无需用户交互，如何从AzureAD获取SAML断言用于SAP集成？

针对你提到的身份治理应用与SAP集成、需用SAML Assertion认证且不愿使用ROPC的需求，以下是几种可行的替代方案：

1. 服务主体客户端凭据模式获取SAML断言 #

• 配置AzureAD中的企业应用，将SAP SuccessFactors设置为服务提供商（SP），同时注册身份治理应用的服务主体。
• 使用服务主体的客户端ID+证书/客户端密钥，向AzureAD的SAML断言端点请求针对SAP的SAML Assertion。这种方式无需用户交互，适合后端服务间的集成，完全避免ROPC的密码复用风险。
• 需确保AzureAD生成的断言包含SAP要求的所有属性字段（如用户唯一标识、租户信息等），可在AzureAD应用的单一登录配置中自定义属性映射。

2. 授权码流（带客户端认证） #

• 若身份治理应用支持用户交互，可采用授权码流：引导用户通过AzureAD完成登录，应用获取授权码后，向AzureAD兑换符合SAP格式要求的SAML Assertion。
• 这种方式遵循OAuth2安全最佳实践，用户密码不会直接传递给应用，同时能生成SAP所需的SAML断言。需在AzureAD应用配置中指定SAP的受众URI和ACS回调地址。

3. AzureAD B2B/B2C用户流生成SAML断言（针对外部用户场景） #

• 如果身份治理应用涉及外部用户，可配置AzureAD B2B/B2C的自定义用户流，让外部用户通过AzureAD登录后，生成指向SAP的SAML Assertion，再由身份治理应用转发至SAP API完成认证。

关键配置注意事项 #

• 对照SAP提供的文档要求，在AzureAD应用的单一登录设置中，精准配置断言的受众、签名算法、属性映射，确保SAP能正确验证断言的有效性。
• 优先使用证书作为服务主体的认证凭据，替代客户端密钥，进一步提升集成的安全性。

内容的提问来源于stack exchange，提问作者josefismael