单个配置SAML Azure AD SSO的应用能否为多个未配置AAD的.NET应用做统一认证？

该方案完全可实现，核心逻辑是将单个已注册的Azure AD SAML应用作为统一身份校验入口，新增一层轻量身份代理层对接AAD，所有业务.NET应用无需单独和Azure AD做交互，仅需对接内部代理层即可。

• 部署独立的统一SAML身份代理服务：该服务是唯一和你预先注册的Azure AD SAML应用对接的服务，负责SAML请求构造、AAD回调断言解析、内部员工身份合法性校验。
• 利用SAML协议原生的RelayState参数透传业务信息：用户从某一个业务应用发起内部登录请求时，把该应用的唯一标识、登录成功后的回调地址存入RelayState字段，AAD校验完成回调代理服务后，你可以从该字段获取目标应用信息，避免登录完成后跳转错误。
• 各.NET应用适配极简的登录分支判断：不需要保留原有AAD对接逻辑，只需要在登录入口新增判断：如果是内部员工登录（可以通过员工访问IP段、用户自主选择「企业员工登录」入口、访问域名后缀等规则判断），直接跳转到统一身份代理的登录触发接口；如果是外部用户，直接跳转原有表单登录页面即可，原有外部用户登录逻辑完全不用改造。

• .NET Core/.NET 5+ 应用：直接用原生的Microsoft.AspNetCore.Authentication库配置跳转规则即可，不需要引入额外SAML依赖。代理校验通过后返回加密后的身份票据（比如JWT），应用拿到票据验证签名后，和自身用户体系匹配生成对应登录态即可。
• .NET Framework 应用：可以新增自定义HTTP拦截模块，在web.config中注册该模块拦截登录请求，按规则判断跳转方向，接收代理返回的身份票据后，和原有FormsAuthentication体系兼容，生成应用自身的认证Cookie即可。

• 统一代理仅做AAD身份合法性校验，不存储任何业务侧的用户、权限数据，校验通过后仅返回用户的企业唯一标识（比如工号、企业邮箱）给对应业务应用。
• 各业务应用拿到唯一标识后，和自身现有用户体系做匹配：匹配到对应用户直接生成登录态，未匹配到的按照原有规则做自动开户或者无权限提示即可，完全不影响原有外部用户的账号体系。

• Azure AD侧的SAML应用仅需要配置统一身份代理的ACS（断言消费服务）地址即可，不需要添加各个业务应用的回调地址，全程只需要申请一次Azure AD配置，后续新增业务应用也不需要改动AAD侧配置。
• 代理服务和各业务应用之间的身份票据传输必须加签名/加密校验，建议给每个业务应用分配独立的AppKey做签名校验，避免身份伪造风险。

内容的提问来源于stack exchange，提问作者shashank