Angular + Google Identity Platform Multi-Tenancy

Question

我有一个 Angular 应用，当前使用 Firebase 身份验证和 Firebase 托管。我正在考虑迁移到具有 Multi-Tenancy 功能的 Google Identity Platform。在这种情况下，必须将租户 ID 传递给 Angular 应用程序中的 auth 对象。

我的问题是我们如何动态找到合适的租户 ID。如果我们在 Angular 应用中使用子域名或路径来区分租户，则需要将这些易于理解的名称映射到 Google Identity Platform 租户 ID。例如，子域可能是:

tenantname.mysite.com

但是租户 ID 会类似于

tenantname+some_random_string

鉴于用户尚未登录，因此我们无法使用例如经过身份验证的 API 调用，还是具有 Firebase 安全规则的数据库上的 map ？

Google 文档建议允许用户从列表中进行选择，但该解决方案对我们不起作用。

Answer 1

简短的回答是，不，您必须指定租户才能对用户进行身份验证。平衡安全性和用户友好性的一种方法是两阶段方法:

1. 维护用户到租户的映射，每当在租户中添加、修改或删除用户时，该映射都会更新。使用asynchronous triggers管理此并存储电子邮件、租户 ID 和状态(启用/禁用)。

2. 在 Cloud Run 上创建一个简单的安全 REST API 端点，用于返回与该电子邮件关联的一个或多个租户。

登录流程与 Google 自己的身份验证流程非常相似:

1. 您的登录表单将有一个电子邮件地址字段。用户输入他们的电子邮件地址并提交表单。

2. 电子邮件地址将发送到返回与其关联的一个或多个租户的 API 端点。

3. 出现密码输入字段，用户完成针对正确租户的身份验证过程。如果出现多个租户，他们必须选择所需的租户。