Как интегрировать Azure AD (Entra ID) SAML SSO с вашим провайдером аутентификации

Logto предоставляет готовый SAML-коннектор для интеграции с провайдерами аутентификации SSO. Каждый провайдер имеет свою специфическую информацию для настройки. Это руководство проведет вас через шаги по интеграции Azure AD с Logto.

Создание нового SAML-социального коннектора в Logto#

1. Посетите консоль Logto Cloud и перейдите в раздел коннекторов.

2. Переключитесь на вкладку Social connectors и нажмите кнопку Add Social Connector в правом верхнем углу.

   

3. Выберите SAML-коннектор.

   

   Вам будет представлена форма создания SAML-коннектора:

   

4. Заполните общую информацию о коннекторе

   

   Имя поля	Описание
   Название кнопки социального входа	Название кнопки социального входа, которое будет отображаться на странице входа.
   URL-адрес логотипа для кнопки входа	URL-адрес логотипа кнопки социального входа, который будет отображаться на странице входа.
   Название провайдера аутентификации	Название провайдера аутентификации. Это может помочь идентифицировать целевого провайдера коннектора.
   Синхронизировать информацию профиля	Синхронизировать информацию профиля пользователя с провайдера аутентификации только после первой регистрации или после каждого входа.

5. Установите Entity Id и URL службы потребителя утверждений

   

   "Entity ID" и "ACS URL" являются основными компонентами, используемыми в процессе обмена SAML между провайдерами идентификации и услуг.

   SP Entity ID: Entity ID - это уникальный идентификатор, представляющий собой сущность SAML в системе на основе SAML. Он используется для различения различных участников в обмене SAML. SP Entity ID помогает как IdP, так и SP распознавать аудиторию запроса и устанавливать доверие.

   ACS URL (URL службы потребителя утверждений): ACS URL - это конкретная конечная точка, предоставляемая Поставщиком услуг (Logto), куда Поставщик удостоверений (IdP) отправляет SAML утверждение после успешной аутентификации. Как только пользователь аутентифицирован IdP, IdP генерирует SAML утверждение, содержащее атрибуты пользователя и цифровую подпись. Затем IdP отправляет это утверждение на ACS URL SP. SP проверяет утверждение, извлекает атрибуты пользователя и выполняет вход пользователя.

   Имя поля	Описание	Пример
   SP Entity ID (Аудитория)	SP Entity, используемый AzureAD для идентификации Logto. Рекомендуется использовать ваш конечный пункт Logto в качестве EntityID	https://<tenant-id>.logto.app
   URL единого входа IdP	Точка входа IdP. Необязательно в Azure. Это поле используется для SP для идентификации сеанса входа IdP. Logto в настоящее время НЕ поддерживает сеансы входа, инициированные IdP. Пожалуйста, оставьте это поле пустым
   Сертификат X.509	Сертификат IdP, используемый для подписи SAML утверждения. (Мы получим этот сертификат из AzureAD позже)
   Метаданные IdP в формате XML	Содержимое XML-файла метаданных IdP. (Мы получим этот файл из AzureAD позднее) open
   URL службы потребителя утверждений	ACS URL ​​SP. Конечная точка SP (Logto) для получения запросов утверждения SAML. Замените идентификатор арендатора и идентификатор коннектора на свои собственные значения.	https://<tenant-id>.logto.app/api/authn/saml/<connector-id>

Создание приложения SAML SSO в портале Azure#

1. Войдите в панель управления Azure Active Directory. Выберите "Enterprise Applications".

   

2. Выберите "New Application" → "Create your own application".

   

3. Инициируйте SAML приложение.

   

4. Заполните конфигурацию с EntityId и ACS URL, которые вы установили в Logto.

   

5. Настройте атрибуты и требования пользователя

   Вы можете настроить атрибуты пользователя, нажав кнопку "Edit" (Редактировать) в разделе "User Attributes & Claims".

   

   Logto требует, чтобы в утверждении SAML были отправлены следующие основные атрибуты пользователя:

   Название требования	Название атрибута
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.mail
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name	user.name

6. Назначьте группы и пользователей приложению SAML Чтобы пользователи или группы пользователей прошли аутентификацию, их необходимо назначить приложению SAML в AzureAD. Выберите "Users and groups" в "Manage" в меню навигации. Затем выберите "Add user/group".

   

7. Получите детали IdP AzureAD, скачав сертификаты и файл метаданных. Скачайте файл Federation Metadata XML и файл Certificate (Base64), нажав на кнопку "скачать". Вам потребуются эти файлы для завершения создания SAML-коннектора в Logto.

   

Завершите создание SAML соединения в Logto#

Переключитесь обратно в форму создания SAML-коннектора в консоли Logto Cloud и продолжите заполнять детали IdP. Скопируйте содержимое XML-файла метаданных IdP в поле метаданных IdP. Вставьте сертификат IdP в поле сертификата IdP.

Настройте сопоставление профиля пользователя

На основе настроек требований пользователя AzureAD вы можете продолжить настройку конфигурации ключевого сопоставления в Logto:

Доступные поля пользователя Logto:

Нажмите "Сохранить и завершить".

Включите SAML-коннектор#

После того как вы завершите создание SAML-коннектора, вы можете включить коннектор, перейдя в раздел "Опыт входа" и добавив коннектор в качестве метода "Социального входа":

Проверьте вход SSO AzureAD, используя наше демо-приложение:

Поздравляем! Вы успешно интегрировали SSO AzureAD с Logto. Теперь вы можете использовать AzureAD для входа в свою учетную запись Logto.