如何用Azure AD注册集中式应用支持多部署的SSO与单点登出

针对你提出的两个核心问题，我结合Azure AD的实际配置经验给出具体解答：

1. 单个集中式Azure AD应用支持多部署（多URL） #

完全可以通过单个应用注册实现多个部署的SSO支持，具体要点如下：

• 重定向URI支持多配置：Azure AD应用注册的「重定向URI」字段允许添加多个条目，甚至支持符合规则的通配符（比如https://*.your-domain.com/auth/callback，需确保是同一根域名下的子域名，且符合Azure AD的通配符限制）。你可以把所有部署的回调URL（比如https://abc.com/auth/callback、https://abc1.com/auth/callback等）都添加到同一个应用的重定向URI列表中。
• 批量管理优化：如果部署数量持续增加，手动添加效率低，可以使用Azure AD PowerShell模块或者Graph API批量导入重定向URI，避免重复操作。

2. 集中式LogoutUrl方案的可行性 #

你提出的「集中式登出端点转发」方案是完全可行的，这也是多部署场景下解决LogoutUrl单一限制的常用方案，具体实现思路和注意事项：

• 配置集中式LogoutUrl：将你的集中式端点logout.com/logout配置为Azure AD应用的LogoutUrl字段，这是触发全局登出回调的唯一有效配置位置（回复URL确实不会触发该回调）。
• 端点处理逻辑：当用户从Outlook登出触发Azure AD全局登出时，AAD会向这个集中式端点发送请求，并携带关键参数：
  • id_token_hint：包含用户身份、原应用会话等信息的JWT令牌，你需要验证该令牌的签名（使用AAD的公钥）确保请求合法。
  • 可选的post_logout_redirect_uri：如果用户登录时指定了该参数，AAD会一并传递。
• 转发与清理：解析id_token_hint中的声明（比如可以在登录时将部署URL存入令牌的自定义声明，或者通过用户会话关联部署信息），识别出用户对应的原部署URL，然后将用户重定向到该部署的本地登出端点（比如https://abc.com/logout），完成本地会话清理。
• 安全注意事项：
  • 必须验证id_token_hint的合法性，防止恶意请求。
  • 转发的部署URL需预先加入白名单，避免开放重定向漏洞。
  • 集中式端点需保证高可用性，避免成为单点故障。

额外建议 #

• 测试阶段要覆盖所有部署的SSO和登出流程，确保从Outlook登出后，各部署的用户会话都能被正确清理。
• 可以利用Azure AD的应用角色或自定义声明，区分不同部署的用户权限，进一步优化多部署场景的管理。

内容的提问来源于stack exchange，提问作者Demi-Gods and Semi-Devils