Azure AD, B2B и Shibboleth Integration

Question

В моей организации имеется собственное программное решение, размещенное как веб-приложение в Azure. Мы используем Azure AD для обеспечения безопасности аутентификации. Некоторые из наших клиентов могут иметь собственных арендаторов Office365 AD, поэтому мы используем возможности B2B, чтобы приглашать этих пользователей в наши приложения и иметь видимость их учетных записей в нашем арендаторе AD (как внешние пользователи).

У нас есть один клиент, который хотел бы, чтобы мы интегрировались со службой Shibboleth. Мы хотели бы поддержать использование их услуги Shibboleth в качестве поставщика удостоверений для своих пользователей и разрешить их настройки MFA. Мы не хотим заставить их создавать новые личности в AD. Что понадобится на нашей стороне, чтобы поддержать такую ​​доверенную федерацию с Шибболетом? В идеале мы хотели бы видеть, что их идентификаторы появились в качестве внешних пользователей в нашем арендаторе AD, так что мы используем одну модель безопасности для нашего приложения.

Answer 1

Единственный эквивалент Azure AD для «доверия» или «федерации» с другими, как вы делали, через B2B. В настоящее время нет эквивалента в виде В2В, который поддерживает прямую федерацию для не-Azure AD IdP.

Однако можно настроить Azure AD так, чтобы он использовал сторонний IdP в качестве основного механизма аутентификации.

Вы можете объединить эти два подхода для достижения желаемого.

1. Попросите клиента Регистрацию для Azure AD
2. Иметь свой конфигурационный клиент Shibboleth в соответствии с шагами в этой статье: https://msdn.microsoft.com/en-us/library/azure/jj205456.aspx
3. Добавление пользователей вашего клиента на ваш Azure AD с помощью B2B, как вы были для всех остальных.