本地部署ASP.NET MVC应用集成第三方SAML SSO方案咨询

是否必须使用Azure AD或同类商用IDP方案？ #

不是必须。你可以根据现有技术栈选择自托管IDP方案，完美适配你本地部署、用户凭证存储在自有SQL数据库的现有架构，常见可行方案如下：

• .NET原生开源框架：使用IdentityServer，原生支持OIDC、SAML2.0协议，可直接对接你现有ASP.NET MVC的自定义表单认证逻辑，直接读取自有SQL库中的用户数据，无需迁移用户信息，完全支持本地私有化部署，所有权限自主可控。
• 通用开源IDP系统：使用Keycloak这类开箱即用的IDP服务，支持所有主流SSO协议，可配置将你的现有SQL用户库作为身份源，无需修改现有认证体系的底层逻辑，可完全运行在本地环境。
• 轻量级集成方案：如果对接的SP数量不多，可直接在现有ASP.NET MVC项目中引入SAML、OIDC协议处理的Nuget包，自主实现IDP核心的断言签发、验签、元数据发布能力，无需搭建独立IDP服务。

本地部署系统对接基于SAML的Azure AD SSO，是否需要部署到Azure？ #

不需要。仅需满足两个基础交互条件即可完成对接：

• 你方IDP的SAML元数据端点、SSO服务端点可被Azure AD访问，或双方可通过离线交换元数据文件完成信任配置，无需将整个业务系统暴露到公网，仅开放SAML协议必需的核心接口即可。
• 你方本地部署的服务可正常访问Azure AD的SAML相关公共端点，完成协议交互、签名验证等流程即可。

内容的提问来源于stack exchange，提问作者Guarav T.