azure - OKTA 作为 Azure 中的 IDP 发起的 SSO 失败

Question

我们已将 OKTA 配置为 Azure AD 中的 IDP。在测试 IDP(OKTA) 身份验证流程时，会抛出错误。
使用下面的 Microsoft 链接作为引用配置了 Okta 和 Azure AD。

https://learn.microsoft.com/en-us/azure/active-directory/b2b/direct-federation

到目前为止我们做了什么？

1. 在 OKTA 注册公司“example.com”。
2. 在 OKTA 中创建了自定义 SAML 应用以导出 OKTA IDP 元数据
3. 按照上述引用链接配置应用 SSO 设置
4. 在 AzureAD 中导入 OKTA 元数据作为外部 IDP

按照以下步骤测试 IDP 身份验证流程

1. 使用 OKTA 中的现有用户登录
2. 身份验证成功后，用户将重定向到仪表板页面
3. 在这里，当我们点击自定义应用 Chiclet 时，它不会重定向到 Microsoft 应用门户，而是抛出以下错误 -

AADSTS50107:请求的联合领域对象“http://www.okta.com/xxxxxxxxxxxxxxxxxxxx”不存在。

Answer 1

我认为直接联合不支持 idp 发起的登录，您需要使用租户上下文登录。您在粘贴的链接中看到了该注释吗？

直接联合 guest 用户必须使用包含租户上下文的链接登录(例如 https://myapps.microsoft.com/?tenantid= 或 https://portal.azure.com/ ，或者如果是经过验证的域，则为 https://myapps.microsoft.com/\ .onmicrosoft.com)。只要应用程序和资源包含租户上下文，直接链接也可以使用。直接联合用户当前无法使用没有租户上下文的通用端点登录。例如，使用 https://myapps.microsoft.com , https://portal.azure.com ，或https://teams.microsoft.com将导致错误。