Google SAML应用程序\u未\u为\u用户配置\u/相当于提示符=选择\u帐户SAML

Question

我使用GSuite作为一个Saml IDP在内部应用程序上验证我的组织的用户。

一切正常，但有一点除外：当我的一个用户仅使用他/她的个人帐户登录时，谷歌将失败：

403错误：未为用户配置应用程序

这是有道理的，因为该应用程序只供内部用户使用，但我希望能够强制Google saml身份验证显示帐户选择器，即使用户已经登录到一个帐户，因为这对于oauth2来说是可能的，提示=html" target="_blank">select_account。

有没有办法对SAML有同样的行为？

[编辑]我实际上通过使用

https://accounts.google.com/AccountChooser/?continue=$SAML_请求$

[编辑2]以下是ruby on rails（使用ruby-saml）中适配的代码片段

配置/初始化器/saml_覆盖。铷

module OneLogin
  module RubySaml
    class Authrequest < SamlMessage
      GOOGLE_ACCOUNT_CHOOSER_URL = "https://accounts.google.com/AccountChooser?continue="
      alias_method :old_create, :create
      def create(settings, params = {})
        self.old_create(settings, params)
        @login_url = GOOGLE_ACCOUNT_CHOOSER_URL + CGI.escape(@login_url)
      end
    end
  end
end

Answer 1

class SamlController < ApplicationController

  def init
    request = OneLogin::RubySaml::Authrequest.new
    redirect = request.create(saml_settings)

    # google doesn't support ForceAuthn so we have to redirect requests to the account chooser first
    google_account_url_chooser = "https://accounts.google.com/AccountChooser?continue="
    if redirect.include?("https://accounts.google.com")
      encoded_redirect = CGI.escape(redirect)
      redirect = "#{google_account_url_chooser}#{encoded_redirect}"
    end

    redirect_to(redirect)
  end

  def saml_settings 
    ...
  end
end