配置从 Salesforce 到 Office 365 的 SSO

获取 SAML IdP 证书

下载元数据文档

1. 从“设置”中，在快速查找框中输入身份，然后选择身份提供商。
2. 单击下载元数据。

配置域的 Salesforce 标识信息

1. 启动 Windows PowerShell 的 Windows Azure Active Directory 模块。
2. 运行 $cred=Get-Credential cmdlet，并提供管理员帐户的 Windows Azure AD 凭据。

   PS C:\Windows\system32> $cred=Get-Credential
   Cmdlet Get-Credential at command pipeline position 1
   Supply values for the following parameters:
   Credential

3. 运行 Connect-MsolService –Credential $cred cmdlet。

   PS C:\Windows\system32> Connect-MsolService –Credential $cred
   

4. 提供所需的参数值。
   • 您的域，例如 $dom = salesidentity.info
   • Salesforce IdP 的 POST 端点 URL，例如 $url = https://MyDomainName.my.salesforce.com/idp/endpoint/HttpPost
   • IdP 发行人，例如，$uri = https://MyDomainName.my.salesforce.com
   • IdP 注销 URL，例如 $logouturl = https://MyDomainName.my.salesforce.com
   • IdP 证书，例如，$cert = <your certificate content>
   

   备注 在一行中输入证书而不换行。

   PS C:\Windows\system32> $dom = salesidentity.info
   PS C:\Windows\system32> $url = https://MyDomainName.my.salesforce.com/idp/endpoint/HttpPost
   PS C:\Windows\system32> $uri = https://MyDomainName.my.salesforce.com
   PS C:\Windows\system32> $logouturl = https://MyDomainName.my.salesforce.com
   PS C:\Windows\system32> $cert = <your certificate content>
   

5. 运行 Set-MsolDomainAuthentication –DomainName $dom -FederationBrandName $dom -Authentication Federated -PassiveLogOnUri $url -SigningCertificate $cert -IssuerUri $uri -LogOffUri $logouturl -PreferredAuthenticationProtocol SAMLP cmdlet 建立信任。

   PS C:\Windows\system32> Set-MsolDomainAuthentication 
   –DomainName $dom -FederationBrandName $dom -Authentication 
   Federated -PassiveLogOnUri $url -SigningCertificate $cert 
   -IssuerUri $uri -LogOffUri $logouturl 
   -PreferredAuthenticationProtocol SAMLP

6. 运行 Get-MsolDomain cmdlet 检查联合是否启用。

   Name							Status	Authentication
   ----							------	--------------
   salesforceidentity.info			Verified	Federated
   sfidentity.mail.onmicrosoft.com		Verified	Managed
   sfidentity.onmicrosoft.com			Verified	Managed

7. 运行 Get-MsolDomainFederationSettings cmdlet 验证配置。

在 Salesforce 上创建并配置连接的应用程序

1. 从“设置”中，在“快速查找”框中输入应用程序。如果您正在使用 Lightning Experience，则选择管理连接的应用程序。如果您正在使用 Salesforce Classic，则在管理应用程序中，选择连接的应用程序。
2. 在基本信息中：
   1. 为应用程序 Office 365 命名。
   2. 输入自己的电子邮件地址。
3. 在 Web 应用程序设置中：
   1. 对于“开始 URL”，请输入 URL 并包含您的域名的 URL。

      https://login.microsoftonline.com/PostToIDP.srf?msg=AuthnReq&realm=
      MyDomainName.my.salesforce.com&wa=wsignin1.0&wtrealm=urn:federation:MicrosoftOnline&
      wctx=bk%3D1367916313%26LoginOptions%3D3 
      

   2. 选择启用 SAML。
   3. 对于实体 ID，输入 urn:federation:MicrosoftOnline。
   4. 对于 ACS URL，输入 https://login.microsoftonline.com/login.srf。
   5. 对于主题类型，选择联合 ID或自定义属性。
      

      备注 主题类型携带 UPN 的 ObjectGUID。
   6. 对于名称 ID 格式，保持默认选择（不明）。
   7. 对于颁发人，请保留默认值（您的子域）。
   8. 对于确认请求签名，保留默认值（未选中）。
   9. 对于 IdP 提供商证书，保留默认值（未选中）。
   10. 单击保存。
   

   备注 Salesforce 需要几分钟时间，才能创建连接的应用程序。
4. 从“设置”中，在“快速查找”框中输入应用程序。如果您正在使用 Lightning Experience，则选择管理连接的应用程序。如果您正在使用 Salesforce Classic，则在管理应用程序中，选择连接的应用程序。
   
5. 选择 Office 365 连接的应用程序。
6. 单击管理简档或管理权限集，并为可以访问此应用程序的用户添加简档和权限集。
7. 在自定义属性中，单击新建。
   1. 为属性键输入 IDPEmail ，为属性值输入 $User.Email。
   2. 单击保存。
   
8. 要测试访问权限，以用户身份运行连接的应用程序。