将SAML属性ForceAuthn与Google IdP一起使用

Question

实际上，我们使用Google IdP作为应用程序的SSO/SAML身份验证类型。我们已将其配置为将用户连接到应用程序，并且运行良好。但最近，我们还想要求用户对应用程序生命周期中可能发生的不同操作进行重新验证。

更详细地说，当我们向Google Idp发送SAML请求时，我们在节点“AuthnRequest”中添加了属性ForceAuthn=“true”，我们还添加了AuthnContextClassRef以明确询问我们想要通过凭据进行重新身份验证。

当我们将此SAML请求发送到Google IdP时，问题是IdP服务器不会向最终用户请求凭据，并直接重定向到响应成功的应用程序。

这正常吗？Google IdP是否支持ForceAuthn=“true”属性？我没有找到关于这个主题的任何文档。

以下是发送给IdP的SAML请求示例：

<samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"                  
                    Version="2.0" 
                    ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" 
                    AssertionConsumerServiceURL="#url_sp" 
                    ID="#id" 
                    IssueInstant="2021-05-31T15:34:19Z" 
                    Destination="https://accounts.google.com/o/saml2/idp?idpid=#id" 
                    ProviderName="#ip" 
                    IsPassive="false" 
                    ForceAuthn="true">
  <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">#url_sp</saml:Issuer>
  <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
    #signature_info
  </Signature>
  <samlp:RequestedAuthnContext Comparison="exact">
    <saml:AuthnContextClassRef xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef>
  </samlp:RequestedAuthnContext>
</samlp:AuthnRequest>

Answer 1

谷歌支持部门的官方回答：“谷歌目前没有为SAML授权服务实施单次注销/帐户重新验证。您也可以使用“会话长度”。