将现有 Web 应用程序与用于 SSO 的 Azure AD 集成答案

【问题标题】：Integrating existing web application with Azure AD for SSO将现有 Web 应用程序与用于 SSO 的 Azure AD 集成
【发布时间】：2018-04-04 22:13:20
【问题描述】：

我是 Azure AD 领域的新手，从 SSO 角度比较 Azure AD 和 ADFS 时有点困惑。

我已经建立了一个网站并将其与本地 ADFS 集成以进行单点登录。我已将 WS-Federation 用于此集成。用户登录到 Web 应用程序，Web 应用程序使用 SAMLRequest 将用户重定向到 ADFS，用户通过 ADFS 的身份验证，然后 ADFS 将 SAMLReesponse 发送回 Web 应用程序。 Web 应用程序验证响应并从声明中检索标识。

现在，我想将相同的 Web 应用程序与 Azure AD 集成。我的理解是上述解决方案应该与 Azure AD 一样工作。唯一的区别是 Web 应用程序将用户重定向到的端点的变化。对于 ADFS 和 Azure AD，SAMLRequest 和 SAMLResponse 的格式将相同。我的理解是否正确，从开发人员的角度来看，Web 应用程序与 ADFS 的集成方式与它与 Azure Ad 的集成方式相同？

我的第二个问题是关于 LDAP。目前我的应用程序有另一个集成选项。它通过 LDAP 直接与 AD 连接，发送凭据，AD 对用户进行身份验证。我的应用程序能否直接通过 LDAP 连接到 Azure AD，就像我使用 LDAP 连接到 AD 的方式一样？

【问题讨论】：

标签： single-sign-on azure-active-directory saml adfs ws-federation

【解决方案1】：

您说您使用的是 WS-Fed，但 SAMLRequest 和 SAMLResponse 是 SAML 2.0。

不管怎样，是的，当您更改端点、元数据地址等时它应该可以工作。

两者结合的方式是一样的。

抱歉，“使用 LDAP 与 AD 连接”是什么意思。这是本地广告吗？ LDAP 适合什么地方？

更新

您的意思是您使用 LDAP 协议与 AD 通信，而不是拥有一个实际的 LDAP 存储库？

所以问题是 Azure AD 可以使用本地 AD 进行身份验证吗？

是的 - 您可以使用联合租户（使用 ADFS for SSO）或按照 this 使用直通。

【讨论】：

还有另一个工作流，它接受来自用户的 AD 凭据并使用 LDAP 对用户进行身份验证。因此应用程序直接与 AD 连接以对用户进行身份验证。这发生在 Web 应用程序和客户端 AD 之间建立的安全 VPN 隧道上。我只是想知道，使用 Azure AD 是否可以像使用本地 AD 一样使用 LDAP 对用户进行身份验证。