是否可以使用 OpenID Connect 将 FoxID 连接到 Azure AD？

Question

是否可以使用 OpenID Connect 将 FoxID 连接到 Azure AD？ 将 Azure AD 作为 FoxID 上的上方 OP (IdP)。

问候 符文 (JO Informatik)

Answer 1

是的，可以使用 OpenID Connect 连接单租户和多租户 Azure AD 应用程序作为 FoxIDs 上的升级方。

另请参阅 documentation。

配置单租户

开始在 FoxIDs 中创建 OpenID Connect up-party

1. 添加姓名
2. Select 显示高级设置
3. Select波浪线URL绑定模式

现在可以阅读 Redirect URL 和 Post logout redirect URL。

创建 Azure AD 应用程序

1. 添加姓名
2. Select单租户
3. （这是一个 Web 应用程序）添加 Redirect URL
4. 点击注册
5. 复制应用程序（客户端）ID
6. 复制目录（租户）ID
7. 转到身份验证选项卡并将 FoxIDs Post logout redirect URL 添加为 Front-channel logout URL，单击保存。
8. 转到“证书和机密”选项卡并添加客户端机密并复制机密值。

回到 FoxIDs up-party

1. 添加权限为https://login.microsoftonline.com/{Azure AD tenant ID}/v2.0
2. 添加个人资料和电子邮件范围
3. 将 Azure AD 客户端 ID 添加为自定义 SP 客户端 ID
4. 将 Azure AD 客户端密码值添加为客户端密码
5. Select 使用来自 ID 令牌的声明
6. 添加up方接受的声明。例如，preferred_username、电子邮件、姓名、given_name、family_name、oid、ipaddr
7. 点击创建。

就是这样，你已经完成了。新的上党现在可以select编辑为下党中可能的上党。

配置多租户

多租户配置与单租户配置略有不同。

在 Azure AD 中

1. 应用创建期间select多租户

在 FoxIDs up-party

1. 添加权限https://login.microsoftonline.com/common/v2.0
2. Select 编辑发行人
3. 将颁发者更改为 https://login.microsoftonline.com/{Azure AD tenant ID}/v2.0，您可以添加多个颁发者

从访问令牌读取声明

如果您想从访问令牌中读取声明，您需要再添加一个 Azure AD 应用作为资源 (API)。从资源应用程序公开一个范围，并向其他 Azure AD 应用程序授予资源应用程序范围。 然后将资源应用程序范围添加为 FoxIDs up-party 中的范围。

在此期间，访问令牌由同一 OP (IdP) 颁发并因此被接受。