использование стороннего поставщика удостоверений с Office 365

Question

В настоящее время мы используем собственное решение SSO, использующее двухфакторную аутентификацию, которая генерирует SAML, чтобы позволить SSO Google Apps и Salesforce.Мы надеемся разрешить поддержку Office 365.

Я просматриваю всю документацию для Office 365 и, как я вижу, она использует SAML, но только если она предоставляется ADFS.

Можно ли будет использовать Office 365 с чистым решением SAML?Или можно использовать ADFS с другим поставщиком удостоверений (не Active Directory).

Я видел пример с Tivoli IP, но я не совсем понимаю роли, если я все правильно понимаю,он фактически откладывает фактическую аутентификацию от ADFS до Tivoli, но так ли это?Если бы это было правдой, это было бы неплохо:)

Помимо этого, из моей Google-экспедиции я вижу следующие варианты использования нашего собственного решения единого входа с Office 365:

1. Адаптируйте страницу входа из ADFS (aspx) и добавьте туда наше решение 2fa.( source )
2. использует Forefront UAG, но не уверен, что именно это означает ( source )
3. использует службу, которая претендует на поведение как ADFS( источник - в комментариях)
4. использовать SAML для объединения аутентификации (если я правильно понимаю) ( источник )

Из 3. я бы пришел к выводу, что 4. невозможно, но разве это просто старая информация, и она больше не действительна?

Спасибо за любые полезные идеи:)

Answer 1

Технически говоря, в Office 365 нет ничего, что требовало бы ADFS.Единый вход может быть выполнен с любым сервером федерации, который может отправлять сообщения и токены нужного типа.(Я знаю, потому что я сделал это.) Если ваше решение SSO выдает правильный тип данных, вы можете использовать его.Может быть Microsoft SLA и проблемы поддержки с использованием сервера федерации, отличного от ADFS.Проверьте это сначала.Если вы хотите повторно использовать существующую инфраструктуру федерации и вам нужна помощь, подайте мне записку .

Answer 2

Просто убедитесь, что решение SAML поддерживает как пассивный, так и активный профиль (ECP). Пассивный профиль необходим для входа в сеть. Active / ECP требуется для поддержки толстых клиентов, таких как Outlook, Thunderbird и т. Д. Мы запустили оба профиля.