Microsoft Azure

本文介紹如何使用 Microsoft Azure（Microsoft Entra ID）作為身份提供商，為 EngageLab 配置 SAML 單點登入。請結合 SSO 配置中的四步流程操作：本文對應其中的「第 1 步：在 IdP 中配置 EngageLab」與「第 2 步：輸入 IdP 返回的資訊」。

前置條件

• 擁有 Microsoft Azure 中 Microsoft Entra ID 的管理員權限（可以創建企業應用程式）。
• 已有 EngageLab 帳號並創建組織，且該組織已開通 SSO 權益。如未開通，請聯繫商務。
• 已在 EngageLab「個人中心」>「SSO」>「配置 SSO」中打開配置嚮導，可以複製 SP 資訊。

第 1 步：創建企業應用程式

1. 登入 Microsoft Azure 入口網站，進入「Microsoft Entra ID」。

   

2. 進入「管理」>「企業應用程式」。

   

3. 點擊「新增應用程式」，再點擊「建立您自己的應用程式」。

   

4. 輸入應用程式名稱（例如 EngageLab），選擇「整合您在資源庫中找不到的任何其他應用程式 (非資源庫)」，點擊「建立」。創建需要等待幾秒。

   

5. 創建完成後進入該應用程式的概觀頁。

   

之後需要修改該應用程式時，可在「企業應用程式」>「所有應用程式」中按應用程式名稱或物件識別碼搜尋。

第 2 步：指派使用者和群組

只有指派到該應用程式的使用者才能通過 Azure 登入 EngageLab。您可以隨時在此增減成員。

注意：EngageLab 匹配的是成員 Azure 個人資料中的郵箱（mail 屬性），不是 Azure 登入名。請確保該郵箱與成員的 EngageLab 帳號郵箱一致。

1. 在應用程式概觀頁點擊「指派使用者和群組」。

   

2. 點擊「新增使用者/群組」，在「使用者」下點擊「未選取任何項目」。

   

3. 勾選需要登入 EngageLab 的使用者，點擊「選取」，再點擊「指派」。

   

4. 指派完成後返回應用程式概觀頁。

   

第 3 步：啟用 SAML 單一登入

1. 在應用程式概觀頁點擊「設定單一登入」，或在左側選單中點擊「管理」>「單一登入」。

   

2. 選擇「SAML」。

   

第 4 步：填寫 EngageLab 的 SP 資訊

1. 在 EngageLab 配置嚮導的第 1 步複製 SP 資訊。

   

2. 在 Azure 的「基本 SAML 設定」區域點擊「編輯」，按下表填寫後點擊「儲存」。

   

   Azure 欄位	填寫 EngageLab 的
   識別碼 (實體識別碼)	Entity ID
   回覆 URL (判斷提示取用者服務 URL)	ACS URL
   登入 URL	Login URL
   登出 URL	Logout URL

   

第 5 步：檢查郵箱宣告

EngageLab 從 SAML 斷言中讀取使用者的郵箱識別使用者。Azure 的預設宣告已包含標準郵箱屬性，通常無需修改，按以下步驟確認即可。

1. 在 SAML 設定頁的「屬性與宣告」區域，確認存在以下宣告：

   宣告名稱	值
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.mail

2. 如果該宣告已被刪除或修改，點擊「編輯」>「新增宣告」，按下表添加後點擊「儲存」：

   欄位	填寫
   名稱	email
   命名空間	留空
   來源	屬性
   來源屬性	user.mail

建議：將「唯一使用者識別碼 (名稱識別碼)」也設置為 user.mail，格式為「電子郵件地址」，便於排查問題。

第 6 步：把 Azure 的資訊填入 EngageLab

1. 在 SAML 設定頁的「SAML 憑證」區域，下載「憑證 (Base64)」。

   

2. 用文字編輯器打開憑證檔案，複製全部內容，貼上到 EngageLab 配置嚮導第 2 步的「x509 Certificate」中。

   

3. 在 SAML 設定頁的「設定 <應用程式名稱>」區域，複製「登入 URL」和「登出 URL」，分別填入 EngageLab 的「IdP Login URL」和「IdP Logout URL」。

   

4. 在 EngageLab 中填寫「SSO 服務的名稱」，點擊「繼續」，然後按 SSO 配置完成授權組織與驗證。

   

第 7 步：在 Azure 中測試

完成配置後，可以在 Azure 的 SAML 設定頁點擊「測試」，以目前使用者測試單一登入。測試帳號需要已指派到該應用程式，且已加入 EngageLab 中授權了該 SSO 服務的組織。

常見問題