azure-active-directory - keycloak 与 Azure AD 集成以进行 webapp 身份验证

Question

我正在尝试使用 keycloak 在我的 Web 应用程序和 IDP Azure AD 之间进行 saml 代理。

我在 Azure AD 中创建了几个用户，并在那里添加了我的 webapp 作为应用程序。
我已经使用 SAML IDP 配置了 KeyCloak，并在 Keycloak 中导入了 Azure AD 联合数据。

但是有些地方出了问题，因为我没有在网络上获得任何链接，这可以让我逐步将 KeyCloak 与 Azure AD 集成。

我正在获取 Microsoft 登录页面，并且密码身份验证已通过，但随后在重定向回 Keycloak 之前出现以下错误:

Sorry, but we’re having trouble signing you in.

AADSTS700016: Application with identifier 'http://localhost:8280/auth/realms/localRealm' was not found in the directory '<>'. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You may have sent your authentication request to the wrong tenant.

我使用以下 2 个链接进行配置:

https://ultimatesecurity.pro/post/okta-saml/此链接描述了如何使用 Okta 为 SAML 配置 Keycloak

https://docs.pivotal.io/p-identity/1-5/azure/config-azure.html此链接介绍了如何将 Azure AD 配置为 SAML IDP

编辑:看起来 Keycloak 在 SAML(可能)中发送了错误的应用程序标识符，因为这个 localhost:8280... 是 Keycloak Realm URL 而不是 Azure 应用程序标识符，它是 Azure -> 应用程序中的一些字符串键

Answer 1

我相信您可能缺少两件事:

App ID URI Azure AD 应用注册属性中的字段必须替换为 Keycloak 标识提供者的重定向 URI，但是 最后没有“/broker/...../endpoint”部分。

例如，如果您的身份提供者名为 myprovider对于名为 myrealm 的领域，您的重定向 URI 可能如下所示 https://mykeycloakserver/auth/realms/myrealm/broker/myprovider/endpoint ，因此您需要在 Azure AD 中为 App ID URI 使用的值类似于: https://mykeycloakserver/auth/realms/myrealm

确保完整的 keycloak 重定向 URL 被列为 Azure AD 应用注册中的“回复 URL”之一。

PS - 应用程序的 APP ID URI 属性(当前，截至 2019/04)在应用程序注册(预览)面板中不可用 - 您需要转到应用程序注册 > {应用程序名称} > 设置 > 属性

希望有帮助