与Salesforce的Windows Azure AD SAML集成是否支持服务提供商发起的SSO？

Question

如本文所述，我已经成功地在Azure AD和Salesforce之间建立了SSO集成。

使用此配置，用户必须知道要登录到Salesforce，必须转到Azure AD访问面板。这似乎是标准身份提供程序使用SAML启动的SSO。

我希望将服务提供商启动的SSO与Azure AD一起使用。我希望用户能够打开深度链接的Salesforce URL，重定向到Azure AD登录页面，然后重定向回最初请求的URL。这有可能吗？

Answer 1

我们今天设置了此功能，Salesforce启动了具有Azure AD身份验证的SSO。

任何Salesforce SAML/SSO身份验证的注意事项/注意事项：

您必须设置html" target="_blank">自定义salesforce域：例如yourdomain。我的销售人员。通用域名格式

然后，用户需要接受培训才能登录，然后单击“Azure SSO”按钮，而不是输入salesforce凭据。

或者，用户可以继续salesforce.com，但必须单击“登录到自定义域”，然后手动输入域名，这也构成了再培训，而且更难。

您可以选择让“Salesforce密码”与SAML/SSO认证共存。如果您使用与Salesforce集成的任何东西，例如DBSync，则必须启用此选项。这是因为您将不得不在salesforce中使用管理员/用户帐户进行集成，这不是很好。用于集成的专用服务号系统现在应该存在，但这是另一个讨论。

注意：使用Azure AD auth登录实际上要快得多...

Salesforce“客户端应用程序”的设置和行为，如Chatter Desktop、Salesforce1移动应用程序、Outlook应用程序等，将发生一些变化。我们能够很容易地把它们全部弄清楚，但为员工提供教程的组织将需要新的文档。用户必须在手机上注销，手动进入新域。。。所有这些都需要文件。

设置流畅的用户预配相当复杂，需要在Azure AD端进行大量配置。涉及在系统之间匹配属性、定义许可证等。

最后，在您的环境中构建两个云系统之间的新的非平凡依赖关系。如果你没想过的话。。。这很重要。

总的来说，我们对整合非常满意。对我们来说太棒了，似乎很快。

Answer 2

我已向Microsoft确认，Windows Azure AD不支持由SP启动的Salesforce SAML流。所有访问必须从Azure AD访问面板启动。

微软正在努力解决这个问题。