配置 SSO：Azure Active Directory

如果按此页面所述在主机级别启用 Azure AD 集成，则无法在组织/租户级别启用它。

主机级别的集成仅启用 SSO。 但是，如果在组织/租户级别启用，则该集成允许 SSO，还允许目录搜索和自动用户配置。

步骤 1. 创建 Azure AD 应用程序注册

注意：以下步骤是示例配置的简要说明。有关更详细的说明，请参阅 Microsoft 文档，以将 Azure AD 配置为身份验证提供程序。

1. 以管理员身份登录 Azure 门户。
2. 转到“应用程序注册”，然后单击“新建注册”。
3. 在“注册应用程序”页面中，用 Orchestrator 实例名称填充“名称”字段。
4. 在“ 支持的帐户类型 ” 部分中，选择 “仅限此组织目录中的帐户”。
5. 从下拉列表中选择网页，填写 Orchestrator 实例的 URL 并加上后缀 /identity/azure-signin-oidc 来设置重定向 URI。例如，https://baseURL/identity/azure-signin-oidc。
6. 选中底部的“ID 令牌”复选框。
7. 单击“ 注册 ”，为 Orchestrator 创建应用程序注册。
8. 保存“应用程序（客户端）ID”，以供以后使用。

步骤 2.配置 Azure AD SSO

1. 以系统管理员身份登录到管理门户。
2. 转到“ 用户 ”，然后选择“ 身份验证设置” 选项卡。
3. 在“外部提供程序”部分中，单击“Azure AD”下的“配置”。
   • 选择“已启用”复选框。
   • 如果您只想允许使用 AzureAD 登录 Orchestrator，请选中“强制使用此提供程序自动登录”复选框。
   • 在“ 显示名称” 字段中填写要用于“登录” 页面上的 AzureAD 按钮的标签。
   • 在“ 客户端 ID ” 字段中，粘贴从 Azure 门户获取的 应用程序（客户端） ID 的值。
   • （可选）在“ 客户端密码” 字段中，粘贴从 Azure 门户获取的值。

   • 将“授权”参数设置为以下值之一：

     • https://login.microsoftonline.com/<tenant>，其中 <tenant> 是 Azure AD 租户的租户 ID 或与此 Azure AD 租户关联的域。仅用于登录特定组织的用户。
     • https://login.microsoftonline.com/common。用于使用工作和学校帐户或个人 Microsoft 帐户登录用户。
   • （可选）在“注销 URL”中，粘贴从 Azure 门户获取的值。
4. 单击“测试与保存”，保存对外部身份提供程序设置所做的更改。
5. 重新启动 IIS 站点。 对外部提供程序进行任何更改后，这是必需的。

步骤 3. 允许组织使用 Azure AD SSO

现在，Orchestrator 已与 Azure AD 登录集成，具有有效 Azure AD 电子邮件地址的用户帐户可以使用“ 登录 ” 页面上的“ Azure AD SSO” 选项登录 Orchestrator。

如果每位管理员要允许使用 Azure AD SSO 登录，则他们必须为其组织/租户执行此操作。

1. 以管理员身份登录 Orchestrator。
2. 为用户添加本地用户帐户 ，每个帐户都具有有效的 Azure AD 电子邮件地址。