Azure Active Directory 企业应用程序 OpenID 和用户配置 (SCIM)

Question

我正在尝试在 Azure 中构建一个企业应用程序，它将支持使用 OpenID Connect 的 SSO 和使用 SCIM API 的用户配置。

当我使用 OpenID Connect 方法创建应用程序时，我没有启用用户配置的选项。如果我采用非库方法，我可以启用用户配置并测试我的 SCIM API。我错过了什么吗？为什么该选项不适用于 OpenID Connect？

我按照此图选择了正确的 SSO。 https://learn.microsoft.com/en-us/azure/active-directory/manage-apps/plan-sso-deployment#single-sign-on-options

然后在 Azure 中选择“您正在开发的应用程序”选项。

一旦进入“配置”部分，“开始”按钮就会被禁用：

但是，如果我在创建应用程序时选择“非库”选项，则“配置”部分将启用，并允许我们逐步完成向导以连接到 SCIM API：

Answer 1

根据 Azure ad app-provisioning-known-issues -microsoft docs

如果您创建应用注册，则对应的服务主体 在企业应用程序中，将不会启用自动用户配置。 您的应用程序需要位于库中才能启用配置。对于 您需要请求将应用程序添加到图库，如果 供多个组织使用，或创建第二个 用于配置的非图库应用程序。

要将您的应用程序放入库中，请参阅

如何-应用程序库列表

请参阅

SaaS 应用程序集成教程以与 Azure AD 一起使用 |微软文档

参考资料：

1. Azure AD Enterprise 应用程序未显示“自动”配置 模式 - 堆栈溢出
2. 将用户配置配置到 Azure Active Directory 时出现问题 画廊应用程序 |微软文档

Answer 2

您已经确定了目前有效的方法 - 非库 OIDC 应用程序目前无法支持 SCIM 配置，因此您需要第二个应用程序。我们（Microsoft）希望能够在非库 OIDC 应用程序上启用 SCIM 配置，但需要首先解决一些安全/权限升级问题。

Answer 3

所以刚刚看到您的帖子，我们对 sso 和 scim 有一些疑问，因为您也在做 sso（使用 openid）和 scim，您的方法是什么，我们执行以下操作

使用 scim 获取用户（在 azure ad 属性映射中，我们已将 oid 映射到外部 id，因此当我们获取用户时，我们会获取 oid 以及其他属性，即名字、姓氏等，我们存储这些属性）
当用户执行 sso 时，我们确保解码令牌并获取 oid，我们会使用步骤 1 中存储的 oid 检查该 oid，如果是，我们将授予对 api 的访问权限，请告诉我您是否遵循同样的方法

让我知道您是否遵循相同的方法，并让我知道我们所遵循的方法是否正确，因为我找不到任何有关如何一起使用两者的文档或步骤，

提前致谢