跳到主要内容

设置 SAML 单点登录 (SSO)

通过最小的配置工作，此连接器允许与任何基于 SAML 的身份提供商 (IdP) 集成。

提示:

有关 SSO 和如何在 Logto 中配置 SSO 的更多信息，请查看 企业单点登录 (SAML & OIDC) 文档以开始使用。

步骤 1：在你的 IdP 上创建一个 SAML SSO 应用程序​

在 IdP 端创建一个应用程序以启动 SAML 单点登录 (SSO) 集成。从 Logto 获取以下配置，代表你的服务提供商 (SP)：

  • 受众 (Audience) URI (SP 实体 ID)：它作为你的 Logto 服务的全局唯一标识符，作为 SP 在向 IdP 发起认证请求时的 EntityId。此标识符对于 IdP 和 Logto 之间安全交换 SAML 断言和其他认证相关数据至关重要。
  • ACS URL：断言消费者服务 (ACS) URL 是通过 POST 请求发送 SAML 断言的位置。此 URL 由 IdP 用于将 SAML 断言发送到 Logto。它充当回调 URL，Logto 期望在此接收和消费包含用户身份信息的 SAML 响应。

在你的 IdP SAML 应用程序中填写受众 (Audience) URI 和 ACS URL 配置，并继续从你的 IdP 检索以下配置。

步骤 2：在 Logto 上配置 SAML SSO​

要使 SAML 单点登录 (SSO) 集成正常工作，你需要向 Logto 提供身份提供商 (IdP) 元数据。身份提供商 (IdP) 元数据是一个 XML 文档，其中包含 Logto 与身份提供商 (IdP) 建立信任所需的所有信息。

导航到 Connection 选项卡。Logto 提供三种不同的方法来配置身份提供商 (IdP) 元数据：

  1. 元数据 URL：提供身份提供商 (IdP) 元数据 XML 文档的 URL。Logto 将从 URL 获取元数据并自动配置 SAML 单点登录 (SSO) 集成。
  2. 上传元数据：上传身份提供商 (IdP) 元数据 XML 文档。Logto 将解析 XML 文档并自动配置 SAML 单点登录 (SSO) 集成。
  3. 手动配置：手动配置身份提供商 (IdP) 元数据。
  • 身份提供商 (IdP) 实体 ID：身份提供商 (IdP) 的实体 ID。
  • 单点登录 (SSO) URL：身份提供商 (IdP) 单点登录 (SSO) 服务的 URL。
  • 签名证书：用于验证来自身份提供商 (IdP) 的 SAML 响应签名的 x509 证书。

通过上述任一配置，Logto 将解析身份提供商 (IdP) 元数据并相应地配置 SAML 单点登录 (SSO) 集成。

步骤 3：配置用户属性映射​

从身份提供商 (IdP) 返回的用户属性可能会根据 IdP 的配置而有所不同。Logto 提供了一种灵活的方法，将从 IdP 返回的用户属性映射到 Logto 中的用户属性。你可以在 SAML 单点登录 (SSO) 集成体验选项卡中配置用户属性映射。

  • id：用户的唯一标识符。Logto 将从 SAML 响应中读取 nameId 声明作为用户 SSO 身份 id。
  • email：用户的电子邮件地址。
  • name：用户的姓名。

步骤 4：设置电子邮件域并启用 SSO 连接器​

在 Logto 的连接器 SSO 体验 选项卡中提供你组织的 电子邮件域。这将启用 SSO 连接器作为这些用户的认证 (Authentication) 方法。

在指定域中拥有电子邮件地址的用户将被重定向，使用 SAML SSO 连接器作为他们唯一的认证 (Authentication) 方法。

SAML 安全备忘单