Azure Active Directory 单点登录

Question

我想知道基于 SAML 的单点登录中是否有规定，其中我可以使用 IdP 提供的 token 进行身份验证，然后一旦验证了授权，即必须在应用程序端处理用户拥有的角色/权限。这完全是从 Azure Active Directory 的角度来看的。

Answer 1

SAML based Single Sign-On 中的规定

如果用户存在于您的 IdP 中但不在您的实例中，SAML 用户配置可以自动在您实例的用户 [sys_user] 表中创建用户。

SAML user provisioning is supported for SAML 2.0 Update 1 when Multi-SSO is enabled.

SAML 用户配置的工作原理

何时 SAML user provisioning启用后，系统遇到不在实例中的新用户时，实例会自动在临时表中创建一条名为 u_import_saml_user_ 的记录，其中 是自动生成的文本标识符。系统还创建转换映射，指定导入表和用户表之间的数据关系。系统中识别的每个 IdP 都有自己的转换映射。为每个 IdP 创建一次转换映射。管理员可以根据需要进行更新。

当用户登录时，他们会访问 IdP 进行登录。

1. The system presents a list of all IdPs that are able to use SAML user provisioning. If there is only one IdP that can use SAML user provisioning, that one is used automatically.

2. If none of the above conditions are true, the system uses the default IdP.

管理 SAML 用户配置

要使用 IdP 中的用户更新用户表，您必须首先设置字段映射，然后通过多 SSO IdP 设置启用用户配置

角色/权限

有关角色权限和用户管理，您可以引用here

<强> Some Benefits of Provisioning

实现即时配置可以为您的组织带来以下优势。

降低管理成本:通过 SAML 进行配置允许客户按需创建帐户，作为单点登录流程的一部分。通过将配置和单点登录流程合并到一条消息中，大大简化了需要动态配置用户的场景中所需的集成工作。

提高用户采用率:用户只需记住一个密码即可访问他们的主网站和 Salesforce 都是如此。用户更有可能定期使用您的 Salesforce 应用程序。

增强安全性:您为公司网络建立的任何密码策略也对 Salesforce 有效。此外，发送仅对单次使用有效的身份验证凭据可以提高有权访问敏感数据的用户的安全性。

要了解更多想法，您还可以查看 here

供您引用的一些关键资源

1. Configuring Azure AD as a SAML IdP

2. SAML Guide Line

3. How does SAML work? IDPs & SPs

4. SAML terms and their purpose

希望它能指导您解决 SAML 实现方面的问题。非常感谢。