访问管理 Azure Active Directory 单点登录腾讯云指南

一、创建 Azure AD 企业应用程序

注意：你可以通过本步骤创建 Azure AD 企业应用程序，如你已经有正在使用的应用程序，可忽略本操作，进行配置 CAM。

1. 进入 Azure AD 门户页，单击左侧导航栏中 Azure Active Directory。如下：

2. 单击企业应用程序，选择所有应用程序。如下：

3. 单击创建你自己的应用程序打开“创建你自己的应用程序”窗口，选择**集成未在库中找到的任何其他应用程序(非库)**。如下：

4. 填写名称，单击添加，即可完成 Azure AD 应用程序的创建。如下：

注意：你可以通过本步骤配置 Azure AD 和腾讯云之间的信任关系使之相互信任。

1. 在左侧导航栏中，选择 Azure Active Directory>企业应用程序> 你创建的应用程序，进入应用程序概览页面。

2. 单击单一登录，打开“选择单一登录方法”页面。

3. 在打开的“选择单一登录方法”页面，选择 SAML。如下：

4. 在 “SAML 单一登录”的预览页面，下载SAML签名证书中的联合元数据 XML文件。如下：

5. 在腾讯云创建 SAML 身份提供商及角色，详细操作请参考创建身份提供商、创建角色-为身份提供商创建角色。

注意：你可以通过本步骤将 Azure AD 应用程序属性映射到腾讯云的属性，建立 Azure AD 应用程序和腾讯云的互信关系。

1. 在 “SAML 单一登录”概览界面，单击“基本 SAML 配置”右上角的。如下：

2. 在“基本 SAML 配置”编辑页面填写以下信息，并单击保存。如下：

你可以根据你的腾讯云账号所在站点进行配置。

所在站点	标识符（实体 ID）	回复 URL（断言使用者服务 URL）
中国站	cloud.tencent.com	https://cloud.tencent.com/login/saml
国际站	www.tencentcloud.com	https://www.tencentcloud.com/login/saml

注意：回复 URL（断言使用者服务 URL）为跳转的腾讯云页面，如你需要指定其他页面，可使用https://cloud.tencent.com/login/saml?s_url=xxxx 形式指定，其中 xxxx 为需要指定的地址，需要做 urlencode。

3. 在 “SAML 单一登录”概览界面，单击“属性和索赔”右上角的，打开“用户属性声明”编辑页面。如下：

4. 在“属性和索赔”编辑页面，单击添加新的声明，进入“管理声明”页面。如下：

5. 在“管理用户声明”页面，增加以下两条声明，并单击保存。

名称	命名空间	源	源属性
Role	https://cloud.tencent.com/SAML/Attributes	属性	qcs::cam::uin/{AccountID}:roleName/{RoleName},qcs::cam::uin/{AccountID}:saml-provider/{ProviderName}
RoleSessionName	https://cloud.tencent.com/SAML/Attributes	属性	Azure

注意：在 Role 源属性中 {AccountID}，{RoleName} ，{ProviderName} 分别替换为以下内容：

注意：你可以通过本步骤分配用户访问权限，向 Azure AD 用户分配腾讯云的 SSO 访问权限。

1. 单击左侧导航栏 Azure Active Directory，单击用户 > 所有用户。

2. 单击左上角+新用户 > 新建用户，在“用户”页面填写姓名、用户名，勾选显示密码，信息无误后单击下方创建完成创建。

注意：用户名格式为：用户名@域名。你可以自定义用户名，域名可以单击左侧导航栏 Azure Active Directory，打开概述页，查看你之前设置的初始域名。你可以复制保存用户名、密码留用。

3. 在左侧导航栏中，选择 Azure Active Directory>企业应用程序> 你创建的应用程序，进入应用程序概览页面，并单击用户和组。如下：

4. 单击添加用户/组，选择步骤2 你创建的用户，单击选择。

5. 跳转到“添加分配”页面，确认后单击分配。如下：

6. 在左侧导航栏中，选择 Azure Active Directory>企业应用程序> 你创建的应用程序，进入应用程序概览页面。

7. 单击单一登录，打开 “SAML 单一登录”概览界面，单击测试。如下：

8. 在“测试单一登录”界面，选择以其他用户的身份登录。

9. 输入步骤2 保存的用户名、密码，登录腾讯云控制台。