java - 将 Office 365 与 ADFS 之外的基于 SAML 的自定义身份提供商集成

Question

我们目前正在使用基于 Saml 的身份提供商 (Idp)，它生成 SAML 响应以允许单点登录 Google 应用。 我们希望允许使用 java 支持 Office 365。

我正在查看 Office 365 的所有文档，据我所知，它使用 SAML，但前提是由 ADFS(Active Directory 联合服务)或任何其他联合服务提供。 是否可以将 Office 365 配置为使用我的 Idp 进行身份验证，而不依赖于 ADFS 和 Activity 目录 (AD)。如果是，您能否详细说明如何配置相同。我尝试使用 powershell 管理 Office 365，但在使用 Connect-MsolService 连接到 Office 365 后尝试执行此 Commandlet Convert-MsolDomainToFederated 时失败。

我收到错误:

Convert-MsolDomainToFederated : Failed to connect to Active Directory Federation Services 2.0 on the local machine.Please try running Set-MsolADFSContext before running this command again.

这对任何人都有效吗？请推荐

我已经引用了这个msdn1和 msdn2链接。

谢谢

Answer 1

您需要按照“在 Office 365 租户中配置域以进行联合”here 下的说明进行操作.

因为您需要 STS 来实现“主动”，而 SAML 足以实现“被动”(除非您有新的符合 ADAL 的 O365 胖客户端 - 但这些客户端与第三方供应商的配合效果不佳)。如果您有 Activity 的 STS，则需要 MetadataExchangeUri。

您正在与 this link 步入正轨对于 Set-MsolDomainAuthentication:

Set-MsolDomainAuthentication -Authentication federated -DomainName <string> [-ActiveLogOnUri <string>] [-FederationBrandName <string>] [-IssuerUri <string>] [-LogOffUri <string>] [-MetadataExchangeUri <string>] [-PassiveLogOnUri <string>] [-SigningCertificate <string>]

正如我所说，如果您有可用的 STS，则只需要“Activity ”。

他们在第一个链接上给出的示例非常好，您最终应该得到如下结果:

$dom = "contoso.com" 
$BrandName - "Sample SAML 2.0 IDP" 
$LogOnUrl = "https://saml.contoso.com/samlLogonEndpoint" 
$LogOffUrl = "https://saml.contoso.com/SamlLogOffEndpoint" 
$stsUrl = "https://saml.contoso.com/PAOS" 
$MyURI = "urn:uri:MySamlp2IDP" 
$MySigningCert = @" --- YOUR CERT HERE ---" "@ 
$entityID = "http://saml.contoso.com" 
$Protocol = "SAMLP" 
Set-MsolDomainAuthentication ` -DomainName $dom -FederationBrandName $dom -Authentication Federated -PassiveLogOnUri $LogOnUrl -ActiveLogOnUri $stsUrl -SigningCertificate $MySigningCert -IssuerUri $entityID -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol