คู่มือการตั้งค่า SSO ของ Google Admin

คู่มือนี้ให้คำแนะนำแบบครบถ้วนสำหรับการตั้งค่า SAML Single Sign-On (SSO) โดยใช้ Google Admin บนแพลตฟอร์ม GPTBots กรุณาอ้างอิงหน้าคู่มือ SSO Configuration Page ของ GPTBots เพื่อดูแนวทางการดำเนินการให้ครบถ้วนตลอดกระบวนการตั้งค่า

สำหรับการเชื่อมต่อ SSO ระหว่าง Google Admin และ GPTBots การจับคู่บัญชีผู้ใช้จะขึ้นอยู่กับการจัดกลุ่มที่ตั้งค่าไว้ใน Google Admin และกลุ่ม SSO ของ GPTBots

ในการตั้งค่า Google Admin SSO ให้สมบูรณ์ ต้องมีเงื่อนไขเบื้องต้นดังต่อไปนี้ โดยบทความนี้จะอธิบายขั้นตอนตามลำดับดังนี้

• บัญชี Google Admin: คุณได้ลงทะเบียนบัญชีผู้ดูแลระบบ Google Admin แล้ว
• บัญชี GPTBots และ SSO: องค์กรเป้าหมายต้องเปิดใช้งานฟีเจอร์ SSO (หากยังไม่ได้เปิดใช้งาน กรุณา ติดต่อฝ่ายขาย)
• การอนุญาตกลุ่ม: แอปพลิเคชัน GPTBots ได้รับการอนุญาตใน Google Admin สำหรับกลุ่มที่ต้องการเข้าใช้งาน SSO แล้ว
• ข้อกำหนดความสอดคล้องของบัญชี: อีเมลที่ใช้เข้าสู่ระบบ GPTBots ต้องตรงกับอีเมลที่ได้รับอนุญาตใน Google Admin ทุกประการ

หมายเหตุ: ในสภาพแวดล้อมของ Google การตั้งค่า SSO จะอ้างอิงจากแอตทริบิวต์ Primary Email ของผู้ใช้ Google Admin ไม่รองรับการตั้งค่าอีเมล SSO หลายรายการสำหรับผู้ใช้คนเดียว กรุณาตรวจสอบให้อีเมลที่ใช้เข้าสู่ระบบ SSO ตรงกับ Primary Email ในไดเรกทอรี Google Admin เพื่อให้การยืนยันตัวตนสำเร็จ

กระบวนการตั้งค่า

1. เข้าสู่ระบบ Google Admin Console ที่เมนูนำทางด้านซ้าย คลิก "แอป > แอปเว็บและอุปกรณ์เคลื่อนที่"

   

2. คลิก "เพิ่มแอป" และเลือก "เพิ่มแอป SAML แบบกำหนดเอง"
   

3. กรอก "ชื่อแอป" และ "คำอธิบาย" เพื่อระบุแอป SAML นี้
   

4. กรุณาคัดลอกและบันทึกข้อมูล SSO URL และ Certificate ไว้อย่างปลอดภัย เนื่องจากจะต้องใช้ในการตั้งค่า SSO ของ GPTBots ภายหลัง
   

5. เข้าสู่ระบบคอนโซล GPTBots ไปที่หน้าตั้งค่า SSO และคัดลอกข้อมูลสำคัญ เช่น Entity ID และ ACS URL
   

6. ในการตั้งค่าแอป SAML ของ Google Admin ให้นำ Entity ID และ ACS URL ที่ได้มากรอกลงในช่องที่เกี่ยวข้อง
   

7. เลือก EMAIL เป็น Name ID format เลือก ข้อมูลพื้นฐาน > Primary Email เป็น Name ID แล้วคลิก "ดำเนินการต่อ"
   

8. เพิ่มแอตทริบิวต์ Google Directory Primary Email และกำหนดแอตทริบิวต์แอปพลิเคชันเป็น
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   แอตทริบิวต์นี้ใช้สำหรับการตั้งค่า Google SSO ทั้งหมดของ GPTBots
   
   คลิก "เสร็จสิ้น" เพื่อจบขั้นตอนตั้งค่าเบื้องต้นฝั่ง Google Admin

9. กลับไปที่หน้าตั้งค่า SSO ของ GPTBots และกรอก SSO URL กับ Certificate ที่บันทึกไว้ลงในช่อง IdP Login URL, IdP Logout URL และ x509 Certificate
   

10. เมื่อกำหนดค่าเสร็จแล้ว ให้ค้นหาแอป SAML ที่สร้างใหม่ในเมนู "แอป" > "แอปเว็บและอุปกรณ์เคลื่อนที่" และคลิกที่ส่วน "การเข้าถึงผู้ใช้" (พื้นที่ที่ไม่ใช่ลิงก์)
    

11. ที่สถานะบริการ ให้เลือก "เปิดสำหรับทุกคน" เพื่อให้ผู้ใช้เป้าหมายทุกคนสามารถเข้าสู่ระบบผ่าน SSO ได้
    

คำแนะนำการเข้าสู่ระบบและออกจากระบบ

สำหรับข้อมูลโดยละเอียดเกี่ยวกับกระบวนการเข้าสู่ระบบและออกจากระบบมาตรฐาน กรุณาอ้างอิง SSO Configuration Page ของ GPTBots ส่วนนี้จะเน้นกระบวนการยืนยันตัวตนและปัญหาที่พบบ่อยเมื่อใช้ Google Admin เป็น Identity Provider (IdP) ซึ่งจะแตกต่างจาก IdP อื่น

การตรวจสอบความสอดคล้องของบัญชี

เมื่อใช้ Google Admin SSO ในการยืนยันตัวตน ระบบจะตรวจสอบว่าบัญชี Google ที่คุณกรอกตรงกับ บัญชี Google ที่ล็อกอินในเบราว์เซอร์ หรือไม่ โดยมีกรณีดังนี้

• เริ่มกระบวนการเข้าสู่ระบบผ่าน ปุ่ม SSO login
• ลิงก์ SSO login (รวมถึงลิงก์ในอีเมลเชิญเมื่อเชิญผู้ใช้เข้าร่วมองค์กร SSO)

ขึ้นอยู่กับสถานะการล็อกอินและความตรงกันของบัญชี Google ระบบจะตอบสนองดังนี้

เบราว์เซอร์ล็อกอินและบัญชีตรงกัน

ไม่ต้องดำเนินการเพิ่มเติม ระบบจะดำเนินการยืนยันตัวตน SSO ต่อโดยอัตโนมัติ

เบราว์เซอร์ล็อกอินหลายบัญชี Google

ระบบจะแสดงหน้าต่างให้เลือกบัญชี กรุณาเลือกบัญชีที่ตรงกับอีเมล SSO login

เบราว์เซอร์ยังไม่ได้ล็อกอินบัญชี Google ใด ๆ

ระบบจะขึ้นหน้าต่างให้ล็อกอินบัญชี Google อัตโนมัติ กรุณาล็อกอินด้วยบัญชีที่ตรงกับอีเมล SSO login

เบราว์เซอร์ล็อกอินแล้วแต่บัญชีไม่ตรงกัน

ระบบจะแสดงข้อผิดพลาด 403 และบล็อกการเข้าสู่ระบบ

การแก้ไขปัญหาและสลับบัญชี

หากพบข้อผิดพลาด 403 ให้ดำเนินการแก้ไขและสลับบัญชีดังนี้

ยกตัวอย่างการใช้ Google Chrome ให้ไปที่หน้า "จัดการโปรไฟล์ Chrome"

เพิ่มหรือสลับไปยังบัญชี Google ที่ต้องการใช้สำหรับ SSO GPTBots ตรวจสอบให้ถูกต้องก่อนเข้าสู่ระบบ SSO GPTBots อีกครั้ง

หรือหากไม่ต้องการบันทึกประวัติการใช้งาน สามารถใช้โหมดไม่ระบุตัวตนของเบราว์เซอร์สำหรับ SSO ได้ ในโหมดนี้ระบบจะขึ้นหน้าต่างให้ล็อกอินบัญชี Google ใหม่โดยอัตโนมัติ สะอาด ลดปัญหาบัญชีซ้อนทับ

คำถามที่พบบ่อย

ถาม: ขณะออกจากระบบ ระบบแจ้งให้เลือกบัญชี แต่เมื่อคลิกแล้วขึ้นหน้า 400 Error

ตอบ: Google Workspace ไม่รองรับ SLO (Single Logout) จึงไม่สามารถออกจากระบบบัญชี Google ได้โดยตรงผ่านปุ่มออกจากระบบของ GPTBots หากต้องการออกจากระบบ กรุณาไปที่หน้าจัดการบัญชี Google ในเบราว์เซอร์แล้วออกจากระบบบัญชี Google ด้วยตนเอง