<div dir="ltr">Andy,<div><br></div><div>I'm talking about a single instance with multiple domains registered.  In your case, email to either of the defined addresses delivers to a single mailbox.  This is effectively what we have now, which is turning into some very difficult to resolve use cases.</div><div><br></div><div>dean</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Nov 2, 2017 at 11:47 AM, Andrew Morgan <span dir="ltr"><<a href="mailto:morgan@orst.edu" target="_blank">morgan@orst.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On Thu, 2 Nov 2017, Knape, Dean M. wrote:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Hello,<br>
<br>
We're a G Suite for Education customer and are exploring supporting a setup<br>
consisting of a primary domain and multiple secondary domains, where a user<br>
may exist in one or more of the domains simultaneously and the user's<br>
username would be common across domains.<br>
<br>
Unfortunately, Google is not able to issue domain specific authentication<br>
requests for this type setup.  The ACS URL and Issuer are based on the<br>
primary domain in all cases.<br>
<br>
Google is suggesting using the relay state of the authentication request to<br>
derive domain information which can then be used to build the appropriate<br>
email address for the SAML response.  Is this something that can be done in<br>
the IdP?<br>
<br>
Are there other options/recommendations?<br>
<br>
dean<br>
</blockquote>
<br>
Dean,<br>
<br>
Do you have multiple instances of G Suite or one instance with multiple domains registered?<br>
<br>
We have both, actually, because we have a test instance of G Suite and a production instance of G Suite.  In both of those instances, our users have multiple domains on their accounts, all with the same username (left-hand of at-sign).<br>
<br>
When we auth for the production instance, we always assert the primary domain back to Google.  Let me give you a concrete example...<br>
<br>
My Google account:<br>
<br>
  User: <a href="mailto:morgan@oregonstate.edu" target="_blank">morgan@oregonstate.edu</a><br>
  Aliases: <a href="mailto:morgan@onid.oregonstate.edu" target="_blank">morgan@onid.oregonstate.edu</a><br>
<br>
I can type either of these usernames into Google's login form and they will redirect me to our IDP.  In the SAML assertion back to Google, we assert the NameID with a value of "<a href="mailto:morgan@oregonstate.edu" target="_blank">morgan@oregonstate.edu</a>".<br>
<br>
Internally, we implemented this by creating a new attribute in LDAP named "googlePrincipalName".  We store the user's Google username in that attribute, and Shibboleth resolves it to generate the NameID value. Perhaps you can use this method to store the correct mapping to Google username for each user.<br>
<br>
Thanks,<br>
        Andy<span class="HOEnZb"><font color="#888888"><br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/co<wbr>nfluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.n<wbr>et</a><br>
</font></span></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div style="text-align:left"><pre cols="72"><font size="2">Dean Knape<br>University Information Systems<br>NJ Institute of Technology<br></font></pre></div></div></div>
</div>