GAE Web应用程序的SSO实现

Question

我正在尝试为我在Google App Engine平台上运行的应用程序集成单一登录。我正在使用SAML 2.0协议来完成此操作。我的组织已经拥有使用LDAP的身份提供程序，该提供程序以这种格式（https://sso-companyname/appname）配置。对于此配置，它采用了以下详细信息

1. 其声明消费者服务（ACS）（https://www.google/companyname/a/acs）的XML元数据，
2. 要发送（电子邮件）的LDAP属性列表，
3. 哪个属性将用作断言的主题（公司企业标识），
4. 在验证SAML响应断言后，依赖方站点上的RelayState URL来发送用户，（来自GAE部署的应用程序目标URL。例如（https://appname-dot-projectid.appspot.com）
5. URL中要使用的应用程序的简称（少于7个字符）（作为应用程序名称）

根据此配置，ACS不适用于特定的GAE应用程序，因此我从Google服务器收到400错误。

有人可以帮助我如何为单个GAE应用程序创建ACS，并且能够解释GAE Web应用程序的SSO会很感激。

该Web应用程序使用Python jinja2框架作为UI，使用webapp2进行路由。它将调用google-big-query将数据填充到UI，当前，它使用的是GAE的Python标准环境，并使用OAuth 2方法进行身份验证并调用big-query API以获取数据。因此，有些人没有GCP /项目访问权限，无法查看数据。为了解决这个问题，我们尝试在应用程序顶部实现SSO。

Answer 1

[我认为将GAE与SSO / SAML集成的最简单方法是使用Google Identity Platform (GIP)，它在后台使用Firebase。这使您可以使用firebase-admin Python软件包轻松地与JWT进行交互，并允许您使用GIP控制台来设置SAML服务器。