Configurare l'accesso Single Sign-On OIDC per la galleria e le applicazioni personalizzate

Questo articolo illustra come configurare l'accesso Single Sign-On (OIDC) OpenID Connect (SSO) in Microsoft Entra ID per applicazioni della raccolta e applicazioni personalizzate (non incluse nella raccolta). Con l'accesso Single Sign-On di OIDC, gli utenti possono accedere alle applicazioni usando le credenziali di Microsoft Entra, offrendo un'esperienza di autenticazione senza problemi.

OIDC è un protocollo di autenticazione basato su OAuth 2.0 che consente l'autenticazione utente sicura e l'accesso Single Sign-On. Per informazioni dettagliate sul protocollo OIDC, vedere Autenticazione OIDC con Microsoft Identity Platform.

È consigliabile usare un ambiente non di produzione per testare i passaggi descritti in questo articolo.

Prima di configurare l'accesso SSO OIDC, è utile comprendere i concetti di base seguenti:

Registrazioni di app e applicazioni aziendali: le registrazioni delle app definiscono l'identità e la configurazione dell'applicazione, mentre le applicazioni aziendali rappresentano istanze di tali app nel tenant. Per altre informazioni, vedere Oggetti dell'applicazione e delle entità di servizio in Microsoft Entra ID.
Autorizzazioni e consenso: le applicazioni richiedono autorizzazioni per accedere alle risorse e gli utenti o gli amministratori concedono il consenso. Per informazioni dettagliate sul framework di consenso, vedere Autorizzazioni e consenso in Microsoft Identity Platform.
Applicazioni multi-tenant: applicazioni che possono essere usate da più organizzazioni. Per indicazioni sulla multi-tenancy, vedi Procedura: Convertire l'app in multi-tenant.
Flussi di autenticazione: metodi diversi per l'autenticazione degli utenti, ad esempio il flusso del codice di autorizzazione con PKCE per applicazioni a pagina singola. Per altre informazioni, vedere Flussi di autenticazione di Microsoft Identity Platform.
OIDC SSO: metodo di Single Sign-On che usa il protocollo OIDC per autenticare gli utenti tra le applicazioni. Consente agli utenti di accedere una sola volta e accedere a più applicazioni senza dover immettere nuovamente le credenziali.

Prerequisiti

Per configurare l'accesso SSO basato su OIDC, è necessario:

Un account utente di Microsoft Entra. Se non è già disponibile, è possibile creare gratuitamente un account.
Uno dei ruoli seguenti:
- Amministratore di applicazioni cloud
- Amministratore dell'applicazione
- Proprietario del principal di servizio
Per le applicazioni personalizzate: dettagli sull'applicazione, inclusi gli URI di reindirizzamento e i requisiti di autenticazione

Configurare l'accesso Single Sign-On di OIDC per le app della raccolta di app Microsoft Entra

Le applicazioni della raccolta in Microsoft Entra ID sono preconfigurate con il supporto OIDC, semplificando la configurazione tramite un processo basato sul consenso.

Quando si aggiunge un'applicazione aziendale che usa lo standard OIDC per l'accesso SSO, selezionare il pulsante Iscrizione . Il pulsante si trova sul riquadro laterale destro quando si seleziona l'app dalla raccolta di app. Quando si seleziona il pulsante, si completa il processo di registrazione per l'applicazione.

Per configurare l'accesso SSO basato su OIDC per un'applicazione di galleria:

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di applicazioni cloud.
Passare a Entra ID>App aziendali>Tutte le applicazioni.
Nel riquadro Tutte le applicazioni selezionare Nuova applicazione.
Si apre il riquadro Sfoglia la raccolta di Microsoft Entra. In questo esempio viene usato SmartSheet.
Selezionare Iscriviti per SmartSheet. Accedi con le credenziali dell'account utente di Microsoft Entra ID. Se si ha già una sottoscrizione all'applicazione, vengono convalidati i dettagli utente e le informazioni sul tenant. Se l'applicazione non è in grado di verificare l'utente, quest'ultimo verrà reindirizzato alla pagina di iscrizione al servizio dell'applicazione.

Dopo aver immesso le credenziali di accesso, viene visualizzata la schermata di consenso. La schermata di consenso fornisce informazioni sull'applicazione e sulle autorizzazioni necessarie.
Selezionare Consent per conto dell'organizzazione e quindi selezionare Accetta. L'applicazione viene aggiunta al tenant e viene visualizzata la relativa home page.

Per informazioni sui passaggi di configurazione aggiuntivi necessari per l'applicazione, contattare il fornitore dell'applicazione.

Annotazioni

È possibile aggiungere una sola istanza di un'applicazione galleria. Dopo aver aggiunto un'applicazione e provare a fornire di nuovo il consenso, non è possibile aggiungerla di nuovo al tenant.

Per altre informazioni sul consenso dell'utente e dell'amministratore, vedere Informazioni sul consenso dell'utente e dell'amministratore. Per informazioni complete sul framework di consenso, vedere Autorizzazioni e consenso in Microsoft Identity Platform.

Configurare il Single Sign-On OIDC per le applicazioni personalizzate (non incluse nella galleria).

Per le applicazioni non disponibili nella raccolta di Microsoft Entra, è necessario registrare e configurare manualmente l'applicazione. Questa sezione fornisce istruzioni dettagliate per la configurazione dell'accesso SSO OIDC con un'applicazione personalizzata.

Passaggio 1: Registrare l'applicazione

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di applicazioni cloud.
Passare a Entra ID>Registrazioni app>Nuova registrazione.
Immettere un nome per l'applicazione, ad esempio "App Web personalizzata".
In Tipi di account supportati selezionare l'opzione appropriata:
- Solo account in questa directory organizzativa per le applicazioni a tenant singolo
- Account in qualsiasi directory organizzativa per altre informazioni sulle applicazioni multi-tenant, vedere Applicazioni multi-tenant
- Account in qualsiasi rubrica organizzativa e account Microsoft personali se si desidera supportare sia per account aziendali che per quelli personali
Per URI di reindirizzamento selezionare il tipo di piattaforma e immettere l'URI di reindirizzamento dell'applicazione:
- Web: per le applicazioni Web lato server (ad esempio, https://contoso.com/auth/callback)
- Applicazione a pagina singola (SPA): per le applicazioni lato client che usano flussi di autenticazione moderni (ad esempio https://contoso.com o http://localhost:3000 per lo sviluppo)
- Client pubblico/nativo: per applicazioni per dispositivi mobili e desktop
Selezionare Registrazione.

Passaggio 2: Configurare le impostazioni di autenticazione

Nella registrazione dell'app passare a Autenticazione.
Verificare che gli URI di reindirizzamento siano configurati correttamente per il tipo di piattaforma.
Configurare i flussi di autenticazione (importante per la sicurezza):

Per le applicazioni Single-Page (SPAs):
- Verificare che gli URI di reindirizzamento siano elencati nella piattaforma dell'applicazione a pagina singola . Questa opzione configura automaticamente il flusso del codice di autorizzazione sicuro con PKCE, che è l'approccio consigliato per le SPA
- Non abilitare l'opzione di concessione implicita a meno che non sia necessario per le applicazioni legacy
Per le applicazioni Web:
- Verificare che gli URI di reindirizzamento siano elencati nella piattaforma Web . Questa opzione configura il flusso del codice di autorizzazione standard.
Avvertimento

Il flusso di concessione implicita non è consigliato per le nuove applicazioni a causa di vulnerabilità di sicurezza, inclusa la perdita di token nella cronologia del browser. Microsoft consiglia invece di usare il flusso del codice di autorizzazione con PKCE per applicazioni a pagina singola. Abilitare queste opzioni solo se si dispone di un'applicazione legacy che non può essere aggiornata per supportare flussi più sicuri e comprendere i rischi di sicurezza associati.

Per altre informazioni sui flussi di autenticazione, vedere Flussi di autenticazione di Microsoft Identity Platform.

Passaggio 3: Configurare le credenziali client (per le applicazioni Web)

Se l'applicazione è un client riservato (applicazione Web lato server in grado di archiviare in modo sicuro i segreti):

Passare a Certificati e segreti.
Selezionare Nuova chiave segreta del client.
Aggiungere una descrizione e selezionare un periodo di scadenza.
Selezionare Aggiungi e copiare immediatamente il valore del segreto (non può essere visualizzato di nuovo).
Archiviare il segreto client in modo sicuro nella configurazione dell'applicazione.

Suggerimento

Per le applicazioni di produzione, è consigliabile usare i certificati anziché i segreti client per una maggiore sicurezza. Vedi Credenziali del certificato.

Passaggio 4: Configurare le autorizzazioni API

Vai a Autorizzazioni API.
L'autorizzazione User.Read per Microsoft Graph viene aggiunta per impostazione predefinita.
Per l'autenticazione OIDC, in genere sono necessarie queste autorizzazioni delegate:
- openid: obbligatorio per l'autenticazione OIDC
- profile: per accedere alle informazioni del profilo dell'utente
- email: per accedere all'indirizzo di posta elettronica dell'utente
Per aggiungere altre autorizzazioni:
- Selezionare Aggiungi un'autorizzazione
- Scegliere Microsoft Graph
- Selezionare Autorizzazioni delegate
- Cercare e selezionare le autorizzazioni necessarie (ad esempio, openid, profilo, posta elettronica)
- Selezionare Aggiungi autorizzazioni
Se l'applicazione richiede autorizzazioni che richiedono il consenso amministratore, selezionare Concedi consenso amministratore per [tenant].

Per un'introduzione alle autorizzazioni e al consenso, vedere Autorizzazioni e consenso in Microsoft Identity Platform.

Passaggio 5: Configurare attestazioni facoltative (se necessario)

Passare a Configurazione token.
Selezionare Aggiungi attestazione facoltativa.
Scegliere le attestazioni facoltative da aggiungere( ad esempio , emailgiven_name, family_name).
Selezionare Aggiungi per applicare le modifiche.

Passaggio 6: Raccogliere i dettagli dell'applicazione

Dopo la registrazione e la configurazione, raccogliere le informazioni seguenti necessarie per l'applicazione:

Nella pagina Panoramica prendere nota:
- ID applicazione (client): identificatore univoco dell'app
- ID directory (tenant): identificatore univoco del locatario
Selezionare Endpoint per visualizzare i metadati e gli endpoint OIDC:
- Documento di metadati OIDC: https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid_configuration
- Endpoint di autorizzazione: per l'avvio dei flussi di accesso
- Endpoint del token: per lo scambio di codici di autorizzazione per i token
- URI JWKS: per la convalida della firma del token

Questi dettagli vengono usati nella configurazione della libreria OIDC dell'applicazione.

Passaggio 7: Configurare il codice dell'applicazione

Usare le informazioni raccolte per configurare la libreria OIDC dell'applicazione con:

ID client: ID dell'applicazione (client) del passaggio 5
Segreto client: se applicabile (per le applicazioni Web)
URI di reindirizzamento: lo stesso URI configurato nel passaggio 1
Autorità/Emittente: https://login.microsoftonline.com/{tenant}/v2.0/ (sostituire {locatario} con l'ID locatario)
Ambiti di applicazione: solitamente utilizzati openid profile email per l'autenticazione OIDC di base

Per indicazioni specifiche sull'implementazione, vedere Flusso del codice di autorizzazione con PKCE per le applicazioni Web.

Passaggio 8: Testare la configurazione dell'accesso SSO OIDC

Uso di uno strumento online: è possibile testare il flusso di autenticazione di base usando https://jwt.ms:
- Creare un URL di accesso: https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize?client_id={client_id}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&nonce={random_value}
- Sostituire {tenant} e {client_id} con i valori
- Passare a questo URL in un browser per testare il flusso di autenticazione
All'interno dell'applicazione: integrare la libreria OIDC nell'applicazione e testare l'esperienza di accesso completa.
Assegnare utenti: passare alle applicazioni aziendali, trovare l'app e assegnare utenti o gruppi in Utenti e gruppi.

Considerazioni sulle app multi-tenant

Se l'applicazione deve supportare gli utenti di più organizzazioni:

Configurare la registrazione dell'app con account in qualsiasi directory organizzativa
Usare l'endpoint comune: https://login.microsoftonline.com/common/
Implementare la convalida corretta del tenant nella logica dell'applicazione

Per indicazioni dettagliate, vedere Procedura: Convertire l'app in multi-tenant.

Risoluzione dei problemi comuni

URI di reindirizzamento non valido: verificare che l'URI di reindirizzamento nella registrazione dell'app corrisponda esattamente a ciò che l'applicazione invia
Problemi di consenso: controllare se è necessario il consenso amministratore per le autorizzazioni richieste
Errori di convalida del token: verificare di usare l'URI JWKS corretto e di convalidare la firma del token
Problemi relativi a più tenant: assicurarsi di usare l'endpoint corretto (comune e specifico del tenant)

Per indicazioni complete sulla risoluzione dei problemi, vedere Codici di errore di Microsoft Identity Platform.

Commenti e suggerimenti

Questa pagina è stata utile?

Last updated on 2025-07-22