Azure DevOps Server 2019/2020是否支持SSO及本地配置方法咨询

Azure DevOps Server 2019和2020均支持基于**Active Directory Federation Services (AD FS)**的单点登录（SSO），通过AD FS可以实现用户访问Azure DevOps门户时无需重复输入凭据的体验。

配置前置条件 #

• 已部署并运行AD FS服务器（建议Windows Server 2016及以上版本，与Azure DevOps Server处于同一域或信任域）
• Azure DevOps Server已完成基础部署，且操作账户拥有足够权限（如域管理员或Azure DevOps管理员权限）
• 客户端设备已加入域，或与AD FS服务器存在信任关系

具体配置步骤 #

1. 在AD FS服务器添加Azure DevOps信赖方信任 #

• 登录AD FS服务器，打开AD FS管理控制台
• 右键点击左侧导航栏的信赖方信任，选择添加信赖方信任
• 在向导中选择声明感知，点击下一步；选择导入关于信赖方发布的数据，输入Azure DevOps Server的元数据地址：http://<AzureDevOpsServerFQDN>/tfs/.well-known/openid-configuration（替换为你的服务器完全限定域名）
• 为信赖方设置显示名称（比如“Azure DevOps Server”），完成向导流程
• 右键点击刚创建的信赖方信任，选择编辑声明规则，添加以下规则：
  • 规则类型选发送LDAP属性作为声明，映射SAM-Account-Name到Name ID、User-Principal-Name到UPN、Email-Addresses到Email

2. 配置Azure DevOps Server使用AD FS身份验证 #

• 登录Azure DevOps Server应用层服务器，打开Azure DevOps Server管理控制台
• 展开服务器节点，选择应用层，点击右侧配置功能下的变更身份验证
• 在身份验证方法中选择基于AD FS的身份验证，点击下一步
• 输入AD FS服务器的元数据地址：https://<ADFSServerFQDN>/federationmetadata/2007-06/federationmetadata.xml（替换为你的AD FS服务器完全限定域名）
• 确认元数据导入成功后，设置回复URL为Azure DevOps Server的访问地址（比如http://<AzureDevOpsServerFQDN>/tfs）
• 完成配置后，重启Azure DevOps Server相关服务

3. 验证SSO功能 #

• 使用域内客户端设备访问Azure DevOps门户，若已登录域账户，将自动完成单点登录，无需额外输入凭据；未登录的话会跳转至AD FS登录页面，验证后即可访问
• 测试不同域用户的登录场景，确认SSO功能正常生效

内容的提问来源于stack exchange，提问作者Harish334363