如何将Azure AD配置为SAML IdP，实现非Azure自研Web应用SSO登录

核心概念澄清 #

• 应用注册（App Registration）：是开发者在自身开发用Azure AD租户中创建的应用全局模板，定义了应用的协议支持、身份属性、权限要求等核心规则，是多租户第三方应用对外发布的唯一合法蓝本。
• 企业应用（Enterprise Application）：是应用模板被客户租户拉取后，在客户侧生成的本地实例，客户可在该实例中配置本租户的用户分配、SSO参数、访问策略，相当于第三方应用在客户租户内的本地代理。

你之前遇到的SSO配置报错，根本原因是直接在企业应用界面创建了单租户本地实例，没有对应的全局应用注册模板，因此不支持SAML配置，也无法发布到全局应用库。

正确配置操作步骤 #

1. 创建多租户类型的应用注册 #

• 进入你开发用的Azure AD租户，打开Azure Active Directory > App registrations，选择「新注册」
• 填写应用名称，支持的账户类型选择 任何组织目录中的账户（多租户Azure AD），重定向URI暂时留空，完成注册
• 进入刚创建的应用注册页，左侧找到「清单」选项，修改以下核心属性后保存：
  • 将groupMembershipClaims设置为"All"（仅当你的应用需要获取用户组信息时配置，不需要可忽略）
  • 将identifierUris设置为你的应用的SAML实体ID，需和你现有SAML配置中的Entity ID完全一致
  • 在replyUrlsWithType数组中添加你的应用的SAML断言消费地址（ACS URL），类型设置为Web

2. 适配SAML协议配置 #

• 在应用注册页左侧进入「身份验证」，确认已添加正确的ACS URL作为重定向URI
• 进入「令牌配置」，添加SAML响应需要返回的所有声明（如用户邮箱、姓名、员工ID等），规则和你之前适配Okta SAML的声明保持一致即可，无需额外修改应用代码

3. 完成应用上架前的基础配置 #

• 进入应用注册页的「品牌建设和属性」，填写所有必填信息：上传应用Logo、填写应用说明、官方网站、隐私声明、服务条款等，这些是上架应用库的必要条件
• 将「可供用户登录?」选项设置为是，「需要分配?」选项根据你的应用规则设置：如果要求客户必须先给用户分配访问权限才能登录就设为是，否则设为否
• 你可在自己的测试租户中先验证SSO有效性：进入Azure Active Directory > Enterprise applications，找到该应用注册自动生成的企业应用实例，进入「单点登录」标签选择SAML，此时不会再出现之前的报错，可正常配置参数完成登录测试

4. 提交应用上架审核 #

所有测试通过后，按照Azure应用库的上架要求整理材料提交审核，审核通过后你的应用就会出现在全局Azure App Gallery中，客户可直接搜索添加，无需手动创建非画廊类型的企业应用。

内容的提问来源于stack exchange，提问作者Andrew Rueckert