Định cấu hình Đăng nhập một lần (SSO) của Azure Active Directory

Bạn đã cài đặt Azure AD Connect và muốn đặt cấu hình Đăng nhập một lần (SSO) Azure Active Directory. Đây là một tính năng tuyệt vời để người dùng có thể có được trải nghiệm đăng nhập một lần liền mạch khi truy cập các dịch vụ đám mây từ các máy tính để bàn đã tham gia miền của họ. Trong bài viết này, bạn sẽ tìm hiểu cách thiết lập Đăng nhập một lần Azure Active Directory.

Điều kiện tiên quyết về đăng nhập một lần của Azure Active Directory

Trước khi bắt đầu bật tính năng Đăng nhập một lần Azure Active Directory, bạn phải kiểm tra xem tổ chức có đáp ứng các điều kiện tiên quyết của AAD SSO hay không.

Cài đặt kết nối Azure AD

Bạn cần Cài đặt và định cấu hình Microsoft Entra Connect trước khi tiếp tục. Nếu bạn đã có Azure AD Connect trong tổ chức, chúng tôi khuyên bạn nên nâng cấp lên phiên bản Azure AD Connect mới nhất. Xem bước tiếp theo.

Nâng cấp Azure AD Kết nối lên phiên bản mới nhất

Các bài viết dưới đây sẽ giúp bạn nâng cấp Azure AD Connect lên phiên bản mới nhất:

1. Nâng cấp kết nối Azure AD
2. Nâng cấp Azure AD Kết nối lên V2.x
3. Di chuyển Azure AD Kết nối với máy chủ mới

Cấu hình tường lửa

Thêm URL bên dưới vào danh sách cho phép tường lửa giữa máy chủ Azure AD Connect và Azure AD:

• *.msappproxy.net qua cổng 443

Kích hoạt xác thực hiện đại

Xem qua bài viết kích hoạt xác thực hiện đại trong Microsoft 365:

• Bật Xác thực Hiện đại trong đối tượng thuê Microsoft 365
• Định cấu hình khóa đăng ký trên máy khách để hỗ trợ xác thực hiện đại

Cách định cấu hình Đăng nhập một lần Azure Active Directory

Để định cấu hình AAD SSO, hãy làm theo các bước sau:

Bước 1. Kích hoạt đăng nhập một lần trong Azure Active Directory Connect

Để bật Đăng nhập một lần Azure Active Directory trong Azure AD Connect, hãy làm theo các bước sau:

Đăng nhập vào máy chủ Azure AD Connect.

Bắt đầu Azure AD Connect. Nhấp vào Định cấu hình.

Nhấp vào Thay đổi thông tin đăng nhập của người dùng. Nhấp vào Tiếp theo.

Điền vào quản trị viên toàn cầu Azure AD hoặc thông tin đăng nhập của quản trị viên danh tính kết hợp. Nhấp vào Tiếp theo.

Chọn hộp kiểm Bật đăng nhập. Nhấp vào Tiếp theo.

Nhập thông tin xác thực tài khoản quản trị viên miền của bạn. Nhấp vào Tiếp theo.

Chọn hộp kiểm Bắt đầu quá trình đồng bộ hóa khi cấu hình hoàn tất. Nhấp vào Định cấu hình.

Nhấp vào Thoát.

Bước 2. Xác minh tính năng Đăng nhập một lần đang hoạt động

Đăng nhập vào Cổng thông tin Microsoft Azure.

Nhấp vào Trình đơn > Azure Active Directory.

Chọn Kết nối Azure AD. Xác minh rằng tính năng Đăng nhập một lần liền mạch xuất hiện dưới dạng Đã bật.

Bắt đầu Người dùng và máy tính Active Directory. Đi tới vùng chứa Máy tính mặc định. Xác minh rằng tài khoản máy tính AZUREADSSOACC xuất hiện.

Lưu ý: SSO liền mạch tạo tài khoản máy tính có tên AZUREADSSOACC trong Active Directory (AD) tại chỗ của bạn trong mỗi nhóm AD. Tài khoản máy tính AZUREADSSOACC cần được bảo vệ mạnh mẽ vì lý do bảo mật. Chỉ Quản trị viên miền mới có thể quản lý tài khoản máy tính. Đảm bảo rằng ủy quyền Kerberos trên tài khoản máy tính bị vô hiệu hóa và không có tài khoản nào khác trong Active Directory có quyền ủy quyền trên tài khoản máy tính AZUREADSSOACC. Lưu trữ tài khoản máy tính trong Đơn vị tổ chức (OU) nơi tài khoản được an toàn khỏi việc vô tình xóa và chỉ Quản trị viên miền mới có quyền truy cập.

Bước 3. Cấu hình chính sách nhóm

Có hai chính sách nhóm để cấu hình. Thực hiện theo các bước dưới đây:

Bắt đầu Quản lý chính sách nhóm.

Tạo chính sách nhóm mới hoặc chỉnh sửa chính sách hiện có.

Chính sách 1: Danh sách phân công địa điểm tới khu vực

Duyệt đến Cấu hình người dùng > Chính sách > Mẫu quản trị > Cấu phần Windows > Internet Explorer > Bảng điều khiển Internet > Trang bảo mật.

Nhấp đúp vào Danh sách phân công địa điểm tới khu vực.

Nhấp vào Đã bật để bật chính sách. Sau đó, nhấp vào Hiển thị.

Nhập URL Azure AD bên dưới vào nhiệm vụ vùng:

• https://autologon.microsoftazuread-sso.com với giá trị 1

Chính sách 2: Cho phép cập nhật thanh trạng thái thông qua tập lệnh

Duyệt đến Cấu hình người dùng > Chính sách > Mẫu quản trị > Cấu phần Windows > Internet Explorer > Bảng điều khiển Internet > Trang bảo mật > Vùng mạng nội bộ.

Nhấp đúp vào Cho phép cập nhật thanh trạng thái qua tập lệnh.

Nhấp vào Đã bật để bật chính sách. Sau đó, nhấp vào Bật.

Bước 4. Khả năng tương thích của trình duyệt SSO

Giả sử có các trình duyệt web khác nhau trong tổ chức. Bạn cần định cấu hình cài đặt cho từng trình duyệt. Đọc phần cân nhắc về trình duyệt của Microsoft.

Kiểm tra Azure Active Directory SSO

Đăng nhập trên máy tính đã tham gia miền và khởi động trình duyệt Microsoft Edge. Điều hướng tới https://myapps.microsoft.com/tenant.onmicrosoft.com.

Trong ví dụ của chúng tôi, đó là https://myapps.microsoft.com/exoip365.onmicrosoft.com.

Bạn không cần phải thêm tên người dùng hoặc mật khẩu; nó sẽ tự động đăng nhập.

Bạn đã định cấu hình thành công AAD SSO trong tổ chức.

Đọc thêm: Tìm tài khoản Azure AD Connect »

Phần kết luận

Bạn đã tìm hiểu cách định cấu hình Đăng nhập một lần (SSO) của Azure Active Directory. Đảm bảo rằng tổ chức đáp ứng các điều kiện tiên quyết trước khi bạn thiết lập Azure AD SSO. Luôn kiểm tra cấu hình khi triển khai. Từ giờ trở đi, người dùng sẽ tự động đăng nhập và không phải điền thông tin xác thực bất cứ khi nào họ kết nối với dịch vụ đám mây từ máy tham gia miền của họ.

Bạn có thích bài viết này không? Bạn cũng có thể thích Định cấu hình Bảo vệ mật khẩu Microsoft Entra cho tại chỗ. Đừng quên theo dõi chúng tôi và chia sẻ bài viết này.