Signle 登录：Microsoft 365 不要求选择帐户

Question

我已经为我的应用程序实施了 SSO。 我使用 AWS Cognito 作为服务提供商，使用 Azure AD 作为身份提供商。 IdP 通过 Cognito 中的 SAML 配置。 下面是生成的URL

https://<my_custom_domain>.auth.us-east-1.amazoncognito.com/oauth2/authorize?identity_provider=<IdP_Name>&redirect_uri=<Callback_url_passed_in_Cognito>&response_type=TOKEN&client_id=<Client_Id>&scope=aws.cognito.signin.user .admin%20email%20openid%20profile&state=transit

在我的应用程序中，当用户最初尝试使用其 MS 365 帐户登录时，它会要求提供用户凭据。

但是在从应用程序注销后，如果用户尝试使用不同的帐户再次登录，则不会要求用户输入凭据或选择现有帐户。 它直接使应用程序登录以前的帐户。

注意：如果在我的浏览器中有多个 MS 365 帐户登录，那么只有我的应用程序会询问要使用哪个帐户。 如果存在单个 MS 365 帐户，那么我的应用程序会使用该帐户，而不会要求用户使用其他帐户登录。

Answer 1

由于您特别提到了用于 Cognito 和 Azure AD 集成的SAML ，因此此答案基于此。

当 SAML 服务提供商 (SP) 以 Azure AD 发起 SAML 身份验证请求时，它可以将ForceAuthn参数指定为true 。 使用该 Azure AD 应该始终提示用户进行身份验证。 请参考这份文件。 所以这在 Azure AD 中得到支持。

但据我所知，Cognito 不支持在 SAML AuthnRequest中包含该参数。 这个问题也引起了同样的关注。

尽管我没有尝试过，但我认为您应该能够在Cognito SAML 配置中使用Sign-out flow以及 Azure AD 单点注销。 所以我认为它应该从 Microsoft 中注销用户，并在用户尝试再次登录时提示输入凭据。

Answer 2

我试图在我的环境中重现相同的内容并得到以下结果：

请注意：

• SSO 允许用户进行一次身份验证并访问应用程序而无需重新输入凭据。
• 单点登录允许用户只需登录一次即可访问应用程序，而无需每次都输入登录信息。
• 因此，如果只有一个 MS 365 帐户存在，则它不会要求用户选择一个帐户。

例如，我配置了SSO并尝试访问以下端点：

https://login.microsoftonline.com/organizations/oauth2/v2.0/authorize?
&client_id=XXXX
&response_type=code
&redirect_uri=redirecturi
&response_mode=query
&scope=https://graph.microsoft.com/.default
&state=12345

多个账号时浏览器提示Pick an account仅如下图：

或者，您可以在授权端点中使用prompt=login并输入凭据以访问应用程序。 提示将如下所示：

否则，为确保“ Pick an account ”屏幕尝试创建一个条件策略，该策略需要多因素 MFA）或用户尝试访问应用程序时的设备合规性。

参考：

单点登录 - Microsoft Entra | 微软学习