Open ID Connect 与 Citrix 身份和访问管理
您可以使用适用于 Citrix Cloud 的 OpenID Connect (OIDC) 身份验证提供程序，为 Chrome Enterprise Premium (CEP) 配置单点登录 (SSO)。OIDC 与 Citrix 身份的集成提供以下优势：
-
设备状态服务集成： 通过将设备状态服务与 Google Chrome Enterprise Premium 集成，您可以将设备合规性检查扩展到基于 Chrome 浏览器的访问场景。此集成使组织能够在用户通过其托管的 Google Chrome 配置文件访问应用程序时强制执行设备状态策略。要将设备状态服务用于此集成，我们建议配置定期设备状态扫描。注意：当设备状态服务配置为多存储模式时，此集成不起作用。有关设备状态服务的更多信息，请参阅 设备状态概述。
-
统一登录体验： 尽管您可以为 Chrome 配置针对大多数常见身份提供程序的 SSO，包括但不限于 Active Directory (AD) 和 Microsoft Entra（以前称为 Azure AD），但您可以选择为云存储和 CEP 提供统一的登录体验。
概述
OIDC 允许使用 Citrix 身份作为 OIDC 身份验证提供程序进行 SSO。OIDC 中涉及的组件如下图所示：
Google Chrome 在创建托管配置文件时，始终尝试针对 Google 目录进行身份验证。借助 OIDC，Google 目录实质上成为针对 Citrix 身份的信赖方 (RP)，Citrix 身份是一个 OIDC 连接提供程序。反过来，Citrix 身份支持以下功能：
-
设备状态功能
-
Chrome 和云存储的通用统一登录体验。
先决条件
在配置 OIDC 身份验证与 Citrix 身份之前，请确保满足以下先决条件：
-
您拥有 Google 管理控制台的管理访问权限。
-
您已配置并执行了目录同步。有关详细信息，请参阅 将 Citrix 身份中配置的用户目录与 Google Cloud 用户目录同步。
-
用户身份提供程序 (IdP) 已在 Citrix Cloud 身份和访问管理中设置和配置。支持以下身份提供程序：
-
Active Directory (AD) - 标准本地 Active Directory 集成
-
带令牌的 Active Directory - 基于令牌身份验证的 AD 集成
-
Microsoft Entra ID - 基于云的身份服务（以前称为 Azure AD）
-
奥克塔
-
SAML 2.0
-
注意：
使用 Citrix Cloud 作为 OpenID Connect (OIDC) 身份验证提供程序的 Chrome Enterprise Premium (CEP) 单点登录 (SSO) 现在支持条件身份验证。
OIDC 集成概述
要使 Google Chrome 托管配置文件登录与您配置的 Citrix 身份提供程序集成，必须将 Google OIDC SSO 配置文件与 Citrix OIDC 客户端关联。为此，请执行以下步骤：
-
在 Google 管理控制台中，通过输入配置文件名称来创建新的 SSO 配置文件。您现在可以将其余字段留空。有关创建新的 SSO 配置文件和重定向 URL 的详细信息，请参阅 创建 Google OIDC SSO 配置文件。
-
创建 SSO 配置文件后，复制为此配置文件生成的重定向 URL。
-
在 Secure Private Access 控制台中，创建 Citrix OIDC 客户端并将重定向 URL（来自 Google SSO 配置文件）粘贴到“重定向 URL”字段中。有关创建 Citrix OIDC 客户端的详细信息，请参阅 创建 Citrix OIDC 客户端。
-
创建 OIDC 客户端后，记下 Secure Private Access 控制台中显示的客户端 ID、客户端密钥和颁发者 URL。
-
返回 Google 管理控制台，并使用 Secure Private Access 控制台中的客户端 ID、客户端密钥和颁发者 URL 更新 SSO 配置文件。
-
在“管理 SSO 配置文件分配”中，选择您配置的 Google SSO 配置文件以完成集成。
注意：
创建 OIDC 客户端后，您可以在 Secure Private Access 控制台中轮换客户端密钥，并在 Google 管理控制台中更新 SSO 配置文件。
下图说明了 OIDC 集成工作流：
创建 Google OIDC SSO 配置文件
在 Google 管理控制台中执行以下步骤。
-
转到“安全 > 身份验证 > 使用第三方 IdP 进行 SSO”，然后选择“添加 OIDC 配置文件”。
-
为配置文件提供一个名称。
-
为客户端 ID 和客户端密钥分配一个虚拟值，或者将其留空。这些字段稍后会更新。
-
在 颁发者 URL 中，输入
https://accounts.cloud.com/core。 -
单击 保存。
创建配置文件后，单击它以获取重定向 URI，创建 OIDC 客户端需要此 URI。
创建 Citrix OIDC 客户端
在 Secure Private Access 管理控制台中执行以下步骤：
-
在导航窗格中，单击 浏览器设置 > Open ID Connect (OIDC)。注意：浏览器设置 菜单中的 Open ID Connect (OIDC) 选项仅在完成载入过程后可用。
-
在 所有者电子邮件 中，输入用户的电子邮件 ID 地址。当 OIDC 客户端密钥过期时，需要此电子邮件 ID 地址来发送警报。
-
在 重定向 URL 中，输入在 Google Admin 控制台中创建 Google OIDC SSO 配置文件时生成的重定向 URI。身份提供程序使用此 URL 响应用户身份验证请求。
-
选择在您的环境中配置的身份提供程序。
-
单击 创建。
成功创建 OIDC 客户端后，将弹出一个窗口显示客户端 ID、客户端密钥和颁发者 URL。您必须将这些详细信息复制到您的 Google 管理控制台配置中。您可以通过以下方法之一检索凭据：-
直接从弹出窗口复制值
-
将详细信息下载为 CSV 文件以进行安全存储
重要提示：客户端密钥仅在此初始设置步骤中可见。您必须在关闭弹出窗口或继续下一步之前检索客户端密钥。窗口关闭后，客户端密钥将无法再次查看，您必须轮换密钥以获取新密钥。 -
-
单击 关闭。
OIDC SSO 配置文件分配
创建 OIDC 客户端并使用客户端 ID 和密钥更新 Google OIDC SSO 配置文件后，必须将 OIDC SSO 配置文件分配给用户和组，SSO 才能生效。
-
在 Google 管理控制台中，转到 安全性 > 身份验证 > 使用第三方 IdP 的 SSO。
-
在 管理 SSO 配置文件分配 中，单击 管理。
-
在左侧导航窗格中，选择根组织单位 (OU) 和您的 SSO 配置文件，为组织的所有用户启用 SSO。或者，您可以将 SSO 配置文件分配给特定的组或 OU。
更新 Citrix OIDC 客户端
Citrix OIDC 客户端密钥的默认有效期为两年。您可以通过轮换客户端密钥来维护 OIDC 安全性，或响应潜在的安全事件。客户端密钥轮换是一项关键的安全措施，必须在现有密钥即将到期时或作为主动安全维护的一部分执行。 每次轮换客户端密钥时，都会生成一个新密钥。旧密钥在其原始到期日期之前仍然有效，以确保平稳过渡而不会导致 SSO 身份验证中断。请务必在每次轮换后尽快使用新客户端密钥更新您的 Google 管理控制台配置。
执行以下步骤轮换客户端密钥
-
在管理控制台中，单击 设置 > Open ID Connect (OIDC) 客户端 页面。
-
点击 旋转客户端密钥 以生成新密钥。将出现确认消息。
-
启用切换开关以同意确认消息，然后点击 旋转。注意：
-
旧客户端密钥在其过期之前仍然有效。这使您能够在不中断身份验证的情况下更新 Google Workspace。
-
如果出于安全目的您希望立即使其过期，请点击 立即过期。
-
客户端 ID 在此过程中保持不变。
-
-
点击 关闭。
-
立即在您的 Google Workspace 配置中更新新密钥。
重要提示：
-
您必须在旧密钥过期之前在 Google OIDC SSO 配置文件配置中更新新的客户端密钥，以保持不间断的 OIDC 身份验证。未能及时更新密钥会中断身份验证，并可能导致用户和服务访问问题。
-
建议定期轮换客户端密钥，以降低未经授权的访问风险并维护身份验证系统的完整性。
-
更新 Google OIDC SSO 配置文件的密钥后，建议您使旧密钥过期。
删除 OIDC 客户端
客户端密钥过期后无法轮换。如果客户端密钥在轮换之前过期，它将变为无效。在这种情况下，您必须删除现有客户端并创建一个新客户端。
在 Secure Private Admin 控制台中执行以下步骤。
-
在 Open ID Connect (OIDC) 客户端页面中，单击“编辑”。
-
单击“删除客户端”。将显示确认消息。
-
将切换开关滑动到“开”，然后单击“删除客户端”。