使用 Azure Active Directory 的自定义 SSO

Question

我们目前使用 Office 365，并且正在寻求扩大 Azure Active Directory 的使用范围，以便为第 3 方 Web 应用程序提供 SSO。应用程序库当前不支持我们所需的一些应用程序，因此我一直在测试从头开始为其中一个应用程序创建 SSO 设置。请注意，这不是我自己开发的内部应用程序，而是支持 SAML 的商业应用程序。是否有任何不以开发人员为重点的设置指南？我正在寻找的东西是否可能，或者这真的只适用于 LOB 应用程序？谢谢！

我没有 SAML 或 Web 开发方面的背景，所以请善待 ;)

Answer 1

Larry，我们很乐意收到有关此问题的反馈 - 告诉我们您正在使用哪些应用，我们或许可以将它们的集成放在更高的优先级。 也就是说，如果您希望尝试手动集成这些应用程序，这取决于 AzureAD 是否支持这些应用程序需要的声明，这是可能的。这是您最好的选择：

1. 在代表应用程序的 Azure AD 中注册一个新应用程序（在 Azure 管理门户目录中的应用程序选项卡中）。在此应用程序注册中，将“回复 URL”指定为应用程序希望在其上发布令牌的 URL（在 SAML-P 中称为 AssertionConsumerServiceURL）。此外，在此应用程序注册中，将“App ID URI”指定为应用程序在令牌中期望的受众字符串（在 SAML-P 中称为受众）
2. 在应用程序中将您的 Azure AD 注册为身份提供者。大多数应用程序只需要指定令牌签名证书。从您的 Azure AD 元数据 URL（https://login.windows.net/{您的 Azure AD 租户 ID 或域名}/federationmetadata/2007-06/federationmetadata.xml）获取证书并将其注册到应用程序中。一些应用程序还需要注册身份提供者的颁发者值。您的 AzureAD 将颁发颁发者值为“https://sts.windows.net/{您的 Azure AD 租户 ID}/”的令牌（例如 https://sts.windows.net/7fe877e6-a150-4992-bbfe-f517e304dfa0/）。如果您的应用程序支持 SP 发起的 SSO - 向应用程序提供 IdP 登录 URL (https://login.windows.net/{您的 Azure AD 租户 ID 或域名}/saml2) 以将用户重定向到（当用户单击登录时）。李> 1234563登录，然后令牌将发布到应用程序的 AssertionConsumerServiceURL - 导致用户登录。您可以使用以下工具创建 SAML AuthNRequest：https://www.authnauthz.com/samlscrewdriver/authnrequest

希望这会有所帮助。 再说一次 - 让我知道您想要集成到哪些应用程序 - 我们也许可以提供更多帮助。