本文解决了有关 Microsoft Entra 无缝单一登录（无缝 SSO）的常见问题。 请随时返回查看新内容。
无缝 SSO 使用的登录方法是什么
无缝 SSO 可与 密码哈希同步 登录方法结合使用。 但是，此功能不能用于 Active Directory 联合身份验证服务 (ADFS)。
无缝 SSO 是否为免费功能？
无缝 SSO 是一项免费功能，你不需要拥有任何付费版本的 Microsoft Entra ID 即可使用它。
哪些应用程序利用了无缝 SSO 的“domain_hint”或“login_hint”参数功能？
表包含一个列表，其中列出可将这些参数发送到 Microsoft Entra ID 的应用程序。 此操作使用无缝 SSO 为用户提供无提示登录体验。
| 应用程序名称 | 应用程序 URL |
|---|---|
| 访问面板 | https://myapplications.windowsazure.cn/contoso.com |
| Outlook 网页版 | https://outlook.office365.com/contoso.com |
| Office 365 门户 | https://microsoft365.microsoftonline.cn?domain_hint=contoso.com |
此外，如果应用程序向设置为租户的 Microsoft Entra 终结点（即https://login.partner.microsoftonline.cn/contoso.com/<..>或https://login.partner.microsoftonline.cn/<tenant_ID>/<..>）而不是 Microsoft Entra 的通用终结点（即https://login.partner.microsoftonline.cn/common/<...>）发送登录请求，则用户也可获得无提示登录体验。 表包含发出这些类型的登录请求的应用程序的列表。
| 应用程序名称 | 应用程序 URL |
|---|---|
| SharePoint Online | https://contoso.sharepoint.com |
| Microsoft Entra 管理中心 | https://portal.azure.cn/contoso.com |
在上述表格中，将“contoso.com”替换为你的域名，以获取适用于你的租户的正确应用程序 URL。
如果希望其他应用程序具备无提示登录体验，请在反馈部分告知我们。
无缝 SSO 是否支持“备用 ID”（而不是“userPrincipalName”）作为用户名？
Yes. 在 Microsoft Entra Connect 中进行配置时，无缝 SSO 支持将 Alternate ID 作为用户名，如此处所示。 并非所有 Microsoft 365 应用程序都支持 Alternate ID。 有关支持声明，请参阅特定应用程序文档。
Microsoft Entra 联接和无缝 SSO 提供的单一登录体验有何不同？
如果用户的设备注册了 Microsoft Entra，Microsoft Entra ID 加入会向用户提供 SSO。 这些设备不一定需要加入域。 SSO 是通过主刷新令牌（即 PRT）提供的，而不是通过 Kerberos。 用户体验在 Windows 10 设备上最佳。 在 Microsoft Edge 浏览器上，SSO 会自动实现。 也可在 Chrome 上实现，但需要使用浏览器扩展插件。
可在租户上使用 Microsoft Entra 联接和无缝 SSO。 这两种功能互补。 如果同时启用这两项功能，则通过 Microsoft Entra 联接实现的 SSO 优先于无缝 SSO。
我想要在 Microsoft Entra ID 中注册非 Windows 10 设备，但不使用 AD FS。 是否可以改为使用无缝 SSO？
是的，此场景需要 workplace-join client 2.1 或更高版本。
如何轮换 `AZUREADSSO` 计算机账户的 Kerberos 解密密钥？
请务必定期轮换在本地 AD 林中创建的 AZUREADSSO 计算机账户（代表 Microsoft Entra ID）的 Kerberos 解密密钥。
Important
我们强烈建议每隔 30 天使用 cmdlet 滚动更新 Kerberos 解密密钥至少一次Update-AzureADSSOForest。 使用 Update-AzureADSSOForest cmdlet 时，请确保不要针对每个林多次运行 Update-AzureADSSOForest 命令。 否则，在用户的 Kerberos 票证过期并由本地 Active Directory 再次发布之前，此功能将停止运行。
在运行 Microsoft Entra Connect 的本地服务器上执行以下步骤：
Note
需有域管理员和混合标识管理员凭据才能执行这些步骤。
如果你不是域管理员，而是由域管理员分配了权限，则应调用 Update-AzureADSSOForest -OnPremCredentials $creds -PreserveCustomPermissionsOnDesktopSsoAccount
第 1 步。 获取已启用无缝 SSO 的 AD 林列表
- 导航到
%ProgramFiles%\Microsoft Azure Active Directory Connect文件夹。 - 使用以下命令导入 ADSync PowerShell 模块：
Import-Module "$env:ProgramFiles\Microsoft Azure AD Sync\Bin\ADSync\ADSync.psd1"。 - 使用以下命令导入无缝 SSO PowerShell 模块：
Import-Module .\AzureADSSO.psd1。 - 以管理员身份运行 PowerShell。 在 PowerShell 中，调用
New-AzureADSSOAuthenticationContext。 运行此命令时会出现一个弹出窗口，用于输入租户的混合标识管理员凭据。 - 调用
Get-AzureADSSOStatus | ConvertFrom-Json。 此命令会显示已启用此功能的 AD 林列表（请查看“域”列表）。
步骤 2。 在设置 Kerberos 解密密钥的每个 AD 林上更新此密钥
- 调用
$creds = Get-Credential。 出现提示时，输入目标 Active Directory 林的域管理员帐户凭据。
Note
必须以 SAM 帐户名称格式（contoso\johndoe 或 contoso.com\johndoe）输入域管理员凭据用户名。 我们使用用户名的域部分来查找使用 DNS 的域管理员的域控制器。
Note
使用的域管理员帐户不得是受保护用户组的成员。 如果是这样，则操作会失败。
调用
Update-AzureADSSOForest -OnPremCredentials $creds。 此命令会在此特定 AD 林中更新AZUREADSSO计算机帐户的 Kerberos 解密密钥，并在 Microsoft Entra ID 中对其进行更新。对于已启用此功能的每个 AD 林，重复前面的步骤。
Note
如果要更新 Microsoft Entra Connect 林之外的其他林，请确保可与全局编录服务器建立连接（TCP 3268 和 TCP 3269）。
Important
以暂存模式运行 Microsoft Entra Connect 的服务器上无需完成此操作。
如何禁用无缝单点登录（SSO）？
第 1 步。 在租户上禁用此功能
在运行 Microsoft Entra Connect 的本地服务器上运行以下步骤：
- 导航到
%ProgramFiles%\Microsoft Azure Active Directory Connect文件夹。 - 使用以下命令导入 ADSync PowerShell 模块：
Import-Module "$env:ProgramFiles\Microsoft Azure AD Sync\Bin\ADSync\ADSync.psd1"。 - 使用以下命令导入无缝 SSO PowerShell 模块：
Import-Module .\AzureADSSO.psd1。 - 以管理员身份运行 PowerShell。 在 PowerShell 中，调用
New-AzureADSSOAuthenticationContext。 运行此命令时会出现一个弹出窗口，用于输入租户的混合标识管理员凭据。 - 调用
Enable-AzureADSSO -Enable $false。
此时无缝 SSO 处于禁用状态，但域保持已配置状态，以便你可以重新启用无缝 SSO。 如果要从无缝 SSO 配置中完全删除域，请在完成上面的步骤 5 之后调用以下 cmdlet：Disable-AzureADSSOForest -DomainFqdn <fqdn>。
Important
使用 PowerShell 禁用无缝 SSO 不会更改 Microsoft Entra Connect 中的状态。 无缝 SSO 在 更改用户登录 页面中显示为已启用。
Note
如果没有 Microsoft Entra Connect Sync 服务器，则可以下载一个并运行初始安装。 这不会设置服务器，但它将解压缩禁用 SSO 所需的必要文件。 MSI 安装完成后，关闭 Microsoft Entra Connect 向导，然后运行步骤以使用 PowerShell 禁用无缝 SSO。
步骤 2。 获取已启用无缝单一登录的 AD 林列表
如果已使用 Microsoft Entra Connect 禁用了无缝 SSO，请依次执行任务 1 到 4。 但是，如果是使用 PowerShell 禁用了无缝 SSO，请跳转到任务 5。
- 导航到
%ProgramFiles%\Microsoft Azure Active Directory Connect文件夹。 - 使用以下命令导入 ADSync PowerShell 模块：
Import-Module "$env:ProgramFiles\Microsoft Azure AD Sync\Bin\ADSync\ADSync.psd1"。 - 使用以下命令导入无缝 SSO PowerShell 模块：
Import-Module .\AzureADSSO.psd1。 - 以管理员身份运行 PowerShell。 在 PowerShell 中，调用
New-AzureADSSOAuthenticationContext。 运行此命令时会出现一个弹出窗口，用于输入租户的混合标识管理员凭据。 - 调用
Get-AzureADSSOStatus | ConvertFrom-Json。 此命令会显示已启用此功能的 AD 林列表（请查看“域”列表）。
步骤 3。 从列表中你所看到的每个 AD 林中手动删除 AZUREADSSO 计算机帐户。
后续步骤
- 快速入门 - 启动并运行Microsoft Entra无缝 SSO。
- 深入技术探究 - 了解此功能如何运作。
- 故障排除 - 了解如何解决使用此功能时遇到的常见问题。
- UserVoice - 用于填写新功能请求。