กำหนดค่าการลงชื่อเพียงครั้งเดียวของ Azure Active Directory (SSO)

คุณได้ติดตั้ง Azure AD Connect และต้องการกำหนดค่า Azure Active Directory Single Sign-On (SSO) เป็นคุณสมบัติที่ยอดเยี่ยมเพื่อให้ผู้ใช้สามารถได้รับประสบการณ์การลงชื่อเพียงครั้งเดียวที่ราบรื่นเมื่อเข้าถึงบริการคลาวด์จากเครื่องเดสก์ท็อปที่เข้าร่วมโดเมน ในบทความนี้ คุณจะได้เรียนรู้วิธีตั้งค่า Azure Active Directory Single Sign-On

ข้อกำหนดเบื้องต้นในการลงชื่อเพียงครั้งเดียวของ Azure Active Directory

ก่อนที่คุณจะเริ่มเปิดใช้งานคุณลักษณะ Azure Active Directory Single Sign-On คุณต้องตรวจสอบว่าองค์กรมีคุณสมบัติตรงตามข้อกำหนดเบื้องต้นของ AAD SSO

ติดตั้ง Azure AD Connect

คุณต้องติดตั้งและกำหนดค่า Microsoft Entra Connect ก่อนดำเนินการต่อ หากคุณมี Azure AD Connect ในองค์กรอยู่แล้ว เราขอแนะนำให้คุณอัปเกรดเป็น Azure AD Connect เวอร์ชันล่าสุด ดูขั้นตอนถัดไป

อัปเกรด Azure AD Connect เป็นเวอร์ชันล่าสุด

บทความด้านล่างนี้จะช่วยคุณอัปเกรด Azure AD Connect เป็นเวอร์ชันล่าสุด:

1. อัปเกรด Azure AD Connect
2. อัปเกรด Azure AD Connect เป็น V2.x
3. ย้าย Azure AD Connect ไปยังเซิร์ฟเวอร์ใหม่

กำหนดค่าไฟร์วอลล์

เพิ่ม URL ด้านล่างในรายการอนุญาตไฟร์วอลล์ระหว่างเซิร์ฟเวอร์ Azure AD Connect และ Azure AD:

• *.msappproxy.net บนพอร์ต 443

เปิดใช้งานการรับรองความถูกต้องที่ทันสมัย

อ่านบทความเปิดใช้งานการรับรองความถูกต้องสมัยใหม่ใน Microsoft 365:

• เปิดใช้งานการรับรองความถูกต้องแบบสมัยใหม่ในผู้เช่า Microsoft 365
• กำหนดค่าคีย์รีจิสทรีบนไคลเอ็นต์เพื่อรองรับการรับรองความถูกต้องสมัยใหม่

วิธีกำหนดค่าการลงชื่อเพียงครั้งเดียวของ Azure Active Directory

หากต้องการกำหนดค่า AAD SSO ให้ทำตามขั้นตอนเหล่านี้:

ขั้นตอนที่ 1 เปิดใช้งานการลงชื่อเพียงครั้งเดียวใน Azure Active Directory Connect

หากต้องการเปิดใช้งาน Azure Active Directory Single Sign-On ใน Azure AD Connect ให้ทำตามขั้นตอนเหล่านี้:

ลงชื่อเข้าใช้เซิร์ฟเวอร์ Azure AD Connect

เริ่ม Azure AD Connect คลิกที่ กำหนดค่า

คลิกที่ เปลี่ยนการลงชื่อเข้าใช้ของผู้ใช้ คลิกถัดไป

กรอกผู้ดูแลระบบส่วนกลาง Azure AD หรือ ข้อมูลรับรองผู้ดูแลระบบข้อมูลประจำตัวแบบไฮบริด คลิกถัดไป

ทำเครื่องหมายที่ช่อง เปิดใช้งานการลงชื่อเข้าใช้ คลิกถัดไป

ป้อนข้อมูลรับรองบัญชีผู้ดูแลระบบโดเมนของคุณ คลิกถัดไป

ทำเครื่องหมายที่ช่อง เริ่มกระบวนการซิงโครไนซ์เมื่อการกำหนดค่าเสร็จสิ้น คลิกกำหนดค่า

คลิกที่ ออก

ขั้นตอนที่ 2 ตรวจสอบว่า Single Sign-On ทำงานอยู่

ลงชื่อเข้าใช้พอร์ทัล Microsoft Azure

คลิกที่ เมนู > Azure Active Directory

เลือก Azure AD Connect ตรวจสอบว่าคุณลักษณะ การลงชื่อเพียงครั้งเดียวอย่างราบรื่น ปรากฏเป็น เปิดใช้งาน

เริ่มต้น ผู้ใช้ Active Directory และคอมพิวเตอร์ ไปที่คอนเทนเนอร์ คอมพิวเตอร์ เริ่มต้น ตรวจสอบว่าบัญชีคอมพิวเตอร์ AZUREDSSOACC ปรากฏขึ้น

หมายเหตุ: SSO ที่ราบรื่นจะสร้างบัญชีคอมพิวเตอร์ชื่อ AZUREADSSOACC ใน Active Directory (AD) ภายในองค์กรของคุณในแต่ละฟอเรสต์ AD บัญชีคอมพิวเตอร์ AZUREADSSOACC จำเป็นต้องได้รับการปกป้องอย่างเข้มงวดด้วยเหตุผลด้านความปลอดภัย เฉพาะผู้ดูแลระบบโดเมนเท่านั้นที่ควรจะสามารถจัดการบัญชีคอมพิวเตอร์ได้ ตรวจสอบให้แน่ใจว่าการมอบหมาย Kerberos ในบัญชีคอมพิวเตอร์ถูกปิดใช้งาน และไม่มีบัญชีอื่นใน Active Directory ที่มีสิทธิ์การมอบหมายในบัญชีคอมพิวเตอร์ AZUREADSSOACC จัดเก็บบัญชีคอมพิวเตอร์ในหน่วยองค์กร (OU) ซึ่งปลอดภัยจากการลบโดยไม่ตั้งใจและเฉพาะผู้ดูแลระบบโดเมนเท่านั้นที่สามารถเข้าถึงได้

ขั้นตอนที่ 3 กำหนดค่านโยบายกลุ่ม

มีนโยบายกลุ่มสองรายการที่ต้องกำหนดค่า ทำตามขั้นตอนด้านล่าง:

เริ่มการจัดการนโยบายกลุ่ม

สร้าง นโยบายกลุ่มใหม่ หรือ แก้ไขนโยบายที่มีอยู่

นโยบายที่ 1: รายการกำหนดไซต์ถึงโซน

เรียกดู การกำหนดค่าผู้ใช้ > นโยบาย > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > Internet Explorer > แผงควบคุมอินเทอร์เน็ต > หน้าความปลอดภัย

ดับเบิลคลิกที่ รายการกำหนดไซต์ถึงโซน

คลิกที่ เปิดใช้งาน เพื่อเปิดใช้งานนโยบาย จากนั้นคลิกที่ แสดง

ป้อน Azure AD URL ด้านล่างในการกำหนดโซน:

• https://autologon.microsoftazuread-sso.com ที่มีค่า 1

นโยบายที่ 2: อนุญาตให้อัปเดตแถบสถานะผ่านสคริปต์

เรียกดู การกำหนดค่าผู้ใช้ > นโยบาย > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > Internet Explorer > แผงควบคุมอินเทอร์เน็ต > หน้าความปลอดภัย > โซนอินทราเน็ต

ดับเบิลคลิกที่ อนุญาตให้อัปเดตแถบสถานะผ่านสคริปต์

คลิกที่ เปิดใช้งาน เพื่อเปิดใช้งานนโยบาย จากนั้นคลิกที่ เปิดใช้งาน

ขั้นตอนที่ 4 ความเข้ากันได้ของเบราว์เซอร์ SSO

สมมติว่ามีเว็บเบราว์เซอร์ที่แตกต่างกันในองค์กร คุณต้องกำหนดการตั้งค่าสำหรับแต่ละเบราว์เซอร์ อ่านส่วนข้อควรพิจารณาเกี่ยวกับเบราว์เซอร์ Microsoft

ทดสอบ SSO ของ Azure Active Directory

ลงชื่อเข้าใช้คอมพิวเตอร์ที่เข้าร่วมโดเมนแล้วเริ่มเบราว์เซอร์ Microsoft Edge นำทางไปยังhttps://myapps.microsoft.com/tenant.onmicrosoft.com

ในตัวอย่างของเรา คือ https://myapps.microsoft.com/exoip365.onmicrosoft.com

คุณไม่จำเป็นต้องเพิ่มชื่อผู้ใช้หรือรหัสผ่าน มันจะลงชื่อเข้าใช้โดยอัตโนมัติ

คุณกำหนดค่า AAD SSO ในองค์กรสำเร็จแล้ว

อ่านเพิ่มเติม: ค้นหาบัญชี Azure AD Connect »

บทสรุป

คุณได้เรียนรู้วิธีกำหนดค่า Azure Active Directory Single Sign-On (SSO) ตรวจสอบให้แน่ใจว่าองค์กรมีคุณสมบัติตรงตามข้อกำหนดเบื้องต้นก่อนที่คุณจะตั้งค่า Azure AD SSO ทดสอบการกำหนดค่าทุกครั้งเมื่อใช้งาน จากนี้ไป ผู้ใช้จะลงชื่อเข้าใช้โดยอัตโนมัติและไม่ต้องกรอกข้อมูลประจำตัวทุกครั้งที่เชื่อมต่อกับบริการคลาวด์จากเครื่องที่เข้าร่วมโดเมน

คุณสนุกกับบทความนี้หรือไม่? คุณอาจต้องการกำหนดค่าการป้องกันรหัสผ่าน Entra ของ Microsoft สำหรับภายในองค์กร อย่าลืมติดตามเราและแบ่งปันบทความนี้