教程：Microsoft Entra 单一登录 (SSO) 与 Workplace by Meta 的集成

项目
10/29/2023

本教程介绍如何将 Workplace by Meta 与 Microsoft Entra ID 集成。将 Workplace by Meta 与 Microsoft Entra ID 集成后，可以：

在 Microsoft Entra ID 中控制谁有权访问 Workplace by Meta。
让用户使用其 Microsoft Entra 帐户自动登录到 Workplace by Meta。
在中心位置管理帐户。

先决条件

若要开始操作，需备齐以下项目：

一个 Microsoft Entra 订阅。如果没有订阅，可以获取一个免费帐户。
已启用 Workplace by Meta 单一登录 (SSO) 的订阅。

注意

Meta 有两种产品：Workplace Standard（免费）和 Workplace Premium（付费）。任何 Workplace Premium 租户都可以配置 SCIM 和 SSO 集成，对成本或所需的许可证没有其他影响。 SSO 和 SCIM 在 Workplace Standard 实例中不可用。

方案描述

在本教程中，将在测试环境中配置并测试 Microsoft Entra SSO。

Workplace by Meta 支持 SP 发起的 SSO。
Workplace by Meta 支持实时预配。
Workplace by Meta 支持自动用户预配。
现在可为 Microsoft Entra 移动应用程序配置 Microsoft Entra ID 来启用 SSO。在本教程中，你将在测试环境中配置并测试 Microsoft Entra SSO。

从库中添加 Workplace by Meta

要配置 Workplace by Meta 与 Microsoft Entra ID 的集成，需要从库中将 Workplace by Meta 添加到托管 SaaS 应用列表。

至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。
在“从库中添加”部分的搜索框中，键入“Workplace by Meta”。
在结果面板中选择“Workplace by Meta”，然后添加该应用。在该应用添加到租户时等待几秒钟。

或者，也可以使用企业应用配置向导。在此向导中，可以将应用程序添加到租户、将用户/组添加到应用、分配角色，以及逐步完成 SSO 配置。详细了解 Microsoft 365 向导。

配置并测试 Workplace by Meta 的 Microsoft Entra SSO

使用名为 B.Simon 的测试用户配置并测试 Workplace by Meta 的 Microsoft Entra SSO。若要使 SSO 正常工作，需要在 Microsoft Entra 用户与 Workplace by Meta 中的相关用户之间建立关联。

若要配置并测试 Workplace by Meta 的 Microsoft Entra SSO，请执行以下步骤：

配置 Microsoft Entra SSO - 使用户能够使用此功能。
1. 创建 Microsoft Entra 测试用户 - 使用 B.Simon 测试 Microsoft Entra 单一登录。
2. 分配 Microsoft Entra 测试用户 - 使 B.Simon 能够使用 Microsoft Entra 单一登录。
配置 Workplace by Meta SSO - 在应用程序端配置单一登录设置。
1. 创建 Workplace by Meta 测试用户 - 在 Workplace by Meta 中创建 B.Simon 的对应用户，并将其链接到该用户的 Microsoft Entra 表示形式。
测试 SSO - 验证配置是否正常工作。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
浏览到“标识”>“应用程序”>“企业应用程序”>“Workplace by Meta”应用程序集成页，找到“管理”部分，然后选择“单一登录”。
在“选择单一登录方法”页上选择“SAML” 。
在“设置 SAML 单一登录”页面上，单击“基本 SAML 配置”旁边的铅笔图标以编辑设置。
在“基本 SAML 配置”部分，输入以下字段的值：

a. 在“登录 URL”（在 WorkPlace 中是“收件人 URL”）文本框中，使用以下模式键入 URL：https://.workplace.com/work/saml.php

b. 在“标识符(实体 ID)”（在 WorkPlace 中是“受众 URL”）文本框中，使用以下模式键入 URL：https://www.workplace.com/company/

c. 在“回复 URL”（在 WorkPlace 中是“断言使用者服务”）文本框中，使用以下模式键入 URL：https://.workplace.com/work/saml.php

注意

这些不是实际值。请使用实际登录 URL、标识符和回复 URL 更新这些值。有关 Workplace 社区的正确值，请参阅 Workplace 公司仪表板的“身份验证”页，本教程稍后将对此进行说明。
在“设置 SAML 单一登录”页的“SAML 签名证书”部分中，找到“证书(Base64)”，选择“下载”以下载该证书并将其保存到计算机上。
在“设置 Workplace by Meta”部分，根据要求复制相应的 URL。

创建 Microsoft Entra 测试用户

在本部分，你将创建名为 B.Simon 的测试用户。

至少以用户管理员身份登录到 Microsoft Entra 管理中心。
浏览到“标识”>“用户”>“所有用户”。
选择屏幕顶部的“新建用户”>“创建新用户”。
在“用户”属性中执行以下步骤：
1. 在“显示名称”字段中输入 B.Simon。
2. 在“用户主体名称”字段中，输入 username@companydomain.extension。例如 B.Simon@contoso.com。
3. 选中“显示密码”复选框，然后记下“密码”框中显示的值。
4. 选择“查看 + 创建”。
选择“创建”。

分配 Microsoft Entra 测试用户

在本部分，将通过授予 B.Simon 访问 Workplace by Meta 的权限，使其能够使用单一登录。

至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
浏览到“标识”>“应用程序”>“企业应用程序”>“Workplace by Meta”。
在应用的概述页面中，选择“用户和组”。
选择“添加用户/组”，然后在“添加分配”对话框中选择“用户和组” 。
1. 在“用户和组”对话框中，从“用户”列表中选择“B.Simon”，然后单击屏幕底部的“选择”按钮。
2. 如果你希望将某角色分配给用户，可以从“选择角色”下拉列表中选择该角色。如果尚未为此应用设置任何角色，你将看到选择了“默认访问权限”角色。
3. 在“添加分配”对话框中，单击“分配”按钮。

配置 Workplace by Meta SSO

在另一个 Web 浏览器窗口中，以管理员身份登录到 Workplace by Meta 公司站点

注意

作为 SAML 身份验证过程的一部分，Workplace 可使用查询字符串（最大为 2.5 KB）将参数传递给 Microsoft Entra ID。
导航到“管理面板”>“安全”>“身份验证”选项卡。

a. 选中“单一登录(SSO)”选项。

b. 选择 SSO 作为新用户的默认选项。

c. 单击“+添加新的 SSO 提供程序”。

注意

确保也选中“密码登录”复选框。管理员在执行证书滚动更新时可能需要使用此选项进行登录，以防止自己被锁定。
在“单一登录 (SSO) 设置”弹出窗口中，执行以下步骤：

a. 在 SSO 提供程序的名称中，输入 SSO实例名称，如 Azureadsso。

b. 在“SAML URL”文本框中，粘贴复制的“登录 URL”的值。

c. 在“SAML 颁发者 URL”文本框中，粘贴“Microsoft Entra 标识符”的值。

d. 将下载的“证书文件(Base64)”打开到记事本中，将内容复制到剪贴板，然后粘贴到“SAML 证书”文本框。

e. 复制实例的“受众 URL”，并将其粘贴到“基本 SAML 配置”部分的“标识符(实体 ID)”文本框中。

f. 复制实例的“收件人 URL”，并将其粘贴到“基本 SAML 配置”部分的“登录 URL”文本框中。

g. 复制实例的“ACS (断言使用者服务) URL”，并将其粘贴到“基本 SAML 配置”部分的“回复 URL”文本框中。

h. 滚动到该部分的底部，单击“测试 SSO”按钮。此时会出现包含 Microsoft Entra 登录页面的一个弹出窗口。照常输入凭据进行身份验证。

疑难解答：确保从 Microsoft Entra ID 返回的电子邮件地址与用于登录的 Workplace 帐户相同。

i. 成功完成测试后，滚动到页面底部并单击“保存”按钮。

j. 现在所有使用 Workplace 的用户都会在 Microsoft Entra 登录页面上进行身份验证。
SAML 注销重定向（可选） -

可以选择配置一个 SAML 注销 URL，该 URL 可用于指向 Microsoft Entra ID 的注销页面。启用并配置此设置后，用户将不会再被定向到 Workplace 注销页面。用户会转而被重定向到在“SAML 注销重定向”设置中添加的 URL。

配置重新进行身份验证的频率

可将 Workplace 配置为每天、每三天、每周、每两周、每个月提示进行 SAML 检查或从不进行检查。

注意

移动应用程序上 SAML 检查的最小值为每周。

还可使用此按钮强制重置所有用户的 SAML：立即要求对所有用户进行 SAML 身份验证。

创建 Workplace by Meta 测试用户

在本部分，你将在 Workplace by Meta 中创建名为 B.Simon 的用户。 Workplace by Meta 支持默认启用的实时预配。

在此部分中无需进行任何操作。如果某个用户尚不存在于 Workplace by Meta 中，则系统会在你尝试访问 Workplace by Meta 时新建一个。

注意

如需手动创建用户，请联系 Workplace by Meta 客户端支持团队。

测试 SSO

在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置。

单击“测试此应用程序”，这会重定向到 Workplace by Meta 登录 URL，可在其中启动登录流。
直接转到 Workplace by Meta 登录 URL，并从那里启动登录流。
你可使用 Microsoft 的“我的应用”。在“我的应用”中单击“Workplace by Meta”磁贴时，这将重定向到 Workplace by Meta 登录 URL。有关“我的应用”的详细信息，请参阅“我的应用”简介。