配置 Azure Active Directory 单一登录 (SSO)

您安装了 Azure AD Connect 并想要配置 Azure Active Directory 单一登录 (SSO)。这是一项很棒的功能，使用户在从加入域的桌面计算机访问云服务时可以获得无缝的单点登录体验。在本文中，你将了解如何设置 Azure Active Directory 单一登录。

Azure Active Directory 单一登录先决条件

在开始启用 Azure Active Directory 单一登录功能之前，必须检查组织是否满足 AAD SSO 先决条件。

安装 Azure AD 连接

您需要先安装并配置 Microsoft Entra Connect，然后再继续操作。如果组织中已有 Azure AD Connect，我们建议您升级到最新的 Azure AD Connect 版本。请参阅下一步。

将 Azure AD Connect 升级到最新版本

以下文章将帮助您将 Azure AD Connect 升级到最新版本：

1. 升级 Azure AD Connect
2. 将 Azure AD Connect 升级到 V2.x
3. 将 Azure AD Connect 迁移到新服务器

配置防火墙

在 Azure AD Connect 服务器和 Azure AD 之间的防火墙允许列表中添加以下 URL：

• 通过端口 443 的 *.msappproxy.net

启用现代身份验证

浏览文章在 Microsoft 365 中启用新式身份验证：

• 在 Microsoft 365 租户中启用新式身份验证
• 在客户端上配置注册表项以支持新式身份验证

如何配置 Azure Active Directory 单一登录

要配置 AAD SSO，请执行以下步骤：

步骤 1. 在 Azure Active Directory Connect 中启用单点登录

要在 Azure AD Connect 中启用 Azure Active Directory 单一登录，请执行以下步骤：

登录到 Azure AD Connect 服务器。

启动Azure AD Connect。单击配置。

点击更改用户登录。单击下一步。

填写您的Azure AD 全局管理员或混合身份管理员凭据。单击下一步。

选中启用登录复选框。单击下一步。

输入您的域管理员帐户凭据。单击下一步。

选中配置完成后启动同步过程复选框。单击配置。

单击退出。

步骤 2. 验证单点登录是否处于活动状态

登录 Microsoft Azure 门户。

单击菜单 > Azure Active Directory。

选择Azure AD Connect。验证无缝单点登录功能是否显示为已启用。

启动Active Directory 用户和计算机。转到默认的计算机容器。验证计算机帐户 AZUREADSSOACC 是否出现。

注意：无缝 SSO 在每个 AD 林的本地 Active Directory (AD) 中创建一个名为 AZUREADSSOACC 的计算机帐户。出于安全原因，需要严格保护 AZUREADSSOACC 计算机帐户。只有域管理员才能管理计算机帐户。确保计算机帐户上的 Kerberos 委派已禁用，并且 Active Directory 中的任何其他帐户都没有 AZUREADSSOACC 计算机帐户的委派权限。将计算机帐户存储在组织单位 (OU) 中，防止意外删除，并且只有域管理员有权访问。

步骤 3. 配置组策略

有两个组策略需要配置。请按照以下步骤操作：

启动组策略管理。

创建新组策略或编辑现有策略。

政策 1：站点到区域分配列表

浏览至用户配置 > 策略 > 管理模板 > Windows 组件 > Internet Explorer > Internet 控制面板 > 安全页面。

双击站点到区域分配列表。

单击启用以启用该策略。然后，点击显示。

在区域分配中输入以下 Azure AD URL：

• https://autologon.microsoftazureread-sso.com 值为 1

策略 2：允许通过脚本更新状态栏

浏览至用户配置 > 策略 > 管理模板 > Windows 组件 > Internet Explorer > Internet 控制面板 > 安全页面 > Intranet 区域。

双击允许通过脚本更新状态栏。

单击启用以启用该策略。然后，单击启用。

步骤 4.SSO 浏览器兼容性

假设组织中有不同的 Web 浏览器。您需要为每个浏览器配置设置。请阅读 Microsoft 浏览器注意事项部分。

测试 Azure Active Directory SSO

登录加入域的计算机并启动 Microsoft Edge 浏览器。导航到 https://myapps.microsoft.com/tenant.onmicrosoft.com。

在我们的示例中，它是https://myapps.microsoft.com/exoip365.onmicrosoft.com。

您不必添加用户名或密码；它会自动登录。

您已在组织中成功配置 AAD SSO。

了解更多：查找 Azure AD Connect 帐户 »

结论

您了解了如何配置 Azure Active Directory 单一登录 (SSO)。在设置 Azure AD SSO 之前，请确保组织满足先决条件。部署时始终测试配置。从现在开始，用户每次从加入域的计算机连接到云服务时都会自动登录，无需填写凭据。

您喜欢这篇文章吗？您可能还喜欢为本地配置 Microsoft Entra 密码保护。不要忘记关注我们并分享这篇文章。