Как настроить единый выход при использовании Служб Google в качестве поставщика удостоверений?

Question

Как указано в документации Google, вы можете использовать Google Apps в качестве IdP SAML 2.0. Метаданные IdP включают URL-адрес для единого входа, но не содержат SLO-URL:

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://accounts.google.com/o/saml2?idpid=XXXXXXXX" validUntil="xxxxxxx">
  <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <ds:X509Data>
      <ds:X509Certificate>....</ds:X509Certificate>
    </ds:X509Data>
      </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"     Location="https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX"/>
  </md:IDPSSODescriptor>
</md:EntityDescriptor>

Попытка просто использовать тот же URL для SLO приводит к ошибке в Google:

Error parsing the request, malformed_request: The SAML request is malformed. That’s all we know.

Конечно, вы можете просто перенаправить на https://accounts.google.com/logout но это только завершит сеанс Google.

SLO не упоминается в документации Google. Это поддерживается?

Answer 1

Google не поддерживает SAML SLO в качестве поставщика удостоверений или услуг.