如何使用 SAML 将 Okta 作为 IDP 与 Azure AD B2C 集成？

Question

我有我的 Azure AD B2C 租户，我有一个使用 OpenIdConnect 与我的 AD 连接的应用程序。

我一直在阅读有关如何添加一个可以通过 SAML 与我的 Azure AD B2C 租户通信的 IDP 的 MS 文档，因为我一直在使用 Okta 进行测试所以

1. 用户可以登录其 okta 帐户
2. 使用 okta 的仪表板用户可以单击我的应用程序（我的 Azure 租户中的一个设置）

但在内部我需要发生的是：

1. Okta 向我的 Azure AD B2C 租户发送 SAML package（已启动 SAML Idp）
2. 我的 Azure AD B2C 可以读取内容并获取用户标识符（电子邮件）
3. 我的 Azure AD B2C 读取了从 SAML package 获得的 Email 并检查我的用户是否已经注册，如果是，则用户有权登录
4. 在 Azure AD B2C 确认用户可以继续之后，它使用 OpenIdConnect 将用户重定向到我的应用程序（我想说这个集成已经到位）

但是我在尝试将 okta 添加为我的 Azure AD B2C 中的 IdentityProvider 时遇到了一些困难，作为事实的来源，我确实尝试过使用直接联合，但它没有用，所以继续尝试使用自定义来完成它政策，但我仍然无法弄清楚它是如何运作的。 找到这个带有示例的 repo ，而在我的研究中发现这个链接基本上提到我不能这样做：

我对此非常陌生，因此试图获得任何帮助。 如果可能的话，有什么想法，或者我如何使用 SAML 集成它？ 找到的样本主要使用 OpenIdConnect，如果用户不存在，则其中大多数样本都会注册它们，这也不是我想要的。 有什么帮助吗？

Answer 1

Azure AD 不是 Azure AD B2C。 两种不同的服务，不同的目的，不同的功能。

在 AAD B2C 中添加 SAML IdP 有一个端到端的演练：

https://docs.microsoft.com/en-us/azure/active-directory-b2c/identity-provider-generic-saml?tabs=windows&pivots=b2c-custom-policy

有一些 SAML IdP https://docs.microsoft.com/en-us/azure/active-directory-b2c/identity-provider-salesforce-saml?tabs=windows&pivots=b2c-custom-policy的工作示例

然后将 SAML 应用程序与 AAD B2C https://docs.microsoft.com/en-us/azure/active-directory-b2c/saml-service-provider?tabs=windows&pivots=b2c-custom-policy

如果 IdP 是联合 IdP（在您的情况下可以），则 AAD B2C 不支持 IdP 发起的 SAML 应用程序登录，仅当 IdP 是 AAD B2C（本地帐户）时才支持。

您不能执行 IdP 发起的登录，然后让 AAD B2C 向应用程序发出 OIDC 响应。 您应该使用 OIDC 联合到 Okta。 它更简单，并实现了相同的用户体验。

https://docs.microsoft.com/en-us/azure/active-directory-b2c/saml-service-provider?tabs=windows&pivots=b2c-custom-policy#supported-and-unsupported-saml-modalities

您可以改为将 Okta 仪表板磁贴指向应用程序的 SP 启动的登录端点。

现在也可以使用 AAD，您可以使用 SAML 与 Okta 联合。 https://help.okta.com/en/prod/Content/Topics/Apps/Office365-Deployment/configure-sso.htm

这种方法将允许使用 Okta 身份登录您的业务线应用程序。 但是不会有任何注册经验。 它更适合员工访问您的应用程序。 注册类型的经验将需要 AAD B2C。