Google Admin
本文介紹如何使用 Google Workspace（Google Admin）作為身份提供商，為 EngageLab 配置 SAML 單點登入。請結合 SSO 配置中的四步流程操作：本文對應其中的「第 1 步：在 IdP 中配置 EngageLab」與「第 2 步：輸入 IdP 返回的資訊」。
前置條件
- 擁有 Google Workspace 的管理員權限。
- 已有 EngageLab 帳號並創建組織，且該組織已開通 SSO 權益。如未開通，請聯繫商務。
- 成員的 Google 主要電子郵件地址（Primary email）與其 EngageLab 帳號郵箱一致。
說明：Google Workspace 以使用者的主要電子郵件地址（Primary email）作為 SSO 郵箱，同一使用者不能配置多個 SSO 郵箱。
第 1 步：創建自訂 SAML 應用程式
登入 Google 管理控制台，在左側選單中點擊「應用程式」>「網頁和行動應用程式」。
點擊「新增應用程式」，選擇「新增自訂 SAML 應用程式」。
填寫「應用程式名稱」（例如 EngageLab）和「說明」，點擊「繼續」。
在「Google 識別資訊提供者詳細資料」頁，複製「SSO 網址」和「憑證」並妥善保存，第 4 步會用到。點擊「繼續」。
第 2 步：填寫服務供應商詳細資料
在 EngageLab 配置嚮導的第 1 步複製 SP 資訊。
在 Google 的「服務供應商詳細資料」頁按下表填寫：
Google 欄位 填寫 ACS 網址 EngageLab 的 ACS URL 實體 ID EngageLab 的 Entity ID 名稱 ID 格式 EMAIL 名稱 ID Basic Information > Primary email 
點擊「繼續」。
第 3 步：新增郵箱屬性對應
Google Workspace 預設不在 SAML 斷言中返回郵箱屬性，需要在「屬性對應」頁新增。
點擊「新增對應」，按下表填寫：
Google 目錄屬性 應用程式屬性 Basic Information > Primary email email應用程式屬性也可以填寫標準郵箱屬性名
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress，兩種寫法 EngageLab 均可識別。已按該寫法配置的應用程式無需修改。
說明：上圖中應用程式屬性使用的是標準郵箱屬性名，填寫
email效果相同。點擊「完成」。
第 4 步：把 Google 的資訊填入 EngageLab
在 EngageLab 配置嚮導的第 2 步填寫：
| EngageLab 欄位 | 填寫 Google 的 |
|---|---|
| x509 Certificate | 第 1 步保存的憑證內容 |
| IdP Login URL | 第 1 步保存的 SSO 網址 |
| IdP Logout URL | 第 1 步保存的 SSO 網址 |
填寫「SSO 服務的名稱」後點擊「繼續」，然後按 SSO 配置完成授權組織與驗證。
說明：Google Workspace 不支援單點登出，「IdP Logout URL」可以填寫與「IdP Login URL」相同的 SSO 網址。登出方式見下文常見問題。
第 5 步：開啟使用者存取權
新建的自訂 SAML 應用程式預設未對使用者開啟，需要手動開啟。
在「應用程式」>「網頁和行動應用程式」中點擊剛創建的應用程式，再點擊「使用者存取權」區域（不要點擊其中的連結）。
在「服務狀態」中選擇「ON for everyone」（為所有人開啟），或只對指定的機構單位、群組開啟，點擊「儲存」。設定可能需要幾分鐘生效。
使用 Google 登入時的帳號校驗
通過 EngageLab 登入頁的「SSO 登入」或 SSO 專屬登入連結登入時，Google 會校驗目前瀏覽器中登入的 Google 帳號：
| 瀏覽器中的 Google 帳號 | 結果 |
|---|---|
| 已登入，且與 SSO 登入郵箱一致 | 直接完成 SSO 登入 |
| 已登入多個帳號 | 彈出帳號選擇視窗，請選擇與 SSO 登入郵箱一致的帳號 |
| 未登入 | 跳轉到 Google 登入頁，請登入與 SSO 登入郵箱一致的帳號 |
| 已登入，但與 SSO 登入郵箱不一致，或該帳號未開啟應用程式存取權 | 顯示 403 錯誤（app_not_configured_for_user），拒絕登入 |
切換 Google 帳號
出現 403 錯誤時，請確認該 Google 帳號已在第 5 步開啟存取權，然後切換到正確的帳號再登入。以 Chrome 瀏覽器為例：
點擊瀏覽器右上角的個人資料圖示，選擇「管理 Chrome 設定檔」。
新增或切換到用於登入 EngageLab 的 Google 帳號，然後重新進行 SSO 登入。
也可以使用瀏覽器的無痕模式登入，系統會引導您登入 Google 帳號，避免與已登入的其他帳號衝突。
常見問題
Q：在 EngageLab 中登出後，選擇帳號時出現 400 錯誤。
A：Google Workspace 不支援單點登出（SLO），無法通過 EngageLab 的登出按鈕退出 Google 帳號。如需退出，請在瀏覽器的 Google 帳號選單中手動登出。
Q：Google 認證成功，但無法登入 EngageLab。
A：請檢查第 3 步的屬性對應：是否已新增 Google 目錄屬性為 Primary email 的對應，應用程式屬性為 email 或標準郵箱屬性名，且該郵箱與 EngageLab 帳號郵箱一致。
