Не совсем понимаю, как SAML можно приспособить для общения с Гуглом или Амазоном. Он же для связи Service Providers и Identity Providers. Кто из нас с Гуглом будет identity provider?

Кроме того, для безопасного SAMLя все равно нужно знать сертификат партнера. Если я получаю амазоновский сертификат на дискетке флешке в офисе Амазона, то это одно. А если по Интернету - откуда я знаю, Амазон мне его прислал или товарищ майор? Т.е., задача сводится к предыдущей.