认证源-AD Azure
概述
前提条件
| 序号 | 条件 | 说明 |
|---|---|---|
| 1 | 平台管理员权限 | 拥有专属集成平台的管理员账号 |
| 2 | Azure 订阅 | 拥有有效的 Microsoft Azure 订阅 |
| 3 | Azure AD 租户 | 已有 Azure AD 租户（每个 Microsoft 365 组织自动拥有） |
| 4 | 应用注册 | 在 Azure Portal 的 应用注册 中创建应用并获取凭证 |
| 5 | Tenant ID | Azure AD 租户的目录 ID（租户 ID） |
| 6 | Client ID | 应用程序（客户端）ID |
| 7 | Client Secret | 客户端密码（Client Secret） |
注意：在 Azure AD 中注册应用的详细步骤请参考 Azure 应用注册指南。注册时需配置重定向 URI 为平台的回调地址。
操作步骤
添加 Azure AD 认证源
添加认证源
1.
2.
3.
4.
提示：Azure AD 认证源与通用 OIDC 协议认证源功能相同，但预置了 Azure AD 的端点地址和默认属性映射，简化了配置流程。如果使用其他 OIDC 兼容的身份提供商（如 Okta、Auth0），请选择 OIDC 类型。
配置基本信息
在认证源配置表单中填写以下参数：
| 参数 | 必填 | 说明 | 示例 |
|---|---|---|---|
| 认证源名称 | 是 | 在登录页显示的认证源名称 | Microsoft 登录 或 Azure AD 登录 |
| Tenant ID | 是 | Azure AD 租户的目录（租户）ID | a1b2c3d4-e5f6-7890-abcd-ef1234567890 |
| Client ID | 是 | 应用的应用程序（客户端）ID | a1b2c3d4-e5f6-7890-abcd-ef1234567890 |
| Client Secret | 是 | 应用的客户端密码，用于令牌交换 | ******** |
| 认证源图标 | 否 | 上传图标文件，支持 PNG/JPG，建议 64×64px | — |
重要：Tenant ID、Client ID 和 Client Secret 需在 Azure Portal（ https://portal.azure.com）的 Microsoft Entra ID → 应用注册 → 应用概述 中获取。Client Secret 需在 证书和密码 → 客户端密码 中创建，创建后应立即保存（离开页面后将无法再次查看）。
配置回调地址
1.
{平台域名}/api/auth/callback/azure）。2.
3.
4.
5.
6.
警告：Azure AD 要求重定向 URI 使用 HTTPS 协议，且不支持 IP 地址。请确保平台域名已配置有效的 SSL 证书。对于本地开发环境，Azure AD 支持 http://localhost作为重定向 URI。
配置属性映射
将 Azure AD 返回的用户属性（通过 ID Token 和 UserInfo 端点）映射到平台用户模型：
| Azure AD 属性 | 平台字段 | 映射方式 | 说明 |
|---|---|---|---|
sub | username | 创建且更新 | 用户唯一标识符，建议设置唯一字段匹配 |
email | email | 创建且更新 | 用户邮箱地址 |
name | display_name | 创建且更新 | 用户显示名称 |
preferred_username | login_name | 创建且更新 | 用户登录名（通常为 UPN 格式） |
given_name | first_name | 创建且更新 | 用户名字 |
family_name | last_name | 创建且更新 | 用户姓氏 |
picture | avatar_url | 创建且更新 | 用户头像 URL |
重要：至少需要配置一个唯一字段匹配规则（sub → username），这是系统识别已有用户的依据。Azure AD 的 sub是用户在该应用下的唯一标识，不建议使用
配置 JIT
JIT（Just-In-Time）指用户首次通过 Azure AD 认证源登录时，平台自动创建用户账号的功能。
| 参数 | 说明 |
|---|---|
| 启用 JIT | 开启后，首次通过 Azure AD 认证的用户将自动在平台创建账号。若关闭，不在平台中的用户将认证不通过 |
| 更新策略 | 关闭：用户首次创建后，后续登录不更新任何属性；开启：每次登录时根据映射规则更新用户属性 |
| 指定部门 | 通过 JIT 创建的用户自动归属的部门。不指定则创建在默认部门中 |
重要：如在 Azure AD 中维护了完整的用户信息并希望自动同步到平台，建议开启更新策略。Azure AD 作为云端目录服务，用户信息变更后每次登录即可自 动同步到平台。
完成配置
1.
2.
3.
4.
验证与测试
| 测试项 | 验证方法 | 预期结果 |
|---|---|---|
| 认证源连通性 | 在认证源列表中点击 测试连接 | 提示连接成功 |
| 登录跳转 | 打开登录页，点击 Azure AD 认证源图标 | 正确跳转至 Microsoft 登录页面 |
| 用户授权 | 在 Microsoft 页面输入凭据并完成认证 | 成功跳回平台并完成登录 |
| 属性同步 | 登录后查看用户中心个人信息 | 用户名、邮箱、显示名称与 Azure AD 一致 |
| JIT 创建 | 使用 Azure AD 中未预先创建的新用户登录 | 平台自动创建该用户账号 |
| 多因素认证 | 如 Azure AD 启用了条件访问策略 | 按 Azure AD 策略要求完成 MFA 后正常登录 |
常见问题
修改于 2026-05-06 10:48:58