如何使用Oauth 2.0将Windows Azure配置为身份提供程序

Question

我想使用Azure作为第三方服务提供商（SP）的身份提供者。 我的问题是

1. 如何生成有关SP的客户端ID和客户端密码。 （请注意，我的SP不是应用程序，而是另一个IDP，它将是Azure的SP，因为我正在尝试的场景是多因素身份验证）

   webapp ---->第三方IDP（充当Azure的SP）------> Windows Azure

2. 如何获取Azure的公钥？

任何帮助表示赞赏。

Answer 1

如果您只希望将Azure AD用户登录到您的Web应用程序，则不需要OAuth：您需要在Web应用程序和中间IdP之间以及中间IdP和Azure AD之间配置Web单点登录。 在您的应用程序中，用户的浏览器将重定向到中间IdP，然后重定向到Azure AD。 用户将在Azure AD上进行身份验证。 您可以在Azure AD中为用户打开MFA，这将在身份验证时强制执行。 成功进行身份验证后，身份验证响应将发送回中间IdP，并将身份验证响应发送到您的Web应用。 对于Web SSO，您可以使用SAML或WSFed（取决于您的中间IdP支持的内容。）

您将需要在Azure AD中将中间IdP配置为SP。 如果尚未注册，请注册Azure。 登录到管理门户，然后转到左侧的“ Active Directory”选项卡。 选择目录，然后转到应用程序选项卡。 在这里，您应该注册一个代表SP（您的中间IdP）的新应用。 该应用程序的以下属性很重要：

• 应用程序ID URI：这应与您的中间IdP发送到Azure AD的SSO请求的颁发者匹配
• 回复URL：这是Azure AD将发布身份验证响应的URL。 您的中间IdP应该在此URL上侦听身份验证响应。

接下来，您需要将Azure AD配置为中间IdP中的IdP。 配置此所需的所有数据都在Azure AD的联合身份验证元数据文档中。 在Azure管理门户中的配置应用程序页面上时，单击底部栏中的“查看端点”按钮以获取Azure AD的联合身份验证元数据文档URL（ https://login.windows.net/ {tenant_id} / federationmetadata / 2007 -06 / federationmetadata.xml）。

如果确实需要将OAuth与Azure AD一起使用：在应用程序配置页面上，您将找到应用程序的客户端ID（一个Guid值）。 您可以生成密钥（有效期为1或2年）-该密钥将用作客户端密钥。

以下是一些帮助主题，它们将帮助您了解：

• 身份验证方案（使用SAML / WSFed / OAuth / OpenIDConnect时）： http : //msdn.microsoft.com/zh-cn/library/azure/dn499820.aspx
• 使用Azure AD注册应用程序： http : //msdn.microsoft.com/zh-cn/library/azure/dn132599.aspx
• Azure AD联合身份验证元数据： http : //msdn.microsoft.com/zh-cn/library/azure/dn195592.aspx

希望这可以帮助。