将office 365与ADFS以外的基于自定义SAML的身份提供程序集成

Question

我们目前正在使用基于Saml的身份提供者（Idp），该提供者生成Saml响应，以允许SSO访问谷歌应用程序。我们希望支持使用java的Office 365。

我正在查看Office 365的所有留档，据我所知，它使用SAML，但前提是由ADFS（Active Directory联合身份验证服务）或任何其他联合身份验证服务提供。是否可以将office 365配置为使用我的Idp进行身份验证，而不依赖于ADFS和活动目录（AD）。如果是，您能否详细说明如何配置相同的。我尝试过使用powershell管理Office 365，但在使用Connect MsolService连接到office 365后尝试执行此命令时失败。

我得到一个错误：

Convert-MsolDomainToFederated : Failed to connect to Active Directory Federation Services 2.0 on the local machine.Please try running Set-MsolADFSContext before running this command again.

这对谁有用吗。请建议

我已经引用了这个msdn1和msdn2链接。

谢啦

Answer 1

您需要按照此处“为联合身份验证配置Office 365租户中的域”下的说明进行操作。

因为“主动”需要STS，而“被动”则需要SAML（除非您有新的符合ADAL的O365厚客户端，但这些客户端与第三方供应商的配合不太好）。如果有用于活动的STS，则需要MetadataExchangeUri。

您正在使用Set-MsolDomainAuthentication的此链接：

Set-MsolDomainAuthentication -Authentication federated -DomainName <string> [-ActiveLogOnUri <string>] [-FederationBrandName <string>] [-IssuerUri <string>] [-LogOffUri <string>] [-MetadataExchangeUri <string>] [-PassiveLogOnUri <string>] [-SigningCertificate <string>]

正如我所说，只有在有STS可用的情况下，才需要“活动”。

他们在第一个链接上给出的例子非常好，你应该得到这样的结果：

$dom = "contoso.com" 
$BrandName - "Sample SAML 2.0 IDP" 
$LogOnUrl = "https://saml.contoso.com/samlLogonEndpoint" 
$LogOffUrl = "https://saml.contoso.com/SamlLogOffEndpoint" 
$stsUrl = "https://saml.contoso.com/PAOS" 
$MyURI = "urn:uri:MySamlp2IDP" 
$MySigningCert = @" --- YOUR CERT HERE ---" "@ 
$entityID = "http://saml.contoso.com" 
$Protocol = "SAMLP" 
Set-MsolDomainAuthentication ` -DomainName $dom -FederationBrandName $dom -Authentication Federated -PassiveLogOnUri $LogOnUrl -ActiveLogOnUri $stsUrl -SigningCertificate $MySigningCert -IssuerUri $entityID -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol