Mit Google Workspace bei InfraNest anmelden

Verbinde das Google Workspace deines Unternehmens mit InfraNest, damit sich dein Team mit seinen gewohnten Arbeitskonten anmelden kann — gedacht für InfraNest-Administratoren mit einem Enterprise-Tarif.

Überblick

• Ermöglicht allen in deinem Google Workspace, sich mit ihrem bestehenden Workspace-Konto bei InfraNest anzumelden.
• Dies ist deine eigene Verbindung, eingerichtet in deinem eigenen Google-Cloud-Projekt — nur Konten in deinem Workspace können sie nutzen.
• Wird jemand in Google Workspace gesperrt oder gelöscht, verliert diese Person sofort auch den Zugriff auf InfraNest.
• Unterscheidet sich von der alltäglichen Continue with …-Google-Anmeldung, die allen zur Verfügung steht und mit jedem Google-Konto funktioniert. Für diese Option siehe Single Sign-on und Anmeldeverbindungen.
• Dauert etwa zehn Minuten, aufgeteilt zwischen der Google-Cloud-Konsole und Settings → Sign-in in InfraNest.

NoteGoogle übermittelt keine Gruppeninformationen, daher kann diese Verbindung keine Rollen anhand von Google-Gruppen zuweisen. Jede beitretende Person erhält die Rolle, die du bei der Einrichtung auswählst, und du kannst Rollen danach in InfraNest ändern.

Bevor du beginnst

• Verwende ein Google-Cloud-Projekt, das zu deiner Workspace-Organisation gehört. Die Einstellung, die externe Google-Konten ausschließt (Internal), erscheint nur bei Projekten innerhalb der Google-Cloud-Organisation deines Unternehmens. Ein Projekt, das mit deinem Workspace-Konto angemeldet erstellt wird, landet normalerweise dort; eines mit einem privaten Google-Konto nicht.
• Stelle sicher, dass du in der Google-Cloud-Organisation deines Unternehmens ein Projekt erstellen kannst und dass du in InfraNest Administrator bist.

In InfraNest starten

1. Gehe zu Settings → Sign-in und wähle Set up single sign-on.
2. Wähle Google Workspace.
3. Prüfe unter Email domain die von InfraNest vorgeschlagene Domain. Eine Verifizierung wird empfohlen — dann können Personen ihre Arbeitsadresse auf der Anmeldeseite eingeben, und neue Personen können automatisch beitreten. Du kannst die Verifizierung überspringen; dein Team verwendet dann stattdessen den Anmeldelink deiner Organisation, und neue Personen treten per Einladung bei. Ist die Domain noch nicht verifiziert, zeigt InfraNest den hinzuzufügenden DNS-Eintrag an — wähle Add it for me, wenn InfraNest diese DNS-Zone bereits verwaltet, oder füge den Eintrag selbst hinzu und wähle Check now.
4. Kopiere im Schritt Create the app die Redirect URL oben. Lasse diesen Tab geöffnet — du kehrst gleich dorthin zurück.

Den Anmeldebildschirm in Google Cloud einrichten

1. Öffne in einem zweiten Tab die Google-Cloud-Konsole und wähle dein Projekt aus oder erstelle eines für InfraNest innerhalb der Organisation deines Unternehmens.
2. Öffne das Menü und gehe zu Google Auth Platform → Branding. Falls Google für dieses Projekt noch nicht eingerichtet wurde, wähle Get started.
3. Fülle das Formular aus:
   • App name: InfraNest — diesen Namen sehen deine Leute bei der Anmeldung.
   • User support email: eine Adresse, an die sich deine Leute wenden können, zum Beispiel die deines IT-Teams.
   • Audience: Internal — damit können sich nur Konten in deinem Workspace anmelden.
   • Contact information: eine Adresse, über die Google zu diesem Projekt schreiben kann.
4. Stimme der Google API Services User Data Policy zu und wähle Create.

WarningWird Internal nicht angeboten, befindet sich das Projekt nicht innerhalb deiner Workspace-Organisation. Erstelle das Projekt erneut über dein Workspace-Konto, anstatt External zu wählen — eine externe App lässt jedes Google-Konto auf die Anmeldung zugreifen.

Du musst unter Data Access keine Scopes hinzufügen. InfraNest fragt Google nur nach Name und E-Mail-Adresse einer Person ab, was jede App anfragen darf.

Den OAuth-Client erstellen

1. Gehe zu Google Auth Platform → Clients und wähle Create client.
2. Fülle das Formular aus:
   • Application type: Web application.
   • Name: InfraNest — diesen Namen siehst nur du.
   • Authorized JavaScript origins: leer lassen.
   • Authorized redirect URIs: wähle Add URI und füge die aus InfraNest kopierte Redirect URL ein.
3. Wähle Create.
4. Kopiere die Client ID und das Client secret sofort. Google zeigt das vollständige Geheimnis nur jetzt an; danach werden nur noch die letzten Zeichen angezeigt.

Die Verbindung in InfraNest abschließen

1. Füge zurück im InfraNest-Tab im Schritt Create the app die Client ID und das Client secret ein.
2. Es gibt nichts weiter auszufüllen — InfraNest liest alles andere direkt von Google.

Ausprobieren, festlegen, wer Zugriff erhält, und einschalten

1. Wähle im Schritt Try it die Option Sign in with Google Workspace to test. Ein neuer Tab öffnet sich bei Google — melde dich mit deinem eigenen Workspace-Konto an. Klappt es, wird der Schritt grün. Ein Test ist erforderlich, bevor du die Verbindung einschalten kannst.
2. Lege im Schritt Who gets in fest, was When somebody new signs in passieren soll:
   • Add them straight away ist vorausgewählt. Neue Personen treten mit der Rolle unter Role for new members bei, die standardmäßig Member (nur lesen) ist.
   • Ask an admin verwandelt die Anmeldung jeder neuen Person in eine Beitrittsanfrage, die ein Administrator genehmigt.
   • Do nothing bedeutet, dass weiterhin eine Einladung nötig ist.
3. Wähle Switch on. Die Statusliste der Verbindung sollte nun lauten: Connected to Google Workspace · Email domain verified · Test sign-in passed · Switched on.

WarningAnders als bei Okta oder Entra ID hat eine Google-Workspace-Verbindung keine Liste von Personen, die der App zugewiesen sind — jedes aktive Konto in deinem Workspace kann sich anmelden, einschließlich gemeinsam genutzter Konten und Auftragnehmer mit einem Workspace-Konto. Ist das weiter gefasst, als wer deine Infrastruktur sehen sollte, wähle stattdessen Ask an admin.

Der Workspace-Administrator kann dies möglicherweise in der Google Admin-Konsole unter Security → Access and data control → API controls weiter einschränken, womit sich eine App auf bestimmte Organisationseinheiten begrenzen lässt. Wir haben nicht geprüft, wie diese Einstellung eine App behandelt, die Nutzer nur anmeldet.

Dein Team meldet sich über die normale InfraNest-Anmeldeseite an: Sie geben ihre Arbeitsadresse ein und wählen Continue with ….

Gut zu wissen

• Start from InfraNest. Personen melden sich über die InfraNest-Anmeldeseite mit ihrer Arbeitsadresse an. Es gibt keine InfraNest-Kachel, die man von Google aus startet.
• Client secret erneuern. Erstellst du in Google Cloud ein neues Geheimnis für den Client, füge es in der Verbindung unter Credentials and claim names ein und wähle Replace. Bis dahin kann sich niemand über Google Workspace anmelden.
• Mehr als eine E-Mail-Domain. Personen können sich mit jeder Adresse einer Domain anmelden, die du in InfraNest verifiziert hast. Hat dein Workspace mehrere Domains, verifiziere jede, mit der sich Personen anmelden.
• Sensible Aktionen bestätigen. Wenn deine Organisation Personen bittet, Löschungen durch erneute Anmeldung zu bestätigen, ist Google Workspace dafür keine der Möglichkeiten. Google bietet keine Möglichkeit, eine erneute Anmeldung zu erzwingen, daher bestätigen Personen stattdessen mit einem Passkey, einer Authenticator-App oder ihrem Passwort.
• Google Workspace für alle verlangen. Sobald die Anmeldung funktioniert, kannst du Single Sign-on für deine gesamte Organisation unter Settings → Sign-in verlangen. InfraNest verlangt vorher mindestens einen Owner mit einem Passkey, damit ein Problem bei Google dich niemals aussperren kann. Siehe Single Sign-on und Anmeldeverbindungen.

Wir haben diese Schritte anhand der aktuellen Google-Dokumentation verfasst, sie aber noch nicht in einem laufenden Google Workspace durchgespielt. Sieht ein Bildschirm in deiner Konsole anders aus, sind die obigen Namen die, die Google diesen Einstellungen heute gibt.

Problembehandlung

• Google zeigt „Error 400: redirect_uri_mismatch“: Die Adresse unter Authorized redirect URIs stimmt nicht mit der Redirect URL in InfraNest überein. Kopiere sie erneut — sie muss exakt übereinstimmen, einschließlich https:// und eines eventuellen Schrägstrichs am Ende. Eine Änderung am Client kann ein paar Minuten, manchmal länger, dauern, bis sie bei Google wirksam wird.
• Google zeigt „Error 403: org_internal“: Das zur Anmeldung verwendete Konto gehört nicht zu deinem Workspace. Melde dich mit einem Workspace-Konto an oder prüfe, ob das Projekt zur richtigen Organisation gehört.
• Google zeigt „Error 401: invalid_client“: Die Client ID in InfraNest wurde falsch eingegeben, oder der Client wurde in Google Cloud gelöscht.
• Jemand meldet sich bei Google an, aber InfraNest lässt die Person nicht hinein: Die Adresse gehört zu keiner Domain, die du in InfraNest verifiziert hast.
• Deine Administratoren können jeden fehlgeschlagenen Versuch samt Grund im Settings → Audit Log einsehen.