Google Admin
本文介绍如何使用 Google Workspace（Google Admin）作为身份提供商，为 EngageLab 配置 SAML 单点登录。请结合 SSO 配置中的四步流程操作：本文对应其中的「第 1 步：在 IdP 中配置 EngageLab」与「第 2 步：输入 IdP 返回的信息」。
前置条件
- 拥有 Google Workspace 的管理员权限。
- 已有 EngageLab 账号并创建组织，且该组织已开通 SSO 权益。如未开通，请联系商务。
- 成员的 Google 主邮箱（Primary email）与其 EngageLab 账号邮箱一致。
说明：Google Workspace 以用户的主邮箱（Primary email）作为 SSO 邮箱，同一用户不能配置多个 SSO 邮箱。
第 1 步：创建自定义 SAML 应用
登录 Google 管理员控制台，在左侧菜单中点击「应用」>「Web 应用和移动应用」。
点击「添加应用」，选择「添加自定义 SAML 应用」。
填写「应用名称」（例如 EngageLab）和「说明」，点击「继续」。
在「Google 身份提供方详细信息」页，复制「SSO 网址」和「证书」并妥善保存，第 4 步会用到。点击「继续」。
第 2 步：填写服务提供商详细信息
在 EngageLab 配置向导的第 1 步复制 SP 信息。
在 Google 的「服务提供商详细信息」页按下表填写：
Google 字段 填写 ACS 网址 EngageLab 的 ACS URL 实体 ID EngageLab 的 Entity ID 名称 ID 格式 EMAIL 名称 ID Basic Information > Primary email 
点击「继续」。
第 3 步：添加邮箱属性映射
Google Workspace 默认不在 SAML 断言中返回邮箱属性，需要在「属性映射」页添加。
点击「添加映射」，按下表填写：
Google 目录属性 应用属性 Basic Information > Primary email email应用属性也可以填写标准邮箱属性名
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress，两种写法 EngageLab 均可识别。已按该写法配置的应用无需修改。
说明：上图中应用属性使用的是标准邮箱属性名，填写
email效果相同。点击「完成」。
第 4 步：把 Google 的信息填入 EngageLab
在 EngageLab 配置向导的第 2 步填写：
| EngageLab 字段 | 填写 Google 的 |
|---|---|
| x509 Certificate | 第 1 步保存的证书内容 |
| IdP Login URL | 第 1 步保存的 SSO 网址 |
| IdP Logout URL | 第 1 步保存的 SSO 网址 |
填写「SSO 服务的名称」后点击「继续」，然后按 SSO 配置完成授权组织与验证。
说明：Google Workspace 不支持单点登出，「IdP Logout URL」可以填写与「IdP Login URL」相同的 SSO 网址。登出方式见下文常见问题。
第 5 步：开启用户访问权限
新建的自定义 SAML 应用默认未对用户开启，需要手动开启。
在「应用」>「Web 应用和移动应用」中点击刚创建的应用，再点击「用户访问权限」区域（不要点击其中的链接）。
在「服务状态」中选择「对所有人启用」，或只对指定的组织部门、群组启用，点击「保存」。设置可能需要几分钟生效。
使用 Google 登录时的账号校验
通过 EngageLab 登录页的「SSO 登录」或 SSO 专属登录链接登录时，Google 会校验当前浏览器中登录的 Google 账号：
| 浏览器中的 Google 账号 | 结果 |
|---|---|
| 已登录，且与 SSO 登录邮箱一致 | 直接完成 SSO 登录 |
| 已登录多个账号 | 弹出账号选择窗口，请选择与 SSO 登录邮箱一致的账号 |
| 未登录 | 跳转到 Google 登录页，请登录与 SSO 登录邮箱一致的账号 |
| 已登录，但与 SSO 登录邮箱不一致，或该账号未开启应用访问权限 | 显示 403 错误（app_not_configured_for_user），拒绝登录 |
切换 Google 账号
出现 403 错误时，请确认该 Google 账号已在第 5 步开启访问权限，然后切换到正确的账号再登录。以 Chrome 浏览器为例：
点击浏览器右上角的个人资料图标，选择「管理 Chrome 个人资料」。
添加或切换到用于登录 EngageLab 的 Google 账号，然后重新进行 SSO 登录。
也可以使用浏览器的无痕模式登录，系统会引导您登录 Google 账号，避免与已登录的其他账号冲突。
常见问题
Q：在 EngageLab 中登出后，选择账号时出现 400 错误。
A：Google Workspace 不支持单点登出（SLO），无法通过 EngageLab 的登出按钮退出 Google 账号。如需退出，请在浏览器的 Google 账号菜单中手动退出。
Q：Google 认证成功，但无法登录 EngageLab。
A：请检查第 3 步的属性映射：是否已添加 Google 目录属性为 Primary email 的映射，应用属性为 email 或标准邮箱属性名，且该邮箱与 EngageLab 账号邮箱一致。
