谷歌企业版SAML应用程序的默认RelayState是什么？

Question

我正在尝试将BIME Analytics配置为服务提供商(SP)，以使用Google for Work作为SAML身份提供者(IdP)。

按照https://support.google.com/a/answer/6087519?hl=en上的说明，我能够执行SP启动的身份验证。这意味着如果我访问https://.bime.io/portal并单击SAML登录按钮，我会被重定向到Google登录页面，并在输入我的Google for Work凭据后能够访问我的BIME门户页。

不幸的是，我无法使IdP启动的身份验证工作。也就是说，例如在Gmail中，如果我打开应用启动器并点击我的BIME SAML应用程序图标，它会将我带入BIME而不会有任何身份验证问题，但随后我会收到“未找到BIME仪表板”的错误信息。

BIME支持能够确定这是因为我没有发送他们要求的RelayState参数值。当我在BIME中开始时，我在他们的网页上，有一个隐藏的RelayState值被发送到Google，让它知道在我登录后应该将我发送到哪里。然而，在我从Google开始时，该值没有设置。通过Okta，BIME支持能够配置连接，因为Okta有一个“默认RelayState”字段，他们可以将一个值硬编码到其中。

对于Google SAML应用程序，我如何指定默认的RelayState值以启用IdP启动的身份验证进入SAML应用程序？

- LostHisMind

Answer 1

昨天我查看了G Suite中的IdP SAML设置页面，注意到有一个可选的“启动URL”字段。

我还在帮助文档中配置预集成SAML应用程序中注意到，“启动URL”字段经常被使用。

由于IdP响应的可配置部分是：

- 包括G Suite配置页面中的“Assertion消费服务URL”和“实体ID”字段在内的SAMLResponse With Assertion - RelayState参数

我猜测“启动URL”可能是保存RelayState参数的字段。考虑到RelayState是SAML集成的可选但重要且常用的部分，这非常有道理。这也解释了为什么该字段是可选的，并直接位于ACS和实体ID字段下方。 这篇Oracle博客文章提到了Start URL字段，并建议它的其中一种用途是包含未经请求的RelayState值： > 可选择为Google IdP启动SSO操作输入一个起始URL，在此用户将点击Google上的SAML应用程序合作伙伴，以重定向到OAM上的应用程序：这将是受保护的应用程序URL或未经请求的Relay State。

因此，虽然目前我无法进行测试，但我认为可以肯定地说这个“启动URL”字段是用于设置RelayState值的。

- Matthew Long

---

我刚刚验证了这个。只需将所需的RelayState参数的值放入“开始URL”字段即可。 - Michael Rush

Answer 2

你要找的relaystate URL是：

https://www.google.com/a/[DOMAIN]/ServiceLogin?continue=https://mail.google.com

更多信息请点击这里。

- Akh