Existem algumas coisas que você pode fazer com o Google Apps.
Você pode configurar um servidor SAML conectado à sua rede do AD e, em seguida, configurar o Google para autenticar seu acesso ao Google Apps com relação à Servidor SAML. Nós usamos um aplicativo php chamado simpleSAMLphp porque nós já temos a configuração dos servidores para executar o PHP e nós temos desenvolvedores com habilidades php. A desvantagem de usar uma solução SAML sozinha é que você só pode fazer login em contas pela Web. Isso significa que você não pode acessar sua caixa de correio por meio do imap / pop e não pode fazer login na conversa do Google com qualquer cliente XMPP antigo.
O uso do SAML não cria automaticamente contas no domínio do Google Apps. Provavelmente você também precisará de uma ferramenta que sincronize contas para que você possa usar o Diretório do Google Apps ferramenta de sincronização. Isso permitirá que você crie contas, mas ainda não sincronizará as senhas por padrão porque os hashes de senha do Windows não são reversíveis e o Google não pode fazer nada com eles.
É possível usar algo como PasswdHk para interceptar alterações de senha em seu AD e, em seguida, armazenar a senha em um formato (sha1 sem sal ) que o utilitário de sincronização de diretório do Google pode usar para definir as senhas do Google Apps. Mas isso aumenta o risco de segurança, pois o Google aceita somente hashes de senha sem código md5 ou sha1 por meio de sua API de aprovisionamento , e para sincronizar com o Google, basicamente você deve armazenar esses hashes. Se você for usar isso, é muito importante manter esses hashes seguros.
Hmmph. You had me all excited about SAML until the bit about imap/pop. That'd kill all the folks using windows mobile and blackberry clients, wouldn't it? Any clever alternatives there?
Se você estiver disposto a aceitar o risco de armazenar os hashes de senha, poderá combinar o SSO e a sincronização de diretórios para obter um sistema em funcionamento.
Como alternativa, alguém poderia desenvolver um portal de intranet onde os usuários em seu domínio iriam para inicializar a conta do Google e definir a senha para a conta do Google. Eu tinha pensado em desenvolver algo assim, mas não consegui fazer com que meus colegas de trabalho concordassem que esse era o caminho a seguir.
A idéia básica é esta, construa uma webapp que
- Vive na sua intranet e autentica-se no seu diretório ativo
- Possui uma função que usa o nome de usuário e a senha que o usuário usou para fazer login no site da intranet e obter qualquer outra informação necessária do AD e usar a API de aprovisionamento do Google para adicionar / atualizar a conta de usuário. / li>
Construir a ferramenta realmente não deveria ser muito difícil, eu tinha estimado para hackear algo básico que levaria apenas 12-16 horas de tempo de desenvolvimento. A vantagem dessa solução é que ela oferece 100% de funcionalidade do Google Apps. A desvantagem é que ela incomoda o usuário final.