1. Tổng quan

• Bài viết này hướng dẫn thiết lập một ứng dụng SAML tùy chỉnh trên hệ thống Google Admin Console (Identity Provider – IdP) để liên kết với Mobio.
• Lợi ích/Giá trị: Cho phép hệ thống Google Workspace đóng gói các thông số chứng thực (Metadata) và quy định các trường dữ liệu (thuộc tính) sẽ trả về cho Mobio sau khi đăng nhập thành công.
• Đối tượng sử dụng: Quản trị viên (Google Workspace Admin).

2. Giải thích Thuật ngữ & Thông số

• Google Admin Console: Trang quản trị tổng của tổ chức sử dụng dịch vụ Google Workspace.
• Metadata file: Tệp tin chứa chứng chỉ bảo mật (Certificate) và các cấu hình định danh của Google.
• Attribute Mapping (Map thuộc tính): Quy tắc đồng bộ trường dữ liệu. Chỉ định Google phải gửi thông tin gì (Email, tên, họ) sang cho Mobio khi xác thực.

3. Điều kiện tiên quyết (Prerequisite)

• Phân quyền: Tài khoản thao tác phải có quyền Admin trên Google Workspace.
• Dữ liệu đầu vào: Đã thao tác trên hệ thống Mobio ở bước Cấu hình đăng nhập SSO bằng SAML và copy sẵn 2 thông số: Service Provider (SP) Entity ID và Assertion Consumer Services (ACS) URL.

4. Các bước thực hiện (Thao tác trên Google Admin)

Toàn bộ các thao tác dưới đây được thực hiện trên giao diện quản trị của Google Workspace, KHÔNG phải trên Mobio.

• Bước 1: Truy cập Google Admin Console. Ở menu bên trái, chọn Apps → Web and mobile apps.

• Bước 2: Nhấn Add app → Chọn Add custom SAML app.

• Bước 3: Nhập tên ứng dụng (VD: Mobio Login), tải lên ảnh icon (nếu cần) và nhấn Continue.

• Bước 4: Ở màn hình Google Identity Provider details, tại mục Option 1, nhấn Download Metadata để tải tệp XML về máy tính. Nhấn Continue.

• Bước 5: Ở màn hình Service provider details, nhập các thông số của Mobio:
  • ACS URL: Dán đường dẫn ACS URL từ Mobio.
  • Entity ID: Dán đường dẫn Entity ID từ Mobio.
  • Lưu ý: Mục Name ID format để mặc định là UNSPECIFIED. Nhấn Continue.

• Bước 6: Ở màn hình Attribute mapping, tiến hành ghép nối các trường dữ liệu của Google với thông tin user Mobio:
  • Primary email → email
  • First name → first name
  • Last name → last name
  • Nhấn Save.

• Bước 7: Trở lại màn hình chi tiết của ứng dụng vừa tạo, click vào mục User access → Chọn ON for everyone (Hoặc chọn mở cho từng Group cụ thể) để bật quyền sử dụng ứng dụng.

⛔ Điều kiện chặn (Validation Rules): Ở Bước 6, tên các trường email, first name, last name ở cột “App attributes” phải được nhập chính xác từng ký tự (viết thường). Nếu sai lệch, Mobio sẽ không thể nhận diện được người dùng.

5. Quy tắc vận hành

• Luồng trao đổi dữ liệu qua Attribute Mapping: Khi một nhân viên tên “Nguyễn Văn A” (nguyenvana@congty.com) đăng nhập. Google xác thực đúng mật khẩu, sau đó Google sẽ nhìn vào quy tắc Mapping (ở Bước 6) để gói một tệp dữ liệu gồm: email: nguyenvana@congty.com, first name: Văn A, last name: Nguyễn gửi sang Mobio. Mobio sẽ dựa vào trường email này để tìm tài khoản tương ứng trong hệ thống và cho phép truy cập.

6. Các câu hỏi thường gặp (FAQ)

• Q: Tôi không thấy tùy chọn “Add custom SAML app” trong Google Admin của mình?
  • A: Tính năng này yêu cầu doanh nghiệp của bạn phải đang sử dụng các gói Google Workspace hỗ trợ cấu hình SAML nâng cao. Vui lòng kiểm tra lại phiên bản Google Workspace đang sử dụng.

7. Bước tiếp theo

• Sau khi đã có tệp Federation Metadata XML tải về từ Bước 4, bạn hãy quay trở lại hệ thống Mobio để hoàn tất cấu hình đăng nhập SSO bằng SAML.