版本：v3.4.0 (最新)

如何在 OnBoard™ IoT Security 中为 Microsoft 工作帐户配置 SSO 登录

提示

OnBoard™ IoT Security (OBIS) 中的 Single Sign-On (SSO) 登录功能允许用户通过企业身份提供商 (IdP) 使用公司邮箱进行登录，OBIS 将自动为其创建账号并分配默认角色权限。

本文将指导你如何在 OBIS 中为 Microsoft 工作帐户配置和启用 SSO 登录功能。启用后，用户可通过工作帐户和密码登录 OBIS。

前提条件

在开始之前，请确保你已从雪球获取用于配置 SSO 所需的重定向 URL。

操作步骤

登录 Microsoft Azure 门户。
在顶部的搜索框中，搜索并选择 Microsoft Entra ID。
点击左侧菜单中的管理 > 应用注册 > 新注册。在注册应用程序页面，输入应用程序名称并选择受支持的账户类型。
在重定向 URI 区域，选择平台为 Web 并输入从雪球获取的重定向 URL 并点击注册。

后续如果需要修改重定向 URI，可在应用程序的左侧菜单中点击管理 > Authentication (Preview)，然后在重定向 URI 配置标签页中进行修改。
在应用程序的左侧菜单中，点击管理 > Authentication (Preview)，在设置标签页中勾选访问令牌(用于隐式流) 和 ID 令牌(用于隐式流和混合流) 复选框。

提示
访问令牌用于调用获取用户信息接口，ID 令牌用于 SSO 登录过程中的参数校验。
在应用程序的左侧菜单中，点击管理 > 证书和密码，选择客户端密码标签页并点击新客户端密码。在添加客户端密码面板输入客户端密码说明并选择截止期限，然后点击添加。
记录客户端密码（Client Secret）的值。离开此页面后，该密码将不会再次显示。

提示
客户端密码即当前授权应用的 Client Secret，用于回调验证应用信息，确保授权请求来源可信。
在应用程序的左侧菜单中，点击管理 > 令牌配置 > 添加可选声明，然后分别配置和添加 ID 令牌和访问令牌。

提示
此处的可选的声明对应微软在认证回调中返回给平台对应的信息。
- 选择令牌类型为 ID，然后勾选 email，family_name，given_name 和 preferred_username
- 选择令牌类型为访问，然后勾选 email，family_name，given_name 和 preferred_username
在应用程序的左侧菜单中，点击管理 > API 权限 > 添加权限。在请求获取 API 权限面板选择 Microsoft Graph，并选择委托的权限，在 OpenId 权限区域中勾选对应的权限（建议勾选 email，openid 和 profile）并点击添加权限。

提示
此处配置的 API 权限对应 OBIS 中 SSO 设置的范围配置。
完成应用程序配置后，请向雪球提供以下信息，我们将据此在 OBIS 中为你的租户启用 SSO 登录功能。