openid - 如何将 Google 联合登录限制到特定的 Apps 域？

Question

我想在客户的应用程序中实现单点登录。客户已通过 Google Apps 托管电子邮件。由于 Google 提供了 OpenID，这可能相对容易实现。但是，用户可能没有登录到正确的 Google 帐户(甚至多个帐户)。

因此，当使用 Google OpenID 端点时 https://www.google.com/accounts/o8/id用户可以选择他/她想要登录的 Google 帐户。由于该应用程序将只允许从 Google Apps 域登录，因此可以跳过此步骤，以提高用户体验。但是，我找不到方法来做到这一点。有this question在 SO 上，但链接都已失效或引用过时的规范。另外我在 Federated Login for Google Account Users 中找不到提示眼镜。

有些地方说应该用https://www.google.com/a/[domain]/o8/ud?be=o8 ，但这似乎不起作用(不再):

$ wget --header='Accept: application/xrds+xml' https://www.google.com/a/[domain]/o8/ud?be=o8
2012-01-24 09:29:53 ERROR 400: Bad Request.

Answer 1

虽然我找不到官方记录，但特定 Google Apps 域的终点是这样的:

https://google.com/accounts/o8/site-xrds?hd=<domain>

使用此方法时，请注意您将遇到特定于 google 的修改:

Google changed the way of IdP Discovery and user XRDS check a little bit to give Google Apps users openid in http://example.com/openid?id=108441225163454056756 kind of format without asking the users to build their own openid servers. For small companies, people can get their openid under their domain with as few as just a domain name if they use Google Apps. source