如何为Azure AD自定义应用添加SAML单点登录(SSO)配置选项

异常根因定位 #

对照你提到的三类参考截图对应的状态，找不到Setup Single Sign-On选项的核心触发点无外乎三类：

• 应用创建时选错了入口分类，最终生成的应用不属于「非画廊企业应用」范畴，原生不承载SAML编排配置能力
• 当前登录账号的角色权限不足，被控制台做了操作项隐藏
• 租户全局策略限制了自定义应用的配置操作权限

分步操作指引 #

• 核对现有应用的实体属性
  进入Enterprise applications页面搜索已创建的应用，在详情页查看「应用类型」字段：如果显示该应用是在App registrations模块下注册的OIDC类应用，这类应用原生不支持企业应用侧的开箱即用SAML配置面板，需要按正规流程创建匹配的非画廊自定义应用。
• 创建具备SAML配置能力的自定义企业应用
  在Enterprise applications页面点击「新建应用」，选择「创建自己的应用」选项，在弹出的配置弹窗中，选择最下方的**「设置本地未在Azure AD库中找到的应用」**选项（不要选择上方的「注册要使用Microsoft Entra ID签名的应用」选项），填写应用名称后完成创建。
• 解锁SAML全量配置面板
  进入新创建的应用概览页，在左侧Manage分组下找到Single sign-on选项，在弹出的授权方式选择页中选中SAML，即可显示和预期截图一致的全量SAML配置项（包括证书管理、实体ID、回复地址、属性映射等所有配置入口）。
  如果选中SAML选项后仍无操作权限，需要联系租户全局管理员，为你的账号分配「云应用管理员」或「应用管理员」角色，刷新页面后即可正常操作。

避坑校验说明 #

• 不要尝试在App registrations模块的应用清单中手动修改参数来开启SAML：该模块原生面向OAuth2.0/OIDC流程的自研应用，不提供开箱即用的SAML单点登录编排能力，手动改参数很容易引发认证流程异常
• 原有缺失SAML配置入口的旧应用不需要强行修复，可直接将关联的用户、组分配关系迁移到新创建的非画廊企业应用下，无需重复完成权限分配
• 如果操作过程中控制台提示无创建/配置权限，需要检查租户全局设置中「用户可以创建企业应用」「用户可以注册应用」的策略开关，临时开启对应权限完成配置后再按安全规范关闭即可

内容的提问来源于stack exchange，提问作者Ярослав Терещук