如何通过Azure借助企业自有身份提供商实现多Web应用认证？

方案1：Azure AD 配置自定义身份提供商（OIDC/SAML）+ 企业应用强制SSO #

这是最匹配你需求的方案，具体操作如下：

• 在Azure AD中注册你的自研身份提供商（只要支持OIDC或SAML 2.0标准协议即可），将其添加为Azure AD的外部身份源
• 为每个Web应用在Azure AD中注册为企业应用，配置单一登录（SSO），指定仅使用自研IDP作为身份验证源
• 配置企业应用的SSO策略，设置用户访问应用时直接重定向到自研IDP，跳过Azure AD默认的登录选择界面
• 每个Web应用只需集成Azure AD的官方认证SDK（比如MSAL），无需单独对接自研IDP，Azure AD会自动处理重定向、令牌验证等流程

方案2：Azure API Management（APIM）作为统一认证网关 #

如果需要对多个Web应用的认证做集中管控，可采用APIM方案：

• 在APIM中配置自定义身份验证策略，对接自研IDP的OIDC或SAML端点
• 为每个Web应用配置APIM路由规则，设置所有请求必须先通过APIM的认证校验，未认证用户会直接被重定向到自研IDP
• 认证通过后，APIM会将用户身份信息传递给后端Web应用，应用无需额外开发认证逻辑

关键配置注意事项 #

• 确保自研IDP兼容OIDC或SAML 2.0标准协议，这是Azure顺利集成的前提
• 针对Azure AD方案，需在企业应用的SSO设置中禁用Azure AD本地账号登录，只保留自定义IDP作为唯一选项，彻底避免出现多余的登录框
• 务必在Azure AD和自研IDP两边都配置好正确的重定向URL，保证用户完成认证后能准确返回原访问页面

内容的提问来源于stack exchange，提问作者user3793607