Ok, ich habe endlich einen Arbeitsstand, den ich hier teilen kann
Ein paar Anmerkungen.
Ich habe mich für den etwas komplexeren Fall von Google Apps HD-Gruppen als erste Implementierung entschieden, da ich denke, dass dies hilft, die möglichen Permutationen davon durchzudenken, z. B. die Notwendigkeit, domänenspezifische Gruppen eines Anbieters zu berücksichtigen.
Um diesen Anwendungsfall zu implementieren, musste ich an der Stelle der Authentifizierung ein neues Konzept der „sekundären Autorisierung