用途：为 Google Workspace 配置 SAML 2.0 单点登录，让用户通过既有身份提供商（Okta、Azure AD/Entra ID、ADFS、Ping Identity）认证，而非使用单独的 Google 密码。Google Workspace 作为服务提供方（SP），IdP 负责认证，可集中管理凭据、在 IdP 强制 MFA，并在用户离职时立即撤销访问。
主要能力：配置 IdP 侧 SAML 应用与 Google 侧第三方 SSO 配置文件；按组织单位或群组分配 SSO 配置文件；可选配置网络掩码，按用户 IP 决定走 Google 登录页还是重定向到 IdP；支持域专属 issuer。
关键参数：ACS URL 为 https://www.google.com/a/{your-domain}/acs；Entity ID 为 google.com/a/{your-domain} 或 google.com；NameID 格式为 urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress，取值为用户主 Workspace 邮箱；ACS 使用 HTTP-POST，SSO URL 使用 HTTP-Redirect。
使用方式：先在 IdP 创建 Google Workspace 应用并下载元数据或证书；再以超级管理员登录 admin.google.com，进入 Security > Authentication > SSO with third-party IdP，填写登录页 URL、退出页 URL、改密 URL，上传 IdP 的 X.509 签名证书；随后将配置文件分配给目标组织单位或群组；最后用无痕窗口访问 https://mail.google.com/a/{your-domain} 验证重定向、登录、退出及未分配用户应失败。
前提条件：Google Workspace Business、Enterprise 或 Education 版本；超级管理员权限；支持 SAML 2.0 的 IdP；IdP 签名证书（X.509 PEM，RSA 或 DSA）；域名 DNS 验证。
限制与注意：资料未提供具体收费、价格或效果数据；配置文件传播最长可达 24 小时（通常数分钟）；需保留绕过 SSO 的应急超级管理员账号；应测试证书过期、无效用户、时钟偏移等错误场景。