Mit Google Apps können Sie einige Dinge tun.
Sie können einen SAML- Server einrichten, der mit Ihrem AD-Netzwerk verbunden ist, und dann Google einrichten, um Ihren Google Apps-Zugriff gegenüber dem SAML-Server zu authentifizieren. Wir haben eine PHP-Anwendung namens simpleSAMLphp verwendet, da wir bereits Server für PHP eingerichtet haben und Entwickler mit PHP-Kenntnissen haben. Der Nachteil einer SAML-Lösung ist, dass Sie sich nur über das Web bei Konten anmelden können. Dies bedeutet, dass Sie nicht über imap / pop auf Ihr Postfach zugreifen können und sich nicht mit einem alten XMPP-Client bei Google Talk anmelden können.
Durch die Verwendung von SAML werden nicht automatisch Konten in der Google Apps-Domain erstellt. Möglicherweise benötigen Sie auch ein Tool, mit dem Konten synchronisiert werden, damit Sie das Google Apps-Verzeichnissynchronisierungstool verwenden können. Auf diese Weise können Sie Konten erstellen, die Kennwörter werden jedoch standardmäßig nicht synchronisiert, da die Windows-Kennwort-Hashes nicht umkehrbar sind und Google nichts damit anfangen kann.
Es ist möglich, PasswdHk zu verwenden, um Kennwortänderungen in Ihrem AD abzufangen und das Kennwort dann in einem Format (ungesalzenes sha1) zu speichern, das das Google-Dienstprogramm zur Verzeichnissynchronisierung zum Festlegen der Google Apps-Kennwörter verwenden kann. Dies erhöht jedoch das Sicherheitsrisiko, da Google nur nicht gesalzene MD5- oder SHA1-Kennwort-Hashes über die Provisioning-API akzeptiert. Um eine Synchronisierung mit Google durchzuführen , müssen Sie diese Hashes grundsätzlich speichern. Wenn Sie dies verwenden möchten, ist es sehr wichtig, diese Hashes sicher zu halten.
Hmmph. Sie hatten mich alle auf SAML gespannt, bis auf Imap / Pop. Das würde alle Leute umbringen, die Windows Mobile- und Blackberry-Clients verwenden, nicht wahr? Gibt es clevere Alternativen?
Wenn Sie bereit sind, das Risiko des Speicherns von Kennwort-Hashes zu akzeptieren, können Sie SSO und Verzeichnis synchronisieren, um ein funktionierendes System zu erhalten.
Alternativ könnte jemand ein Intranet-Portal entwickeln, in dem Nutzer in Ihrer Domain ihr Google-Konto initialisieren und das Passwort für das Google-Konto festlegen. Ich hatte überlegt, so etwas zu entwickeln, konnte aber meine Kollegen nicht dazu bringen, zuzustimmen, dass es der richtige Weg war.
Die Grundidee dabei ist, eine Webapp zu erstellen, die
- Lebt in Ihrem Intranet und authentifiziert sich mit Ihrem Active Directory
- Verfügt über eine Funktion, die den Benutzernamen und das Kennwort übernimmt, mit denen sich der Benutzer auf der Intranetsite anmeldet, und alle anderen erforderlichen Informationen aus dem AD abruft. Anschließend können Sie mithilfe der Google Provisioning-API das Benutzerkonto hinzufügen / aktualisieren.
Das Tool zu erstellen sollte eigentlich nicht allzu schwierig sein, ich hatte geschätzt, dass es nur 12-16 Stunden Entwicklungszeit benötigt. Der Vorteil dieser Lösung ist, dass sie Ihnen 100% Google Apps-Funktionalität bietet. Der Nachteil ist, dass der Endbenutzer dadurch ein wenig belästigt wird.