配置IBM WebSphere集成Azure AD遇阻，求SAML/OAuth实现方案

一、SAML 2.0集成步骤 #

AAD端配置 #

• 在AAD里注册一个非库类型的企业应用程序
• 开启SAML单点登录配置：
  • 填写WebSphere的SAML实体ID，格式示例：https://<你的WebSphere主机>:<端口>/saml/sp/metadata
  • 设置回复URL（ACS地址）：https://<你的WebSphere主机>:<端口>/saml/sp/acs
  • 下载AAD生成的SAML元数据XML文件，后续WebSphere配置会用到
• 给该企业应用分配需要访问WebSphere的AAD用户或组

WebSphere端配置 #

• 登录WebSphere管理控制台，先开启全局安全中的应用程序安全
• 进入安全 > 联合认证 > SAML 2.0，启用SAML服务提供者
• 导入AAD的元数据：选择“从文件导入”，上传刚才下载的XML文件，确保实体ID、ACS地址与AAD端配置完全一致
• 配置断言映射：将AAD返回的SAML属性（如nameidentifier、email）对应到WebSphere的用户属性
• 给WebSphere应用设置安全约束，将应用角色与AAD的用户/组做映射

二、OAuth 2.0集成步骤 #

AAD端配置 #

• 在AAD里注册一个Web/API类型的应用程序
• 配置重定向URI：填写WebSphere的OAuth回调地址，格式示例：https://<你的WebSphere主机>:<端口>/oauth/client/callback
• 记录应用的客户端ID、客户端密钥，以及AAD的授权端点（https://login.microsoftonline.com/<你的租户ID>/oauth2/v2.0/authorize）、令牌端点（https://login.microsoftonline.com/<你的租户ID>/oauth2/v2.0/token）
• 添加API权限（如User.Read），并完成管理员同意操作

WebSphere端配置 #

• 登录管理控制台，开启全局安全中的应用程序安全
• 进入安全 > OAuth 2.0 > OAuth客户端配置，新建客户端：
  • 填入AAD提供的客户端ID和密钥
  • 将授权端点、令牌端点设置为AAD对应的地址
  • 授权类型选择Authorization Code（最适合Web应用场景）
• 给WebSphere应用配置OAuth保护，指定刚才创建的客户端ID，同时将AAD返回的JWT令牌中的用户属性（如sub、email）映射到WebSphere的用户主体

注意要点 #

• 确保WebSphere与AAD的系统时间同步，避免出现SAML断言或JWT令牌过期问题
• 配置SSL信任：WebSphere需信任AAD的根证书，若使用自定义域名，AAD也要信任WebSphere的服务证书
• 权限映射需根据实际业务需求调整，确保AAD用户能获取对应的WebSphere应用角色

内容的提问来源于stack exchange，提问作者CricK0es