keycloak 与 Azure AD 集成以进行 webapp 身份验证答案

【问题标题】：keycloak integration with Azure AD for webapp authenticationkeycloak 与 Azure AD 集成以进行 webapp 身份验证
【发布时间】：2019-07-16 07:26:44
【问题描述】：

我正在尝试使用 keycloak 在我的 Web 应用程序和 IDP Azure AD 之间进行 saml 代理。

我在 Azure AD 中创建了几个用户，并将我的 webapp 添加为应用程序。我已经使用 SAML IDP 配置了 KeyCloak，并在 Keycloak 中导入了 Azure AD 联合数据。

但是有些地方出了点问题，因为我没有在网络上获得任何可以让我逐步将 KeyCloak 与 Azure AD 集成的链接。

我正在获取 Microsoft 登录页面，并且设置密码身份验证已通过，但在重定向回 Keycloak 之前出现以下错误：

抱歉，我们无法让您登录。

AADSTS700016：带有标识符的应用程序 'http://localhost:8280/auth/realms/localRealm' 未在目录''。如果发生这种情况该应用程序尚未由管理员安装租户或租户中的任何用户同意。您可能已发送您对错误租户的身份验证请求。

我使用以下 2 个链接进行配置：

https://ultimatesecurity.pro/post/okta-saml/此链接描述了如何使用 Okta 为 SAML 配置 Keycloak

https://docs.pivotal.io/p-identity/1-5/azure/config-azure.html此链接介绍如何将 Azure AD 配置为 SAML IDP

编辑：看起来 Keycloak 在 SAML 中发送了错误的应用程序标识符（可能），因为这个 localhost:8280... 是 Keycloak 领域 URL，而不是 Azure 应用程序标识符，它是 Azure 中的一些字符串键 -> 应用程序

【问题讨论】：

标签： azure-active-directory saml keycloak

【解决方案1】：

我相信您可能缺少两件事：

Azure AD 应用注册属性中的 App ID URI 字段必须替换为 Keycloak 身份提供者的重定向 URI，但不带“/broker/...../endpoint”最后的部分。

例如，如果您的身份提供者为名为 myrealm 的领域命名为 myprovider，则您的重定向 URI 可能类似于 https://mykeycloakserver/auth/realms/myrealm/broker/myprovider/endpoint，因此您需要在 Azure AD 中为 App ID URI 使用的值如下所示喜欢：https://mykeycloakserver/auth/realms/myrealm

确保完整的 keycloak 重定向 URL 在 Azure AD 应用注册中列为“回复 URL”之一。

PS - 应用程序的 APP ID URI 属性（目前，截至 2019/04）在应用程序注册（预览）面板中不可用 - 您需要转到应用程序注册 > {应用程序名称} > 设置 > 属性

希望有帮助

【讨论】：

【解决方案2】：

在 Keycloak 中创建一个新领域并进行尝试很有帮助！

【讨论】：