多租户B2B SaaS需为每个租户单独配置Google Workspace OAuth客户端用于SSO吗？

存在多个关键理由，不建议用你方GCP项目统一完成所有Google Workspace租户的OAuth2+OIDC SSO配置，即使当前测试正常且无需应用验证：

• 租户隔离与权限失控风险
  所有租户的用户授权都会绑定到你的GCP项目，一旦OAuth凭据泄露，攻击者可获取所有租户用户的授权数据；同时，Google Workspace租户的IT管理员无法自主管控授权范围、撤销应用访问权限，完全依赖你的管理，这不符合B2B场景下企业对自身身份权限的管控需求，会流失合规要求高的客户。

• 配额共享导致的可用性问题
  GCP项目有统一的API调用配额（如OAuth授权请求频率限制），所有租户的登录流量会共享该配额。若某租户出现集中登录高峰，可能触发配额超限，导致全平台租户的SSO服务中断，严重影响服务可用性。

• 品牌信任缺失
  用户登录时会看到你的GCP项目名称与应用标识，而非客户自身的品牌。B2B企业客户更倾向于在身份验证环节看到自己可控的品牌标识，陌生的第三方应用标识会降低客户信任度，影响客户留存。

• 合规审计障碍
  金融、医疗等行业的合规要求企业必须掌控身份验证流程的全环节，包括OAuth凭据的管理、审计日志的留存。用你的GCP项目意味着客户无法提供自身的审计证据，无法自主完成合规审计，直接失去这类高价值客户。

• Google政策变动风险
  尽管当前使用非敏感范围无需验证，但Google的OAuth政策可能随时调整。未来若需新增权限范围，或Google收紧外部应用规则，你的GCP项目可能被限制甚至封禁，影响所有租户的服务，整改成本极高。

如果希望简化用户IT操作，更合理的方案是提供预配置模板或自动化脚本，引导客户在自有GCP项目中快速完成配置——既满足租户的管控需求，又降低操作成本。

内容的提问来源于stack exchange，提问作者ZachB