快速入门：Microsoft Entra 无缝单一登录

Microsoft Entra 无缝单一登录（无缝 SSO）可使用户在使用连接到企业网络的企业台式机时自动登录。 无缝 SSO 可让用户轻松访问基于云的应用程序，而无需使用其他任何本地组件。

若要使用 Microsoft Entra Connect 为 Microsoft Entra ID 部署无缝 SSO，请完成以下部分中所述的步骤。

检查先决条件

请确保符合以下先决条件：

• 设置 Microsoft Entra Connect 服务器：如果使用密码哈希同步作为登录方法，并且Microsoft Entra Connect 和Microsoft Entra ID之间存在防火墙，请确保：

  • 使用 Microsoft Entra Connect 1.1.6440 或更高版本。

  • 如果防火墙或代理允许，则将连接添加到通过端口 443 的 *.msappproxy.net URL 的允许列表。 如果您需要特定的 URL 而不是通配符来配置代理，您可以配置 tenantid.registration.msappproxy.net，其中 tenantid 是用于配置该功能的租户的 GUID。 如果组织中不可能出现基于 URL 的代理异常，可以改为允许访问每周更新的 Azure 数据中心 IP 范围。 此先决条件仅适用于启用了无缝 SSO 功能的情况。 用户直接登录不需要它。

    Note

    • Microsoft Entra Connect 版本 1.1.557.0、1.1.558.0、1.1.561.0 和 1.1.614.0 有与密码哈希同步相关的问题。 如果不打算 将密码哈希同步与直通身份验证结合使用，请查看 Microsoft Entra Connect 发行说明 以了解详细信息。

• 使用受支持的Microsoft Entra Connect 拓扑：确保使用的是其中一个Microsoft Entra Connect 支持的拓扑。

  Note

  无缝 SSO 支持多个本地 Windows Server Active Directory (Windows Server AD) 林，无论它们之间是否存在 Windows Server AD 信任。

• 设置域管理员凭据：必须为每个 Windows Server AD 林提供域管理员凭据，以便：

  • 通过 Microsoft Entra Connect 同步到 Microsoft Entra ID。
  • 包含想要为其启用无缝 SSO 的用户。

• 启用新式身份验证：若要使用此功能，必须在租户上启用 新式身份验证 。

• 使用最新版本的 Microsoft 365 客户端：若要使用 Microsoft 365 客户端（例如 Outlook、Word 或 Excel），用户必须使用版本 16.0.8730.xxxx 或更高版本的无提示登录体验。

启用该功能

可以使用 PowerShell 启用无缝 SSO。

推出此功能

可按照以下部分提供的说明向用户逐步推出无缝 SSO。 首先，通过 Windows Server AD 中的组策略将下列 Microsoft Entra URL 添加到所有或选定的用户 Intranet 区域设置：

https://autologon.microsoftazuread-sso.com

还必须通过组策略启用名为 “允许通过脚本更新状态栏” 的 Intranet 区域策略设置。

为什么需要修改用户的 Intranet 区域设置

默认情况下，浏览器将自动从特定 URL 计算正确的区域（Internet 或 Intranet）。 例如， http://contoso/ 映射到 Intranet 区域，并 http://intranet.contoso.com/ 映射到 Internet 区域（因为 URL 包含句点）。 浏览器不会将 Kerberos 票证发送到云终结点（例如 Microsoft Entra URL），除非你将此 URL 显式添加到浏览器的 Intranet 区域。

可通过两种方法来修改用户的 Intranet 区域设置：

组策略详细步骤

1. 打开“组策略管理编辑器”工具。

2. 编辑适用于部分或全部用户的组策略。 此示例使用 默认域策略。

3. 转到 用户配置>策略>管理模板>Windows 组件>Internet Explorer>Internet 控制面板>安全页。 选择“站点到区域分配列表”。

   

4. 启用策略，然后在对话框中输入以下值：

   • 值名称：要将 Kerberos 票证转发到的 Microsoft Entra URL。

   • 值 （数据）： 1 表示 Intranet 区域。

     结果类似于以下示例：

     值名称：https://autologon.microsoftazuread-sso.com

     值（数据）：1

   Note

   如果要阻止某些用户使用无缝 SSO（例如，如果这些用户登录共享展台），请将上述值设置为 4。 此操作会将 Microsoft Entra URL 添加到受限区域，并且用户始终无法使用无缝 SSO。

5. 选择确定，然后再次选择确定。

   

6. 转到 用户配置>策略>管理模板>Windows 组件>Internet Explorer>Internet 控制面板>安全页>Intranet 区域。 选择 “允许通过脚本更新状态栏”。

   

7. 启用策略设置，然后选择“确定”。

   

组策略首选项详细步骤

1. 打开“组策略管理编辑器”工具。

2. 编辑适用于部分或全部用户的组策略。 此示例使用 默认域策略。

3. 转到 “用户配置>首选项>Windows 设置>注册表>新建>注册表”项。

   

4. 按演示输入或选择以下值，然后选择“ 确定”。

   • 密钥路径：Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\microsoftazuread-sso.com\autologon

   • 值名称：https

   • 值类型：REG_DWORD

   • 值数据：00000001

     

     

浏览器注意事项

后续部分将提供特定于不同类型浏览器的无缝 SSO 的相关信息。

Mozilla Firefox（所有平台）

如果在环境中使用 身份验证 策略设置，请确保将 Microsoft Entra URL （https://autologon.microsoftazuread-sso.com） 添加到 SPNEGO 部分。 还可以将 PrivateBrowsing 选项设置为 true ，以便在专用浏览模式下允许无缝 SSO。

Safari （macOS）

确保运行 macOS 的计算机已加入 Windows Server AD。

有关将 macOS 设备加入 Windows Server AD 的说明不在本文讨论范围之内。

基于 Chromium 的 Microsoft Edge（所有平台）

如果已替代环境中的 AuthNegotiateDelegateAllowlist 或 AuthServerAllowlist 策略设置，请确保也向这些策略设置添加 Microsoft Entra URL (https://autologon.microsoftazuread-sso.com)。

基于 Chromium 的 Microsoft Edge（macOS 和其他非 Windows 平台）

有关在 macOS 和其他非 Windows 平台上使用的基于 Chromium 的 Microsoft Edge 的信息，请参阅 基于 Chromium 的 Microsoft Edge 策略列表 ，了解如何将 Microsoft Entra URL 添加到允许列表。

Google Chrome（所有平台）

如果已替代环境中的 AuthNegotiateDelegateAllowlist 或 AuthServerAllowlist 策略设置，请确保也向这些策略设置添加 Microsoft Entra URL (https://autologon.microsoftazuread-sso.com)。

macOS

使用第三方 Active Directory 组策略扩展将 Microsoft Entra URL 扩展到 macOS 用户的 Firefox 和 Google Chrome 不在本文讨论范围之内。

已知的浏览器限制

无缝单点登录（SSO）在增强保护模式下运行的 Internet Explorer 中不起作用。 无缝 SSO 支持基于 Chromium 的下一版本的 Microsoft Edge，它根据设计在 InPrivate 和来宾模式下工作。 不再支持 Microsoft Edge（旧版）。

可能需要根据相应的文档，为 InPrivate 或来宾用户配置 AmbientAuthenticationInPrivateModesEnabled：

• Microsoft Edge Chromium
• Google Chrome

测试无缝 SSO

要测试特定用户的功能，请确保符合以下所有条件：

• 用户登录到某个企业设备。
• 设备已加入 Windows Server AD 域。 设备不需要建立 Microsoft Entra 联接。
• 该设备已通过远程访问连接（例如 VPN 连接）与企业有线或无线网络中的域控制器建立了直接连接。
• 你已通过组策略向此用户 推出该功能 。

若要测试用户输入用户名而不是密码的场景，请执行以下操作：

• 登录到 https://myapplications.windowsazure.cn。 请确保清除浏览器缓存，或在专用模式下将新的专用浏览器会话与任何受支持的浏览器一起使用。

若要测试用户不必输入用户名或密码的场景，请使用以下步骤之一：

• 登录到 https://myapplications.windowsazure.cn/contoso.partner.onmschina.cn。 请确保清除浏览器缓存，或在专用模式下将新的专用浏览器会话与任何受支持的浏览器一起使用。 将 contoso 替换为你的租户名称。
• 在新的专用浏览器会话中登录到 https://myapplications.windowsazure.cn/contoso.com。 将 contoso.com 替换为租户中的已验证域（而不是联合域）。

滚动更新密钥

在 启用该功能时，Microsoft Entra Connect 会在所有已启用无缝 SSO 的 Windows Server AD 林中创建表示 Microsoft Entra ID 的计算机帐户。 若要了解详细信息，请参阅 Microsoft Entra 无缝单一登录：技术深入探讨。

有关更换密钥的说明，请参阅 Microsoft Entra 无缝单一登录：常见问题。

后续步骤

• 技术深入探讨：了解无缝单一登录功能的工作原理。
• 常见问题解答：获取有关无缝单一登录的常见问题的解答。
• 故障排除：了解如何解决无缝单一登录功能的常见问题。
• UserVoice：使用 Microsoft Entra 论坛来提交新的功能请求。