在本文中，您將學習如何將 Salesforce 與 Microsoft Entra ID 整合。 當你將 Salesforce 與 Microsoft Entra ID 整合時，你可以：
- 在 Microsoft Entra ID 中控制誰能存取 Salesforce。
- 啟用使用者自動登入 Salesforce，使用他們的 Microsoft Entra 帳號。
- 在一個集中式位置管理您的帳戶。
備註
我們知道 Salesforce 已從 2026 年 2 月 3 日起強制執行單一登入（SSO）登入的裝置啟用變更。 我們與 Salesforce 團隊密切合作，從 2 月 3 日起，Salesforce 將開始接受 Entra ID 發行的 SAML 代幣中預設包含的 authnmethodreferences 聲明。 如果 authnmethodreferences 聲明中包含 multipleauthn 的值，Salesforce 會將該裝置視為受信任。 請確保您的條件存取政策（Conditional Access policy）能強制執行多重身份驗證（MFA）以符合此要求。 你可以 在這裡閱讀更多關於此主張的內容。
對於使用 OpenID Connect 認證搭配 Salesforce，或已設定 Salesforce 的 自訂 OpenID Connect 提供者 的客戶，請確保僅使用 Entra ID V1 端點，因為 V1 端點可在令牌中向 Salesforce 提供 AMR 主張。 V2端點支援很快就會推出，但在那之前請只使用V1端點。
對於使用 AD FS 作為 Entra ID 聯邦供應商的客戶，請遵循已發布的指引 here，以便Entra ID能在 SAML 令牌中擁有此項聲明。
必要條件
本文中所述的案例假設您已經具備下列必要條件：
- 已啟用 Salesforce 單一登入 (SSO) 的訂用帳戶。
案例描述
在本文中，你將在測試環境中配置並測試 Microsoft Entra SSO。
Salesforce 支援 由 SP 發起 的 SSO。
Salesforce 支援 自動 使用者佈署和取消佈署（建議）。
Salesforce 支援 Just In Time 使用者布建。
Salesforce Mobile 應用程式現在可以設定 Microsoft Entra ID 來啟用 SSO。 在本文中，你將在測試環境中配置並測試 Microsoft Entra SSO。
從畫廊新增 Salesforce
要設定 Salesforce 整合到 Microsoft Entra ID，你需要將 Salesforce 從圖庫新增到 Managed SaaS 應用程式清單中。
- 請以至少雲端應用程式管理員的身份登入Microsoft Entra 管理中心。
- 瀏覽到 Entra ID>企業應用程式>新增應用程式。
- 在 [ 從資源庫新增 ] 區段的搜尋方塊中輸入 Salesforce 。
- 從結果面板選取 [Salesforce]，然後新增應用程式。 將應用程式新增至您的租戶時，請稍等幾秒鐘。
或者，您也可以使用 企業應用程式設定精靈。 在此精靈中，您可以將應用程式新增至租戶，將使用者或群組新增至應用程式，指派角色，以及完成 SSO 設定。 了解更多有關Microsoft 365助手。
配置與測試 Microsoft Entra SSO for Salesforce
使用名為 B.Simon 的測試使用者，測試並設定 Microsoft Entra 的 SSO 與 Salesforce。 要讓 SSO 運作，你需要在 Microsoft Entra 的使用者與 Salesforce 系統中的相關使用者之間建立連結關係。
要在 Salesforce 中配置並測試 Microsoft Entra SSO，請執行以下步驟：
-
配置 Microsoft Entra SSO - 以讓使用者使用此功能。
- 建立 Microsoft Entra 測試使用者 - 使用 B.Simon 測試 Microsoft Entra 單一登入系統。
- 指派Microsoft Entra測試使用者 - 以啟用 B.Simon 使用Microsoft Entra單一登入。
-
設定 Salesforce SSO - 在應用程式端設定單一登入設定。
- Create Salesforce test user - 在 Salesforce 中建立一個測試使用者，該使用者對應於 B.Simon，並連結至 Microsoft Entra 中的使用者帳戶。
- 測試 SSO - 確認組態是否正常運作。
設定 Microsoft Entra 單一登入
請依照以下步驟啟用 Microsoft Entra SSO。
請以至少雲端應用程式管理員的身份登入Microsoft Entra 管理中心。
瀏覽到 Entra ID>企業應用程式>Salesforce>單一登錄。
在 [選取單一登入方法] 頁面上，選取 [SAML]。
在 [ 使用 SAML 設定單一登錄 ] 頁面上，選取 [基本 SAML 組態 ] 的編輯/手寫筆圖示以編輯設定。
在 [基本 SAML 組態] 區段上，輸入下列欄位的值：
一。 在 [識別碼] 文字方塊中，使用下列模式將值輸入：
企業帳戶：
https://<subdomain>.my.salesforce.com開發人員帳戶：
https://<subdomain>-dev-ed.my.salesforce.comb。 在 [回覆 URL] 文字方塊中，輸入使用下列模式的值：
企業帳戶：
https://<subdomain>.my.salesforce.com開發人員帳戶：
https://<subdomain>-dev-ed.my.salesforce.com丙. 在 [登入 URL] 文字方塊中，以下列模式輸入值：
企業帳戶：
https://<subdomain>.my.salesforce.com開發人員帳戶：
https://<subdomain>-dev-ed.my.salesforce.com備註
這些值不是真實的。 請使用實際的「識別碼」、「回覆 URL」及「登入 URL」來更新這些值。 請 連絡 Salesforce 用戶端支援小組 以取得這些值。
在 [以 SAML 設定單一登入] 頁面上的 [SAML 簽署憑證] 區段中，尋找 [同盟中繼資料 XML]，然後選取 [下載]，以下載憑證並將其儲存在電腦上。
在 [設定 Salesforce] 區段上，根據您的需求複製適當的 URL。
建立並指派 Microsoft Entra 測試使用者
遵循 建立和指派用戶帳戶 快速入門中的指導方針，以建立名為 B.Simon 的測試用戶帳戶。
設定 Salesforce SSO
在不同的網頁瀏覽器視窗中，以系統管理員身分登入您的 up Salesforce 公司網站
在頁面右上角的 設定圖示 下選擇 設定。
向下捲動至瀏覽窗格中的 [ 設定 ]，選取 [ 身分識別 ] 以展開相關區段。 然後選取 單一 Sign-On 設定。
在 [ 單一 Sign-On 設定 ] 頁面上，選取 [ 編輯] 按鈕。
備註
如果您無法為 Salesforce 帳戶啟用單一登入設定，您可能需要連絡 Salesforce 用戶端支援小組。
選取 [SAML 已啟用]，然後選取 [ 儲存]。
若要設定 SAML 單一登入設定，請選擇「從元資料檔案新增」。
選取 [選擇檔案 ] 以上傳您已下載的元數據 XML 檔案，然後選取 [ 建立]。
在 [SAML 單一登入設定] 頁面上，欄位會自動填入。如果您要使用 SAML JIT，請選取 [啟用使用者配置]，然後將 [SAML 身分識別類型] 選擇為 [斷言包含來自使用者物件的聯邦識別碼]。否則，請取消選取 [啟用使用者配置]，然後將 [SAML 身分識別類型] 選擇為 [斷言包含使用者的 Salesforce 使用者名稱]。 選取 [ 儲存]。
備註
如果你設定了 SAML JIT，必須在 Configure Microsoft Entra SSO 部分完成額外步驟。 Salesforce 應用程式期望特定的 SAML 斷言，因此您的 SAML 權杖屬性配置中必須包含特定的屬性。 以下螢幕擷取畫面顯示 Salesforce 所需的屬性清單。
![顯示 [JIT 必要屬性] 窗格的螢幕快照。](media/salesforce-tutorial/just-in-time-attributes-required.png)
如果您仍然有使用 SAML JIT 布建用戶的問題，請參閱 Just-In-Time 布建需求和 SAML 判斷提示欄位。 一般來說，當 JIT 失敗時，您可能會看到錯誤，如
We can't log you in because of an issue with single sign-on. Contact your Salesforce admin for help.在 Salesforce 的左側瀏覽窗格中，選取 [ 公司設定 ] 以展開相關區段，然後選取 [ 我的網域]。
向下捲動至 [ 驗證組態 ] 區段，然後選取 [ 編輯] 按鈕。
在 [ 驗證組態 ] 區段中，檢查 [ 登入頁面 ] 和 [AzureSSO ] 作為 SAML SSO 組態的 [驗證服務 ]，然後選取 [ 儲存]。
備註
如果選取了一個以上的驗證服務，當使用者嘗試啟動單一登入到您的 Salesforce 環境時，將會提示使用者選取登入時想要使用的驗證服務。 如果您不想要發生，則應該 讓所有其他驗證服務保持未核取狀態。
建立 Salesforce 測試使用者
本節會在 Salesforce 中建立名為 B.Simon 的使用者。 Salesforce 支援預設啟用的即時佈建。 本節中沒有待辦事項。 如果 Salesforce 中還沒有該使用者，當您嘗試存取 Salesforce 時，就會建立新的使用者。 Salesforce 也支援自動使用者布建，您可以 在這裡 找到有關如何設定自動使用者布建的詳細資訊。
測試 SSO
在本節中，您將透過以下選項測試您的 Microsoft Entra 單一登入設定。
選取 [測試此應用程式]，此選項會重新導向至您可以在其中起始登入流程的 Salesforce 登入 URL。
直接移至 Salesforce 登入 URL，然後從該處起始登入流程。
你可以用Microsoft 我的應用程式。 當你在 我的應用程式 入口網站選擇 Salesforce 磁貼時，你應該會自動登入你設定 SSO 的 Salesforce。 欲了解更多關於我的應用程式入口網站的資訊，請參閱我的應用程式入口介紹。
測試 Salesforce 的 SSO (行動裝置)
開啟 Salesforce 行動應用程式。 在登入頁面上，選取 [ 使用自定義網域]。
在 [ 自定義網域 ] 文本框中，輸入您的已註冊自定義功能變數名稱，然後選取 [ 繼續]。
輸入您的Microsoft Entra憑證登入 Salesforce 應用程式，並選擇 Next。
在如下圖所示的允許存取頁面上，選取允許以授與 Salesforce 應用程式的存取權。
最後，成功登入之後，會顯示應用程式首頁。
在 Salesforce 中發現現有使用者
在與 Microsoft Entra 整合之前，您的 Salesforce 帳號可能已經有一個或多個使用者。 利用帳號發現功能，你可以一鍵產生 Salesforce 中所有使用者的報告，辨識哪些使用者在 Entra 中有匹配的帳號，以及哪些使用者是 Salesforce 本地使用者。 在這裡了解更多關於帳號發現功能。 這能讓你簡化 Entra 的入職流程，同時持續監控未經授權的存取。
防止透過本機帳戶存取應用程式
驗證 SSO 是否可運作並在組織中推出之後，請使用 本機認證停用應用程式存取。 這可確保條件式存取原則、MFA 等已就緒，以保護 Salesforce 的登入。
相關內容
如果你擁有 Enterprise Mobility + Security E5 或其他 Microsoft Defender for Cloud Apps 授權，你可以收集該產品中應用程式活動的稽核軌跡，這可用於調查警示。 在 Defender for Cloud Apps 中，當使用者、管理員或登入活動不符合你的政策時，可以觸發警示。 透過
此外，可以強制執行工作階段控制項，從而即時防止組織的敏感性資料遭到外泄和滲透。 會話控制從條件式存取擴展而來。 學習如何用 Microsoft Defender for Cloud Apps 強制執行會話控制。