SAAS应用OIDC多IdP单点登录：应用注册责任方咨询

背景情况 #

我们公司有一套基于ASP.NET构建的SaaS模式Web应用，原本采用用户名/密码认证，用户凭证哈希后存储在我方数据库中。目前正在集成SSO功能，支持特定客户组织的终端用户通过自有Identity Provider（如Azure AD、Google、Okta等），基于OpenId Connect（OIDC）协议（借助OWIN中间件）完成认证，已实现以下功能：

• 提供客户配置开关，开启后该客户的终端用户将通过自有IdP进行SSO认证
• 支持对接Azure AD、Google、Okta等多种主流IdP
• 存储开启SSO的客户的连接配置（包括Client Id、Authority、Secret等），此类配置需在IdP侧完成应用注册后获取

核心疑问 #

当前的核心问题是：应用注册的责任方应为SaaS应用所属的我方，还是需要使用SSO的客户？现有两个可选方案：

• 方案1：我方在各客户使用的IdP上注册账号与应用，建立与客户IdP的连接机制，但此方式对我方而言运维成本过高，并不理想
• 方案2：由客户自行在其IdP上完成应用注册，我方仅接收客户提供的连接配置即可，我方认为此方案更优

行业常见实践与推荐方案 #

在SaaS场景的SSO集成中，方案2是主流且最推荐的实践方式，原因如下：

1. 权限与合规保障：客户的IdP属于其内部核心身份管理体系，由客户自行注册应用，能确保他们完全掌控应用的权限范围、数据访问边界，符合企业数据安全与合规要求（如GDPR、国内等保规范）。多数企业不允许外部厂商在其内部IdP上注册应用，避免出现权限失控、数据泄露的风险。
2. 运维成本可控：若采用方案1，我方需为每个客户在不同IdP上维护账号、应用注册信息，后续还要处理IdP侧的配置变更、权限调整、账号过期等事务，运维成本会随客户数量增长线性上升，且难以适配不同IdP的差异化操作流程。方案2下，客户自行负责IdP侧的注册与维护，我方仅需提供清晰的配置指引即可。
3. 适配灵活性更强：不同客户的IdP配置需求存在差异（如Azure AD的租户专属配置、Okta的自定义权限范围），由客户自行注册能更好地适配其内部身份管理策略，我方无需深入了解每个客户的IdP细节，只需统一接收标准的OIDC配置参数即可。

为降低客户的配置门槛，我方可以配套提供标准化配置指南：针对Azure AD、Google、Okta等不同IdP分别编写 step-by-step 的应用注册流程，明确告知客户需要准备的参数（Client Id、Authority、Client Secret、回调URL等），以及如何在我方SaaS平台中录入这些配置；条件允许的话，还可开发可视化配置界面，引导客户完成参数填写。

内容的提问来源于stack exchange，提问作者boubouc15