配置 SSO：SAML 2.0

Orchestrator 可以处理基于 SAML 2.0 的单点登录 (SSO) 身份验证。 要启用此功能，必须正确配置作为服务提供程序的 Orchestrator/身份服务器和身份提供程序，以便它们可以相互通信。 如果 SAML 已启用且配置正确，则“登录”页面底部会显示一个按钮。 如果外部身份提供程序使用多重身份验证协议，则用户还需要遵守相应的规则才能成功登录。

图 1. 使用 SAML 2.0 以单点登录方式登录 Orchestrator

重要提示：

Orchestrator/Identity Server 支持多个身份提供程序。 在本指南中，我们举例说明以下内容：

• ADFS
• Google
• 奥克塔
• PingOne

概述

要启用 SAML 身份验证，大致流程如下：

1. 在 Orchestrator 中定义一个用户，并在“用户”页面上设置一个有效的电子邮件地址。 这适用于将您的电子邮件地址设置为 SAML 属性的情况。您也可以配置自定义映射策略。
2. 使用 Microsoft 管理控制台将身份提供程序提供的签名证书导入 Windows 证书存储，然后相应地设置 Orchestrator/Identity Server 以使用证书。
3. 在Saml2设置（ “用户” >“身份验证设置” >“外部提供程序” ）中添加特定于要使用的身份提供程序的配置，并确保选中“启用” 复选框。 请按照您使用的身份提供程序的说明进行操作：
   • ADFS
   • Google
   • 奥克塔
   • PingOne