben worden nooit gewijzigd. Nummer je al gebruikers, bijvoorbeeld omdat een ander Linux-systeem dezelfde directory gebruikt of omdat je dit handmatig doet, dan legt Tiaris de bestaande waarden vast en laat deze intact.
• Een nummer wordt nooit aan een tweede persoon toegekend, ook niet jaren nadat het eerste account is verwijderd. Er kunnen nog ergens bestanden bestaan met dat nummer als eigenaar.
• Nieuwe gebruikers worden automatisch verwerkt. Tiaris controleert Workspace ongeveer elk uur. Iemand die vandaag begint kan daardoor aanmelden op een beheerde computer zonder dat een beheerder Tiaris hoeft te openen.
• Voorbeeld toont de wijzigingen van een uitvoering zonder iets naar Google te schrijven.

Uitschakelen laat Tiaris het serviceaccount vergeten en stopt het nummeren van nieuwe gebruikers. Bestaande nummers blijven in Google en op alle computers staan, zodat niemand toegang tot eigen bestanden verliest.

Iedereen meldt zich aan als gewone gebruiker

Tiaris kan bij deze methode nog geen beheerdersrechten via Google-groepen geven. Het verbindingsvenster biedt daarom geen regel aan die de computer zou negeren. Geef beheertoegang via een gedeelde lokale accountgroep onder Instellingen > Aanmeldbronnen.