不使用Azure AD能否实现Microsoft SSO？相关实现方案咨询

• 核心结论：完全脱离Azure AD（含世纪互联运营的国内版）及本地Windows AD的前提下，不存在官方合规的Microsoft SSO实现路径。微软的所有SSO身份协议（OAuth2.0、OpenID Connect、SAML 2.0、WS-Federation）的身份提供方能力，均由Azure AD或依托本地AD部署的AD FS承载，无第三方可独立搭建的Microsoft身份验证节点。

针对暂时无法访问AD但需要开发对接功能的需求，有两个无需现有生产AD环境的开发测试方案：

• 方案1：使用免费Azure AD开发租户。可注册个人开发用途的Azure AD租户，无需绑定付费订阅，也无需关联企业现有AD，单租户最高支持50万测试用户，完全覆盖开发测试需求。只需在该测试租户中注册应用、配置对应权限，即可直接调用微软身份验证接口完成功能开发，后续正式上线时将应用配置切换为生产环境的AD/Azure AD租户即可。
• 方案2：本地模拟身份提供方。若完全无法使用任何Azure相关服务，可基于OIDC/SAML2.0协议本地搭建模拟IdP服务，按照Microsoft SSO的令牌格式、声明字段规则返回模拟验证结果，可在本地闭环完成对接逻辑开发，待可访问AD环境后再替换为真实IdP配置即可。该方案仅适用于开发阶段的功能逻辑验证，不可用于生产环境。

安全提示：所有宣称可完全脱离微软身份体系实现Microsoft账号SSO的第三方方案，均未得到微软官方认证，存在账号信息泄露、令牌伪造的风险，禁止在生产环境使用。

内容的提问来源于stack exchange，提问作者user17252180