azure - Azure AD 可以与基于 SAML 的身份提供商一起使用吗？

Question

随着我们引入一些新客户，我们正在评估几个为应用程序实现单点登录的选项，并且我们一直在尝试弄清楚 Azure AD 是否可以帮助我们。

该应用程序有一个 Web API 和一个单页应用程序网站。因此，我们希望通过 oAuth 流来保护 Web API，并评估使用 Azure AD 或 Identity Server v3 作为实现此目的的选项。我们需要连接到 SAML 身份提供商。 (最终，我们希望根据客户登录支持多个身份提供商，但有些身份提供商具有 SAML IDP，我们也可能为本地用户使用 Azure B2C，但我还不想因此而分心)

我现在的主要问题:是否可以使用 Azure AD 来让一些用户针对其组织托管的基于 SAML 的身份提供商进行身份验证？

那么 Azure AD 会处理对我的 Web API 的授权吗？我的 Web API 将使用 OWIN 中间件来检测不记名 token 并重定向到 Azure，后者将重定向到客户身份提供商进行登录。我认为这曾经属于 Azure 的 ACS 功能，但更改为 Azure AD 总括术语，我不确定它能做什么。

澄清#1:我不想使用 Azure AD 作为我的身份提供商。我想拥有它secure my app with oAuth tokens flow但重定向到单独的客户托管的身份提供商进行身份验证。因此，我会访问 www.contosobikes.com，它使用 API api.contosobikes.com，该 API 由 AD 发行的 token 保护，但随后我“注册”了一些内容，因此用户在 id.somecustomer.com 登录，然后被重定向回来。我认为我们可以通过 Identity Server 实现这种目标，我正在尝试看看 Azure AD 是否可以做到这一点。

Answer 1

是的。 Azure AD Premium 能够充当 SAML 身份提供商。基本(非付费)版本仅允许对所谓的 Azure AD 应用程序库中的预配置应用程序列表执行此操作，这对您没有帮助。

以下是 MS 描述的链接:https://learn.microsoft.com/en-us/azure/active-directory/active-directory-saas-custom-apps

您还可以在 Azure AD 之上插入身份验证提供程序(例如 Auth0)，以便在不升级到高级层的情况下“启用 SAML”Azure AD。

在您的问题中，您提到了 oAuth 和 SAML - 这令人困惑。据我了解，两者是相互排斥的。