本文提供您可以使用的單一登入 (SSO) 選項的相關資訊。 其也概述在使用 Microsoft Entra ID 時規劃單一登入部署的簡介。 單一登入是一種驗證方法，可讓使用者使用一組認證登入多個獨立的軟體系統。 使用 SSO 表示使用者不需要登入其使用的每個應用程式。 使用 SSO 時，使用者可以存取所有必要的應用程式，而不需要使用不同的認證進行驗證。 如需簡短簡介，請參閱 Microsoft Entra 單一登入。
許多應用程式已存在於 Microsoft Entra ID 中，您可以搭配 SSO 使用。 根據應用程式的需求及其實作方式，您有數個 SSO 選項。 在 Microsoft Entra ID 中建立應用程式之前，請花點時間規劃 SSO 部署。 您可以使用 [我的應用程式] 入口網站，更輕鬆地管理應用程式。
單一登入選項
請根據已為應用程式設定的驗證方式，選擇 SSO 方法。 雲端應用程式可以使用同盟型選項，例如 OpenID Connect 和 SAML。 應用程式也可以使用密碼型 SSO、連結型 SSO 或 SSO 來停用。
同盟 - 當您在多個識別提供者之間設定 SSO 時，這稱為同盟。 以同盟通訊協議為基礎的 SSO 實作可改善安全性、可靠性、終端使用者體驗和實作。
使用同盟單一登入，Microsoft Entra 會使用其 Microsoft Entra 帳戶向應用程式驗證使用者。 SAML 2.0、WS-同盟或 OpenID Connect 應用程式都支援此方法。 同盟 SSO 是 SSO 的最豐富模式。 當應用程式支援同盟 SSO 時，請搭配 Microsoft Entra ID 使用同盟 SSO，而非以密碼為基礎的 SSO 和 Active Directory 同盟服務 (AD FS)。
在某些情況下，企業應用程式沒有 SSO 選項可供使用。 如果應用程式是使用入口網站中的 [應用程式註冊] 所註冊，則會將單一登入功能設定為使用 OpenID Connect。 在此情況下，單一登入選項不會出現在企業應用程式下的版面配置中。 OpenID Connect 是一種建置在 OAuth 2.0 上的驗證通訊協定。 OpenID Connect 使用 OAuth 2.0 來處理流程的授權部分。 當使用者嘗試登入時，OpenID Connect 會根據授權伺服器所執行的驗證來驗證其身分識別。 驗證使用者後，在不公開認證的情況下，OAuth 2.0 用於將應用程式存取權授與使用者的資源。
當應用程式裝載於另一個租用戶時，則無法使用單一登入。 如果您的帳戶沒有必要權限 (雲端應用程式系統管理員、應用程式系統管理員或服務主體的擁有者)，也無法使用單一登入。 權限也可能導致您可以開啟單一登入卻可能無法儲存的案例。
密碼 - 內部部署應用程式可以使用 SSO 的密碼型方法。 當應用程式針對 [應用程式 Proxy] 設定時，此選項可運作。
若使用密碼式 SSO，使用者在第一次存取應用程式時，要以使用者名稱和密碼來登入。 第一次登入之後，Microsoft Entra ID 就會向應用程式提供使用者名稱和密碼。 密碼式 SSO 可以使用網頁瀏覽器延伸或行動應用程式，安全儲存應用程式的密碼以及重新執行。 此選項會利用應用程式提供的現有登入程序，讓系統管理員可以管理密碼，而不需要使用者知道密碼。 如需詳細資訊，請參閱將密碼式單一登入新增至應用程式。
連結 - 當您在一段時間內移轉應用程式時，連結型登入可提供一致的使用者體驗。 如果您要將應用程式移轉至 Microsoft Entra ID，您可以使用連結型 SSO 快速發佈連結至您想要移轉的所有應用程式。 使用者可以在 [我的應用程式] 或 Microsoft 365 入口網站中找到所有連結。
在使用者使用連結的應用程式進行驗證之後，必須先建立帳戶，才能提供使用者單一登入存取權。 佈建此帳戶可能會自動發生，或可由系統管理員手動進行。 您無法將條件式存取原則或多重要素驗證套用至連結的應用程式，因為連結的應用程式不會透過 Microsoft Entra ID 提供單一登入功能。 當您設定連結的應用程式時，您只需要新增一個連結，即可啟動應用程式。 如需詳細資訊，請參閱將連結式單一登入新增至應用程式。
停用 - 停用 SSO 時，應用程式便無法使用 SSO。 停用單一登入時，使用者可能需要驗證兩次。 首先，使用者會向 Microsoft Entra ID 進行驗證，然後才登入應用程式。
在下列情況下停用 SSO：
您尚未準備好將此應用程式與 Microsoft Entra 單一登入整合
您正在測試應用程式的其他層面
內部部署應用程式不需要使用者進行驗證，但您想要他們進行驗證。 停用 SSO 之後，使用者必須進行驗證。
如果您針對 SP 起始的 SAML 型 SSO 設定應用程式，並將 SSO 模式變更為停用，則不會阻止使用者登入 MyApps 入口網站外部的應用程式。 若要阻止使用者從 [我的應用程式] 入口網站外部登入，您必須停用使用者登入的能力。
規劃 SSO 部署
Web 應用程式由各種公司所裝載，並以服務的形式提供。 Web 應用程式的一些熱門範例包括 Microsoft 365、GitHub 和 Salesforce。 還有數千個項目。 人員在其電腦上使用網頁瀏覽器存取 Web 應用程式。 單一登入可讓使用者在各種 Web 應用程式之間進行瀏覽，而無需多次登入。 如需詳細資訊，請參閱規劃單一登入部署。
您實作 SSO 的方式取決於應用程式裝載的位置。 由於網路流量路由傳送以存取應用程式的方式，所以裝載很重要。 使用者不需要使用網際網路來存取內部部署應用程式 (其裝載於本機網路上)。 如果應用程式裝載在雲端中，則使用者需要網際網路才能使用它。 雲端裝載的應用程式也稱為軟體即服務 (SaaS) 應用程式。
針對雲端應用程式，會使用同盟通訊協定。 您也可以針對內部部署應用程式使用單一登入。 您可以使用 [應用程式 Proxy] 來設定內部部署應用程式的存取權。 如需詳細資訊，請參閱透過 Microsoft Entra 應用程式 Proxy 遠端存取內部部署應用程式。
我的應用程式
如果您是應用程式的使用者，您可能不會太關心 SSO 詳細資料。 您只想使用無需太常輸入密碼即可提高生產力的應用程式。 您可以在 [我的應用程式] 入口網站中找到及管理您的應用程式。 如需詳細資訊，請參閱登入我的應用程式入口網站並啟動應用程式。