Microsoft Entra ID, tunnetaan myös nimellä Azure Active Directory (Azure AD), on kattava identiteetin ja pääsynhallinnan ratkaisu, joka tarjoaa sinulle tehokkaan valikoiman ominaisuuksia käyttäjien ja ryhmien hallintaan. Monet organisaatiot käyttävät Azure AD:tä käyttäjien ja ryhmien hallintaan, ja se on myös suosittu valinta kertakirjautumisen (SSO) integroinnissa. Azure AD tukee sekä OpenID Connect (OIDC) että Security Assertion Markup Language (SAML) -protokollia SSO-integraatioon. Tässä opetusohjelmassa näytämme, kuinka voit ensin integroida Logto-sovelluksesi Azure SAML SSO:hon. ## Ennakkovaatimukset Ennen kuin aloitamme, varmista, että sinulla on aktiivinen Azure-tili. Jos sinulla ei ole sitä, voit rekisteröityä ilmaiseksi Azure-tilille [täällä](https://azure.microsoft.com). Logto-pilvitili. Jos sinulla ei ole sellaista, olet erittäin tervetullut rekisteröitymään Logto-tilille. Logto on ilmainen henkilökohtaiseen käyttöön. Kaikki ominaisuudet ovat saatavilla kehittäjätenanteille, mukaan lukien SSO-ominaisuus. Hyvin integroitu Logto-sovellus on myös tarpeen. Jos sinulla ei ole sellaista, seuraa [integraatio-opasta](https://docs.logto.io/docs/recipes/integrate-logto/) luodaksesi Logto-sovelluksen. ## Integraatio ### Luo uusi Azure SAML SSO -liitin Logto:ssa 1. Vieraile [Logto Cloud Console](https://cloud.logto.io) sivulla ja siirry kohtaan **Yrityksen SSO**. ![Logto Cloud Console](https://uploads.strapi.logto.io/1/enterprise_sso_4b0bc0149e.webp) 2. Klikkaa **Lisää yrityksen SSO** -painiketta ja valitse **Microsoft Entra Id (SAML)** SSO-tarjoajana. azure liitin

Avataan Azure-portaali toiseen välilehteen ja seuraa ohjeita luodaksesi yrityssovellus Azuren puolella. ### Luo Azure-yrityssovellus 1. Mene [Azure-portaaliin](https://portal.azure.com/) ja kirjaudu sisään järjestelmänvalvojana. 2. Valitse `Microsoft Entra ID` -palvelu. 3. Siirry `Enterprise applications` -kohtaan sivuvalikon avulla. Klikkaa `Uusi sovellus`, ja valitse `Luo oma sovellus` ylävalikosta. 4. Anna sovelluksen nimi ja valitse `Integroi muu sovellus, jota et löydä galleriasta (Ei-galleria)`. Luo Sovellus

5. Kun sovellus on luotu, valitse `Määritä kertakirjautuminen` > `SAML` konfiguroidaksesi SAML SSO -asetukset. Konfiguroi SSO

6. Avaa ensimmäinen `Perus SAML Konfiguraatio` ja kopioi liitä seuraavat tiedot Logto:sta. Identity ID

- **Audience URI(SP Entity ID)**: Se toimii globaalisti yksilöllisenä tunnisteena Logto-palvelullesi, toimien EntityId:nä SP:lle tunnistuspyynnöissä IdP:lle. Tämä tunniste on keskeinen turvallisessa SAML-väittämien ja muun tunnistukseen liittyvän datan vaihdossa IdP:n ja Logton välillä. - **ACS URL**: Väitteen kuluttajan palvelu (ACS) URL-osoite on sijainti, johon SAML-väite lähetetään POST-pyynnön kautta. Tämä URL-osoite on IdP:n käyttämä lähettämään SAML-väitteen Logto:lle. Se toimii palautus-URL-osoitteena, jossa Logto odottaa vastaanottavansa ja käsittelevänsä SAML-vastauksen, joka sisältää käyttäjän tunnistetiedot. SP Konfiguraatio

Klikkaa `Tallenna` tallentaaksesi konfiguraation. ### Anna SAML IdP:n metadata Logto:lle Kun SAML SSO-sovellus on luotu Azuren, anna SAML IdP:n metadatakonfiguraatio Logto:lle. Metadatakonfiguraatio sisältää SAML IdP:n julkisen sertifikaatin ja SAML SSO -päätepisteen. 1. Logto tarjoaa kolme erilaista tapaa konfiguroida SAML metadatat. Helpoin tapa on metadatan URL-osoitteen kautta. Löydät metadatan URL-osoitteen Azure-portaalista. Kopioi `App Federation Metadata Url` Azure AD SSO -sovelluksesi `SAML Sertifikaatit -osasta` ja liitä se Logton `Metadata URL` -kenttään.

2. Klikkaa tallenna-painiketta ja Logto hakee metadatan URL-osoitteesta ja konfiguroi SAML SSO -integraation automaattisesti. Metadata Konfiguraatio

### Määritä käyttäjän attribuuttien kartoitus Logto tarjoaa joustavan tavan kartoittaa IdP:n palauttamat käyttäjän attribuutit Logton käyttäjän attribuutteihin. Seuraavat IdP:n käyttäjän attribuutit synkronoidaan Logtoon oletuksena: - id: Käyttäjän yksilöllinen tunniste. Logto lukee `nameID` -vaatimuksen SAML-vastauksesta käyttäjän SSO-tunnus-tunnisteena. - email: Käyttäjän sähköpostiosoite. Logto lukee `email` -vaatimuksen SAML-vastauksesta käyttäjän ensisijaisena sähköpostina oletuksena. - name: Käyttäjän nimi. Voit hallita käyttäjän attribuuttien kartoituslogiikkaa joko Azure AD:n tai Logto:n puolella. 1. Kartoi AzureAD:n käyttäjän attribuutit Logton käyttäjän attribuuteiksi Logto:n puolella. Vieraile Azure AD SSO -sovelluksesi `Attributes & Claims` -osiossa. Kopioi seuraavat attribuuttinimet (sisältäen nimiavaruuden etuliitteen) ja liitä ne Logton vastaaviin kenttiin. - `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress` - `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name` (Suositus: päivitä tämän attribuutin arvon kartoitus arvoon `user.displayname` paremman käyttäjäkokemuksen saavuttamiseksi) Oletus Attribuuttien Kartoitus

2. Kartoi AzureAD:n käyttäjän attribuutit Logton käyttäjän attribuuteiksi AzureAD:n puolella. Vieraile Azure AD SSO -sovelluksesi `Attributes & Claims` -osiossa. Klikkaa `Muokkaa`, ja päivitä `Additional claims` -kentät Logton käyttäjän attribuuttejen asetusten perusteella: - päivitä vaatimusnimeä arvo perustuen Logton käyttäjän attribuuttien asetuksiin. - poista nimiavaruuden etuliite. - klikkaa `Tallenna` jatkaaksesi. Sinun pitäisi päätyä seuraaviin asetuksiin: Logto Attribuutit

Voit myös määrittää lisäkäyttäjän attribuutteja Azure AD:n puolella. Logto pitää kirjaa alkuperäisistä IdP:ltä palautetuista käyttäjän attribuuteista käyttäjän `sso_identity` -kentässä. ### Määritä käyttäjät Azure SAML SSO -sovellukseen Sinun on määritettävä käyttäjät Azure SAML SSO -sovellukseen mahdollistaaksesi SSO-käyttökokemuksen heille. Vieraile Azure AD SSO -sovelluksen `Käyttäjät ja ryhmät` -osiossa. Klikkaa `Lisää käyttäjä/ryhmä` määrittääksesi käyttäjät Azure AD SSO -sovellukseen. Vain käyttäjät, jotka on liitetty Azure AD SSO -sovellukseesi, voivat todentaa itsensä Azure AD SSO -liittimen kautta. Määritä Käyttäjät

## Ota käyttöön Azure SAML SSO -liitin Logto:ssa ### Määritä sähköpostitoimialue ja ota käyttöön Azure SAML SSO -liitin Logto:ssa Anna organisaatiosi sähköpostin `toimialueet` Logton SAML SSO -liittimen `kokemukset` -välilehdellä. Tämä mahdollistaa SSO-liittimen käyttämisen todennusmenetelmänä näille käyttäjille.

Käyttäjät, joiden sähköpostiosoitteet ovat määritetyissä toimialueissa, ovat rajoitettu käyttämään vain SAML SSO -liitintä todennusmenetelmänä. ### Ota käyttöön Azure SAML SSO -liitin Logton kirjautumiskokemuksessa Mene `Kirjautumiskokemus` -välilehdelle ja ota käyttöön yrityksen SSO. ![Ota SSO käyttöön](https://uploads.strapi.logto.io/1/enable_sso_0eba3b36e8.webp) Nyt voit testata SSO-integraatiota käyttämällä reaaliaikanäkymäpainiketta `Kirjautumiskokemuksen esikatselu` -osion oikeassa yläkulmassa. Ota rohkeasti [yhteyttä meihin](https://logto.io/contact) jos sinulla on kysymyksiä tai pyyntöjä koskien yrityksen SSO-integraatiota. Autamme mielellämme!