能否创建连接器实现SAML与MSAL的适配？

核心思路 #

你的需求完全可行，核心是搭建一个身份代理服务作为中间层：它接收SAML应用的SAML认证请求，通过MSAL完成Azure AD的OAuth2/OIDC认证，再将认证结果转换为SAML断言返回给SAML应用，同时让你的MSAL应用认可该用户身份。

具体实现步骤 #

1. 构建身份代理服务 #

这个服务需要同时兼容两种身份协议：

• 作为SAML服务提供者（SP）：处理现有SAML应用发起的SAML AuthnRequest
• 作为OAuth2/OIDC客户端：集成MSAL SDK，向Azure AD发起认证请求并获取ID Token/Access Token

2. 代理认证流程 #

• 当SAML应用向代理发起认证请求时，代理先检查用户是否已通过MSAL完成Azure AD认证：
  • 未认证：跳转至Azure AD登录页，通过MSAL完成登录流程，获取用户ID Token
  • 已认证：直接调用MSAL的令牌缓存获取有效ID Token
• 代理服务将MSAL返回的ID Token中的用户核心信息（如sub、email、name等）转换为符合SAML 2.0规范的断言，完成签名后返回给SAML应用
• SAML应用验证SAML断言有效性后建立本地会话，后续访问你的MSAL应用时，代理可通过会话共享或颁发可信令牌的方式，让MSAL应用直接识别已认证用户

3. 让MSAL应用信任代理身份 #

• 在你的MSAL应用中配置信任该代理服务：
  • 可将代理颁发的JWT令牌配置为MSAL应用的外部可信令牌，通过令牌验证逻辑识别用户
  • 若代理与MSAL应用同域，可通过共享加密Cookie实现会话互通，避免用户二次登录

关键技术细节 #

• SAML断言处理：使用成熟的开源库生成和签名SAML断言，比如Node.js环境用passport-saml，Java环境用OpenSAML，确保符合SAML规范的签名和格式要求
• MSAL集成：在代理服务中使用对应语言的MSAL SDK（如MSAL.js、MSAL.NET），实现Azure AD认证、令牌缓存管理和刷新逻辑
• 身份标识映射：确保Azure AD返回的用户标识（如objectId）与SAML应用中的用户标识一致，避免出现身份不匹配的问题

安全与配置注意事项 #

• 代理服务必须全程使用HTTPS，妥善存储SAML签名密钥和MSAL应用的客户端密钥，限制令牌有效期以降低安全风险
• 在Azure AD中注册代理服务为独立应用，配置正确的重定向URI、API权限，确保MSAL能正常获取用户令牌
• 先在测试环境验证端到端流程：检查SAML断言的有效性、MSAL令牌的正确性，确认两端应用都能正确识别并授权用户

内容的提问来源于stack exchange，提问作者user20406743