默认 RelayState for Google for Work SAML App

Question

我正在尝试将BIME Analytics配置为服务提供商（SP），以使用谷歌作为SAML身份提供商（IdP）。

按照https://support.google.com/a/answer/6087519?hl=en的说明，我能够执行SP发起的身份验证。这意味着如果我访问https：//.bime.io/portal并单击SAML登录按钮，我将被重定向到Google登录页面，并且在输入我的Google for Work凭据后能够访问我的BIME门户页面。

不幸的是，我无法让IdP发起的身份验证工作。也就是说，例如，从Gmail中，如果我打开应用程序启动器并单击我的BIME SAML应用程序的图标，它将带我进入BIME而没有任何身份验证问题，但随后我得到一个BIME仪表板未找到错误。

BIME支持能够确定这是因为我没有发送他们需要的RelayState参数值。当我开始在BIME中时，我在他们的网页上，并且有一个隐藏的RelayState值被发送到Google，以让它知道在我登录后将我发送到哪里。但是，当我开始在Google中工作时，该值未设置。BIME 支持人员能够在 Okta 中配置连接，因为 Okta 有一个“默认中继状态”字段，他们可以将值硬编码到该字段中。

对于Google SAML应用程序，我如何指定默认的RelayState值来启用IdP启动的SAML应用程序身份验证？

Answer 1

您正在寻找的relaystate URL是

https://www.google.com/a/〔域〕/ServiceLogin？继续=https://mail.google.com

更多信息在这里

Answer 2

昨天我看了一下谷歌办公套件中的IdP SAML设置页面，注意到有一个可选的“开始URL”字段。

我还注意到，在配置预集成的 SAML 应用程序的帮助文档中，“起始 URL”字段经常被使用。

因为IdP响应的可配置部分是：

• SAMLResponse与断言（包括G Suite配置页面中的“断言消费者服务URL”和“实体ID”字段）
• 重调状态参数

我不得不猜测“开始URL”可能是保存RelayState参数的字段。考虑到RelayState是SAML集成的一个可选但重要且常用的部分，这很有意义。它还解释了为什么该字段是可选的，并且位于ACS和实体ID字段的正下方。

此 Oracle 博客文章引用了“起始 URL”字段，并建议其用途之一是包含未经请求的 RelayState 值：

可以选择为Google IdP启动的SSO操作输入一个开始URL，用户将单击Google上的SAML应用程序合作伙伴，以重定向到OAM上的应用程序:这将是受保护的应用程序URL，或未经请求的中继状态。

因此，虽然我目前无法测试自己，但我认为可以肯定地说，这个“开始URL”字段就是您想要设置RelayState值的字段。