Dowiedz się, jak zintegrować Azure SAML SSO za pomocą Logto w kilka minut.
Microsoft Entra ID, znany także jako Azure Active Directory (Azure AD), to kompleksowe rozwiązanie do zarządzania tożsamością i dostępem, które umożliwia zarządzanie użytkownikami i grupami. Wiele organizacji korzysta z Azure AD do zarządzania swoimi użytkownikami i grupami, a także jest to popularny wybór do integracji logowania jednokrotnego (SSO). Azure AD obsługuje zarówno protokoły OpenID Connect (OIDC), jak i Security Assertion Markup Language (SAML) w integracji SSO. W tym poradniku pokażemy, jak zintegrować swoją aplikację Logto z Azure SAML SSO w pierwszej kolejności.
Zanim zaczniemy, upewnij się, że posiadasz aktywne konto Azure. Jeśli go nie masz, możesz zarejestrować się na bezpłatne konto Azure tutaj.
Konto w Logto w chmurze. Jeśli go nie masz, serdecznie zapraszamy do założenia konta Logto. Logto jest bezpłatne do użytku osobistego. Wszystkie funkcje są dostępne dla środowisk deweloperskich, w tym funkcja SSO.
Wymagana jest również dobrze zintegrowana aplikacja Logto. Jeśli jej nie masz, zapoznaj się z przewodnikiem integracji, aby utworzyć aplikację Logto.
Otwórz portal Azure w innym oknie i wykonaj kroki, aby utworzyć aplikację przedsiębiorstwa po stronie Azure.
Przejdź do portalu Azure i zaloguj się jako administrator.
Wybierz usługę Microsoft Entra ID.
Przejdź do Aplikacje przedsiębiorstwa za pomocą menu bocznego. Kliknij Nowa aplikacja i wybierz Utwórz swoją własną aplikację w górnym menu.
Wprowadź nazwę aplikacji i wybierz Zintegruj dowolną inną aplikację, której nie ma w galerii (pozagaleria).
Skonfiguruj logowanie jednokrotne > SAML, aby skonfigurować ustawienia SAML SSO.
Podstawowa konfiguracja SAML i skopiuj następujące informacje z Logto.
Audience URI(SP Entity ID): Reprezentuje globalnie unikatowy identyfikator dla usługi Logto, działający jako EntityId dla SP podczas żądań uwierzytelnienia do IdP. Ten identyfikator jest kluczowy dla bezpiecznej wymiany asercji SAML i innych danych związanych z uwierzytelnieniem między IdP a Logto.
ACS URL: URL Usługi Konsumpcji Asercji (ACS) to miejsce, do którego wysyłana jest asercja SAML za pomocą żądania POST. Ten URL jest używany przez IdP do wysyłania asercji SAML do Logto. Działa jako URL zwrotny, gdzie Logto oczekuje na otrzymanie i skonsumowanie odpowiedzi SAML zawierającej informacje o tożsamości użytkownika.
Kliknij Zapisz, aby zapisać konfigurację.
Po utworzeniu aplikacji SAML SSO w Azure, podasz konfigurację metadanych SAML IdP do Logto. Konfiguracja metadanych zawiera certyfikat publiczny IdP SAML i punkt końcowy SAML SSO.
Logto oferuje trzy różne sposoby na konfigurację metadanych SAML. Najłatwiejszym sposobem jest użycie URL metadanych. Możesz znaleźć URL metadanych w portalu Azure.
Skopiuj URL Metadanych Federacji Aplikacji z sekcji Certyfikaty SAML aplikacji SSO w Azure AD i wklej go w pole URL Metadanych w Logto.
Kliknij przycisk zapisz i Logto pobierze metadane z URL i automatycznie skonfiguruje integrację SAML SSO.
Logto oferuje elastyczny sposób mapowania atrybutów użytkownika zwracanych przez IdP na atrybuty użytkownika w Logto. Następujące atrybuty użytkownika z IdP zostaną zsynchronizowane z Logto domyślnie:
nameID z odpowiedzi SAML jako identyfikator tożsamości SSO użytkownika.email z odpowiedzi SAML jako główny adres e-mail użytkownika domyślnie.Możesz zarządzać logiką mapowania atrybutów użytkownika zarówno po stronie Azure AD, jak i Logto.
Mapowanie atrybutów użytkownika AzureAD na atrybuty użytkownika Logto po stronie Logto.
Odwiedź sekcję Atrybuty i Żądania swojej aplikacji SSO w Azure AD.
Skopiuj następujące nazwy atrybutów (wraz z prefiksem przestrzeni nazw) i wklej je w odpowiednie pola w Logto.
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (Zalecenie: zaktualizuj mapowanie wartości tego atrybutu na user.displayname, aby uzyskać lepsze doświadczenie użytkownika)
Mapowanie atrybutów użytkownika AzureAD na atrybuty użytkownika Logto po stronie AzureAD.
Odwiedź sekcję Atrybuty i Żądania swojej aplikacji SSO w Azure AD.
Kliknij Edytuj i zaktualizuj pola Dodatkowe żądania na podstawie ustawień atrybutów użytkownika Logto:
Zapisz, aby kontynuować.Powinieneś zakończyć z następującymi ustawieniami:
Możesz także dokładniej określić dodatkowe atrybuty użytkownika po stronie Azure AD. Logto przechowuje oryginalne atrybuty użytkownika zwrócone przez IdP w polu tożsamości użytkownika sso_identity.
Musisz przypisać użytkowników do aplikacji Azure SAML SSO, aby umożliwić im doświadczenie SSO.
Odwiedź sekcję Użytkownicy i grupy aplikacji SSO w Azure AD. Kliknij Dodaj użytkownika/grupę, aby przypisać użytkowników do aplikacji SSO w Azure AD. Tylko użytkownicy przypisani do aplikacji SSO w Azure AD będą mogli uwierzytelniać się przez konektor SSO w Azure AD.
Podaj domeny e-mail swojej organizacji na karcie doświadczenia konektora SAML SSO w Logto. To włączy konektor SSO jako metodę uwierzytelniania dla tych użytkowników.
Użytkownicy z adresami e-mail w określonych domenach będą imali wyłącznie limit korzystania z konektora SAML SSO jako jedynej metody uwierzytelniania.
Przejdź do zakładki Doświadczenie logowania i włącz przedsiębiorcze SSO.
Teraz możesz przetestować integrację SSO używając przycisku podglądu na żywo w prawym górnym rogu sekcji Podgląd doświadczenia logowania.