azure - 如何制作适用于 Office 365 的 Google Apps iDP

Question

我正在尝试让 Google Apps 用户使用 Google 凭据登录 Office 365。

我正在努力解决两件事。

<强>1。使用 Azure AD 设置联合域。谁能从下面的 Google iDP 元数据中匹配所需的变量吗？

以下是 Microsoft 从其帮助页面设置联合域的变量。

$dom = "contoso.com" 
$BrandName - "Sample SAML 2.0 IDP" 
$LogOnUrl = "https://WS2012R2-0.contoso.com/passiveLogon" 
$LogOffUrl = "https://WS2012R2-0.contoso.com/passiveLogOff" 
$ecpUrl = "https://WS2012R2-0.contoso.com/PAOS" 
$MyURI = "urn:uri:MySamlp2IDP" 
$MySigningCert = @" MIIC7jCCAdag......NsLlnPQcX3dDg9A==" "@ 
$uri = "http://WS2012R2-0.contoso.com/adfs/services/trust" 
$Protocol = "SAMLP" 

Set-MsolDomainAuthentication ` -DomainName $dom -FederationBrandName $dom -Authentication Federated -PassiveLogOnUri $MyURI -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $uri -LogOffUri $url -PreferredAuthenticationProtocol $Protocol 

这是 Google iDP 元数据，它应该包含所有信息

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://accounts.google.com/o/saml2?idpid=C01gs" validUntil="2021-08-31T11:57:42.000Z">
  <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
          <ds:X509Certificate>MIIDdDCCAlygAwIBAgI
MTE1NzQyWhcNMjEwODM.....yVlPqeevZ6Ij
    f7LcIuZHffg1JV6pOB3A7afVp7JBbzZZOeuhl5nUhr96</ds:X509Certificate>
        </ds:X509Data>
      </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://accounts.google.com/o/saml2/idp?idpid=C02gs"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://accounts.google.com/o/saml2/idp?idpid=C03gs"/>
  </md:IDPSSODescriptor>
</md:EntityDescriptor>

<强>2。联合域成功后(我成功了，但是没有成功，所以我提供的powershell的变量是错误的)。 Office 365 的管理门户不允许从联合域添加用户。那么，如何添加用户呢？

希望有人能帮我解决这个难题。

Answer 1

Google 现在提供 documentation关于使用 Office 365 设置 SSO。

还提供了有关将 Google 添加为 Microsoft 的 IdP 的相应文档；但是，我发现那里没有任何用处，并且在按照 Microsoft 的说明进行操作后，登录不断失败(SSO 不起作用)。

相反，我关注了 instructions from James Winegar其中包含 PowerShell 命令(可在 Microsoft 管理门户中提供的 Cloud Shell 中运行，或在本地运行)，让我可以在一小时左右的时间内建立并运行联合，包括从 Google 端开始进行用户同步的时间。

Microsoft 的这项支持似乎相对较新 — 根据此问题的出现时间，显然还不到 4 年。但至少现在它是存在的。当有人阅读此答案时，可能会有更好的教程可用。