如何使用 SAML 將 Okta 作為 IDP 與 Azure AD B2C 集成？

Question

我有我的 Azure AD B2C 租戶，我有一個使用 OpenIdConnect 與我的 AD 連接的應用程序。

我一直在閱讀有關如何添加一個可以通過 SAML 與我的 Azure AD B2C 租戶通信的 IDP 的 MS 文檔，因為我一直在使用 Okta 進行測試所以

1. 用戶可以登錄其 okta 帳戶
2. 使用 okta 的儀表板用戶可以單擊我的應用程序（我的 Azure 租戶中的一個設置）

但在內部我需要發生的是：

1. Okta 向我的 Azure AD B2C 租戶發送 SAML package（已啟動 SAML Idp）
2. 我的 Azure AD B2C 可以讀取內容並獲取用戶標識符（電子郵件）
3. 我的 Azure AD B2C 讀取了從 SAML package 獲得的 Email 並檢查我的用戶是否已經注冊，如果是，則用戶有權登錄
4. 在 Azure AD B2C 確認用戶可以繼續之后，它使用 OpenIdConnect 將用戶重定向到我的應用程序（我想說這個集成已經到位）

但是我在嘗試將 okta 添加為我的 Azure AD B2C 中的 IdentityProvider 時遇到了一些困難，作為事實的來源，我確實嘗試過使用直接聯合，但它沒有用，所以繼續嘗試使用自定義來完成它政策，但我仍然無法弄清楚它是如何運作的。 找到這個帶有示例的 repo ，而在我的研究中發現這個鏈接基本上提到我不能這樣做：

我對此非常陌生，因此試圖獲得任何幫助。 如果可能的話，有什么想法，或者我如何使用 SAML 集成它？ 找到的樣本主要使用 OpenIdConnect，如果用戶不存在，則其中大多數樣本都會注冊它們，這也不是我想要的。 有什么幫助嗎？

Answer 1

Azure AD 不是 Azure AD B2C。 兩種不同的服務，不同的目的，不同的功能。

在 AAD B2C 中添加 SAML IdP 有一個端到端的演練：

https://docs.microsoft.com/en-us/azure/active-directory-b2c/identity-provider-generic-saml?tabs=windows&pivots=b2c-custom-policy

有一些 SAML IdP https://docs.microsoft.com/en-us/azure/active-directory-b2c/identity-provider-salesforce-saml?tabs=windows&pivots=b2c-custom-policy的工作示例

然后將 SAML 應用程序與 AAD B2C https://docs.microsoft.com/en-us/azure/active-directory-b2c/saml-service-provider?tabs=windows&pivots=b2c-custom-policy

如果 IdP 是聯合 IdP（在您的情況下可以），則 AAD B2C 不支持 IdP 發起的 SAML 應用程序登錄，僅當 IdP 是 AAD B2C（本地帳戶）時才支持。

您不能執行 IdP 發起的登錄，然后讓 AAD B2C 向應用程序發出 OIDC 響應。 您應該使用 OIDC 聯合到 Okta。 它更簡單，並實現了相同的用戶體驗。

https://docs.microsoft.com/en-us/azure/active-directory-b2c/saml-service-provider?tabs=windows&pivots=b2c-custom-policy#supported-and-unsupported-saml-modalities

您可以改為將 Okta 儀表板磁貼指向應用程序的 SP 啟動的登錄端點。

現在也可以使用 AAD，您可以使用 SAML 與 Okta 聯合。 https://help.okta.com/en/prod/Content/Topics/Apps/Office365-Deployment/configure-sso.htm

這種方法將允許使用 Okta 身份登錄您的業務線應用程序。 但是不會有任何注冊經驗。 它更適合員工訪問您的應用程序。 注冊類型的經驗將需要 AAD B2C。