Azure中基于SAML的IDP（带有签名响应和加密断言）设置？

Question

我们希望在Azure中实现基于SAML的IDP（带有签名响应和加密断言），我们的SP将是另一项服务。为此，我们需要在Azure中的IDP端配置我们的SP公共证书。我们使用“Azure Active Directory >>企业应用程序>>非库应用程序”创建了基本IDP。那么现在我们需要知道，我们如何在Azure中的IDP配置SP公共证书？

Answer 1

您不必在Azure AD中配置SP公共证书。 Azure AD将忽略SAML请求中的签名。您在Azure AD中配置的唯一内容是标识符，回复URL，并添加SAML响应中预期的任何自定义属性。然后，使用元数据或证书在SP上配置SSO。

看看这些文档：

Azure AD Single Sign-On SAML protocol

如果您想在AAD Gallery中列出您的应用程序，以允许普通客户添加和配置您的应用程序：Listing your application in the Azure Active Directory application gallery

Answer 2

签名响应Azure AD有一个option用于签署其SAML响应。只需确保下载Azure的元数据以获取Azure的签名证书。

加密响应Azure AD调用加密SAML响应中的断言，为Encrypted Tokens，这根本不是一个非常好的名称。遗憾的是，它与其他SAML选项无关。这个page解释了如何做到这一点。您需要以PEM格式获得SP enc证书。其余的应该很简单。