如何在Azure ADB2C为IDP场景下配置Okta作为应用SSO提供方

你提出的需求完全可落地，本质是将Okta配置为Azure AD B2C的联合身份提供商，同时适配Okta IdP发起的SSO场景，完全符合SAML 2.0/OIDC的联合身份规范。最终流程和你预期完全一致：用户仅需登录Okta，点击应用磁贴后由Okta携带身份断言请求Azure AD B2C，B2C匹配本地预存用户后向应用签发自身的令牌，无需用户二次登录。

Azure AD B2C侧配置 #

• 进入Azure AD B2C管理界面，选择「身份提供商」模块，新增SAML类型的身份提供商
• 填入Okta侧的SAML元数据信息：包含实体ID、单点登录服务地址、签名公钥证书
• 配置声明映射规则，将Okta返回的唯一用户标识（如邮箱、用户ID）与B2C本地预存用户的对应唯一字段做匹配，完成身份关联
• 在你正在使用的用户流/自定义策略中，启用刚才配置的Okta身份提供商

Okta侧配置 #

• 进入Okta管理员后台，新增SAML 2.0类型的应用集成
• 填入Azure AD B2C侧提供的SAML断言消费服务（ACS）地址、B2C实体ID，两个参数均可从B2C的SAML身份提供商配置页直接获取
• 配置SAML断言返回的声明列表，确保包含用于和B2C用户匹配的唯一标识字段
• 开启IdP发起的SSO支持，设置默认发起登录地址为B2C对应用户流的授权端点
• 给目标用户分配该应用的访问权限，即可在Okta用户首页看到对应磁贴

业务应用适配 #

业务应用原有对接Azure AD B2C的逻辑无需做任何修改，接收的访问令牌仍为Azure AD B2C签发的标准令牌，不影响原有权限校验逻辑。

如果需要查询具体配置步骤，可分别在微软官方文档站搜索「Azure AD B2C SAML身份提供商配置」、Okta官方文档站搜索「SAML应用集成 IdP发起SSO」即可获取官方指引。

内容的提问来源于stack exchange，提问作者Ajib