วิธีสร้าง Microsoft Entra ID SAML enterprise SSO ด้วย iOS (Swift)

สำหรับเพื่อนใหม่ของเรา:

Logto คือทางเลือกแทน Auth0 ที่ออกแบบมาสำหรับแอปและผลิตภัณฑ์ SaaS ยุคใหม่ โดยมีทั้งบริการ Cloud และ Open-source เพื่อช่วยให้คุณเปิดตัวระบบการจัดการเอกลักษณ์และการเข้าถึง (IAM) ได้อย่างรวดเร็ว สนุกกับการยืนยันตัวตน (การยืนยันตัวตน), การอนุญาต (การอนุญาต), และการจัดการหลายผู้เช่า ครบจบในที่เดียว

เราแนะนำให้เริ่มต้นด้วย tenant สำหรับการพัฒนาแบบฟรีบน Logto Cloud เพื่อให้คุณสามารถสำรวจฟีเจอร์ทั้งหมดได้อย่างง่ายดาย

ในบทความนี้ เราจะพาคุณไปทีละขั้นตอนเพื่อสร้างประสบการณ์ลงชื่อเข้าใช้ Microsoft Entra ID SAML enterprise SSO (การยืนยันตัวตนของผู้ใช้) อย่างรวดเร็วด้วย iOS (Swift) และ Logto

ข้อกำหนดเบื้องต้น

มี Logto instance ที่พร้อมใช้งาน ดู หน้าแนะนำ เพื่อเริ่มต้นใช้งาน
มีความรู้พื้นฐานเกี่ยวกับ iOS (Swift)
มีบัญชี Microsoft Entra ID SAML enterprise SSO ที่ใช้งานได้

สร้างแอปพลิเคชันใน Logto

Logto สร้างขึ้นบนพื้นฐานของการยืนยันตัวตน OpenID Connect (OIDC) และการอนุญาต OAuth 2.0 โดยรองรับการจัดการข้อมูลระบุตัวตนแบบรวมศูนย์ข้ามหลายแอปพลิเคชัน ซึ่งมักเรียกว่า การลงชื่อเข้าใช้ครั้งเดียว (Single Sign-On; SSO)

ในการสร้างแอปพลิเคชัน Native app ของคุณ เพียงทำตามขั้นตอนเหล่านี้:

เปิด Logto Console ในส่วน "เริ่มต้นใช้งาน" ให้คลิกที่ลิงก์ "ดูทั้งหมด" เพื่อเปิดรายการเฟรมเวิร์กของแอปพลิเคชัน หรือคุณสามารถไปที่ Logto Console > Applications แล้วคลิกปุ่ม "สร้างแอปพลิเคชัน"
ในหน้าต่างที่เปิดขึ้น ให้คลิกที่ส่วน "Native app" หรือกรองเฟรมเวิร์ก "Native app" ทั้งหมดที่มีโดยใช้ช่องกรองด่วนทางซ้ายมือ จากนั้นคลิกที่การ์ดเฟรมเวิร์ก "iOS (Swift)" เพื่อเริ่มสร้างแอปพลิเคชันของคุณ
กรอกชื่อแอปพลิเคชัน เช่น "Bookstore" แล้วคลิก "สร้างแอปพลิเคชัน"

🎉 เยี่ยมมาก! คุณเพิ่งสร้างแอปพลิเคชันแรกของคุณใน Logto คุณจะเห็นหน้าข้อความแสดงความยินดีซึ่งมีคู่มือการเชื่อมต่ออย่างละเอียด ให้ทำตามคู่มือเพื่อดูประสบการณ์ที่จะเกิดขึ้นในแอปพลิเคชันของคุณ

ผสานรวม iOS (Swift) กับ Logto

เพิ่ม Logto SDK เป็น dependency

บันทึก:

เวอร์ชัน iOS ขั้นต่ำที่รองรับของ Logto Swift SDK คือ iOS 13

Logto Swift SDK มีสองเวอร์ชันหลัก:

v2: เปิดประสบการณ์การลงชื่อเข้าใช้ใน ASWebAuthenticationSession (เบราว์เซอร์ของระบบ) ซึ่งรองรับการลงชื่อเข้าใช้ด้วย passkey และแชร์เซสชันเบราว์เซอร์ โปรดทราบว่า v2 ได้ลบ native social plugin targets ออกแล้ว; ตัวเชื่อมต่อโซเชียล (social connectors) ยังคงทำงานผ่านเบราว์เซอร์ หากคุณต้องพึ่ง native WeChat หรือ Alipay SDK handoff ให้ใช้ v1 ต่อไป
v1: เปิดประสบการณ์การลงชื่อเข้าใช้ใน WebView ที่ฝังอยู่ ซึ่งจำเป็นสำหรับ native social plugin targets แต่ไม่รองรับ การลงชื่อเข้าใช้ด้วย passkey (WebView ไม่รองรับ WebAuthn ซึ่งเป็นมาตรฐานพื้นฐานของ passkey)

คู่มือนี้ครอบคลุมทั้งสองเวอร์ชัน เลือกเวอร์ชันของคุณในแท็บด้านล่าง และตัวเลือกจะถูกซิงค์ตลอดทั้งคู่มือนี้

ใช้ URL ต่อไปนี้เพื่อเพิ่ม Logto SDK เป็น dependency ใน Swift Package Manager

https://github.com/logto-io/swift.git

ตั้งแต่ Xcode 11 เป็นต้นมา คุณสามารถ นำเข้า Swift package ได้โดยตรง โดยไม่ต้องใช้เครื่องมือเพิ่มเติม

เมื่อ Xcode ถามหาเวอร์ชันของแพ็กเกจ ให้เลือกเวอร์ชันที่คุณต้องการใช้งาน:

ใช้เวอร์ชัน v2 ล่าสุดเป็นเวอร์ชันอ้างอิง เวอร์ชัน v2 ล่าสุดคือ 2.0.0

หากคุณใช้ Package.swift โดยตรง:

Package.swift
// เพิ่ม Logto SDK ด้วยเวอร์ชัน 2.0.0
.package(url: "https://github.com/logto-io/swift.git", from: "2.0.0")

ใช้เวอร์ชัน v1 ล่าสุดหากคุณต้องการ native social plugin targets เวอร์ชัน v1 ล่าสุดคือ 1.2.0

หากคุณใช้ Package.swift โดยตรง:

Package.swift
// เพิ่ม Logto SDK ด้วยเวอร์ชัน 1.2.0
.package(url: "https://github.com/logto-io/swift.git", from: "1.2.0")

ขณะนี้เรายังไม่รองรับ Carthage และ CocoaPods เนื่องจากปัญหาทางเทคนิคบางประการ

Carthage

Carthage ต้องการไฟล์ xcodeproj เพื่อ build เราจะพยายามหาวิธีแก้ไขในภายหลัง

CocoaPods

CocoaPods ไม่รองรับ local dependency และ monorepo ดังนั้นจึงยากที่จะสร้าง .podspec สำหรับ repo นี้

เริ่มต้น LogtoClient

เริ่มต้นไคลเอนต์โดยการสร้างอินสแตนซ์ LogtoClient ด้วยอ็อบเจกต์ LogtoConfig

ContentView.swift
import Logto
import LogtoClient

let config = try? LogtoConfig(
  endpoint: "<your-logto-endpoint>", // เช่น http://localhost:3001
  appId: "<your-app-id>"
)
let client = LogtoClient(useConfig: config)

ข้อมูล:

โดยปกติ เราจะจัดเก็บข้อมูลรับรอง เช่น โทเค็น ID (ID Token) และ โทเค็นรีเฟรช (Refresh Token) ไว้ใน Keychain ดังนั้นผู้ใช้จึงไม่จำเป็นต้องลงชื่อเข้าใช้อีกเมื่อกลับมา

หากต้องการปิดการทำงานนี้ ให้ตั้งค่า usingPersistStorage เป็น false:

let config = try? LogtoConfig(
  // ...
  usingPersistStorage: false
)

ก่อนที่เราจะลงลึกในรายละเอียด นี่คือภาพรวมประสบการณ์ของผู้ใช้ปลายทาง กระบวนการลงชื่อเข้าใช้สามารถสรุปได้ดังนี้:

แอปของคุณเรียกใช้งานเมธอดลงชื่อเข้าใช้
ผู้ใช้จะถูกเปลี่ยนเส้นทางไปยังหน้าลงชื่อเข้าใช้ของ Logto สำหรับแอปเนทีฟ ระบบจะเปิดเบราว์เซอร์ของระบบ
ผู้ใช้ลงชื่อเข้าใช้และถูกเปลี่ยนเส้นทางกลับไปยังแอปของคุณ (ตามที่กำหนดไว้ใน redirect URI)

กระบวนการยืนยันตัวตนนี้เป็นไปตามโปรโตคอล OpenID Connect (OIDC) และ Logto บังคับใช้มาตรการรักษาความปลอดภัยอย่างเข้มงวดเพื่อปกป้องการลงชื่อเข้าใช้ของผู้ใช้
หากคุณมีหลายแอป คุณสามารถใช้ผู้ให้บริการข้อมูลระบุตัวตน (Logto) เดียวกันได้ เมื่อผู้ใช้ลงชื่อเข้าใช้แอปหนึ่งแล้ว Logto จะดำเนินการลงชื่อเข้าใช้โดยอัตโนมัติเมื่อผู้ใช้เข้าถึงแอปอื่น

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับเหตุผลและประโยชน์ของการลงชื่อเข้าใช้แบบเปลี่ยนเส้นทาง โปรดดูที่ อธิบายประสบการณ์การลงชื่อเข้าใช้ของ Logto

กำหนดค่า redirect URI

ไปที่หน้ารายละเอียดแอปพลิเคชันของ Logto Console เพิ่ม Redirect URI io.logto.app://callback แล้วคลิก "บันทึกการเปลี่ยนแปลง" (Save changes)

ใน v2 ประสบการณ์การลงชื่อเข้าใช้จะเปิดใน ASWebAuthenticationSession (เบราว์เซอร์ของระบบ) และการเปลี่ยนเส้นทาง (redirect) จะถูกส่งกลับไปยังแอปของคุณผ่านการจับคู่ callback ในระดับ OS สำหรับ redirect URI แบบ custom scheme เช่น io.logto.app://callback ให้ลงทะเบียนเฉพาะส่วน scheme (io.logto.app) ใน Info.plist ของแอปคุณ จากนั้นเพิ่ม redirect URI แบบเต็มใน Redirect URIs ของแอป Logto ของคุณ

ใน Xcode ให้เปิด target ของแอปคุณ เลือก Info ขยาย URL Types และเพิ่มรายการใหม่โดยใส่ io.logto.app ใน URL Schemes หากคุณแก้ไข Info.plist โดยตรง ให้เพิ่ม:

Info.plist
<key>CFBundleURLTypes</key>
<array>
  <dict>
    <key>CFBundleTypeRole</key>
    <string>Editor</string>
    <key>CFBundleURLName</key>
    <string>io.logto.app</string>
    <key>CFBundleURLSchemes</key>
    <array>
      <string>io.logto.app</string>
    </array>
  </dict>
</array>

สำหรับ browser flow ใน v2 คุณไม่จำเป็นต้องเรียก LogtoClient.handle(url:) อีกต่อไป; API สำหรับ handoff plugin นั้นถูกถอดออกไปพร้อมกับ flow แบบ embedded WebView

ใช้ Universal Links แทน custom scheme ได้ไหม?

คุณสามารถใช้ redirect URI แบบ HTTPS เช่น https://example.com/callback ได้เช่นกัน:

เพิ่มความสามารถ Associated Domains ให้กับแอปของคุณ
กำหนดค่า webcredentials:example.com เพื่อให้ ASWebAuthenticationSession สามารถจับคู่ callback แบบ HTTPS บน iOS 17.4 ขึ้นไป
หากต้องการให้ URL เดียวกันเปิดแอปของคุณเป็น Universal Link นอก session การยืนยันตัวตน ให้กำหนดค่า applinks:example.com และโฮสต์ไฟล์ apple-app-site-association ที่ถูกต้องสำหรับโดเมนและ path นั้น
เพิ่ม HTTPS URI นี้ใน Redirect URIs ของแอป Logto ของคุณ
ส่งค่า URI เดียวกันนี้ไปที่ signInWithBrowser

บน iOS 17.4 ขึ้นไป SDK จะใช้ API การจับคู่ callback แบบ HTTPS ของ ASWebAuthenticationSession ดังนั้น redirect แบบ HTTPS จะเสร็จสมบูรณ์และปิด session ให้อัตโนมัติ สำหรับ iOS เวอร์ชันเก่า คำขอการอนุญาตยังคงใช้ HTTPS redirect URI ได้ แต่ session อาจไม่ปิดเอง เว้นแต่แอปของคุณจะจัดการ callback ของ Universal Link เอง ควรเก็บ redirect แบบ custom scheme ไว้เป็นตัวเลือกเพื่อความเข้ากันได้ หากคุณต้องการให้ flow เสร็จสมบูรณ์อัตโนมัติบน iOS เวอร์ชันเก่า

ไปที่หน้ารายละเอียดแอปพลิเคชันของ Logto Console เพิ่ม Redirect URI io.logto://callback แล้วคลิก "บันทึกการเปลี่ยนแปลง" (Save changes)

ข้อมูล:

Redirect URI ใน iOS SDK ใช้สำหรับการทำงานภายในเท่านั้น ไม่จำเป็นต้อง เพิ่ม Custom URL Scheme จนกว่าตัวเชื่อมต่อจะร้องขอ

บันทึก:

ก่อนเรียก .signInWithBrowser(redirectUri:) โปรดตรวจสอบให้แน่ใจว่าคุณได้กำหนดค่า Redirect URI ใน Admin Console อย่างถูกต้องแล้ว

ใน v2 client.signOut(postLogoutRedirectUri:) จะทำการออกจากระบบอย่างสมบูรณ์: ล้างข้อมูลรับรองในเครื่อง, เพิกถอนโทเค็นรีเฟรช (refresh token), และสิ้นสุด session ของ Logto โดยเปิด endpoint สำหรับจบ session ในเบราว์เซอร์ของระบบ จากนั้นเบราว์เซอร์จะนำทางกลับไปยังแอปของคุณผ่าน post sign-out redirect URI ก่อนใช้งาน ให้ไปที่หน้ารายละเอียดแอปใน Logto Console เพิ่ม post sign-out redirect URI io.logto.app://signed-out และคลิก "Save changes" โดย post sign-out redirect URI สามารถใช้ custom scheme เดียวกับที่คุณลงทะเบียนสำหรับการลงชื่อเข้าใช้

ตัวอย่างในแอป SwiftUI:

ContentView.swift
// โค้ดเหมือนเดิม ไม่ต้องแปล
struct ContentView: View {
  @State var isAuthenticated: Bool

  private let redirectUri = "io.logto.app://callback"
  private let postLogoutRedirectUri = "io.logto.app://signed-out"

  init() {
    isAuthenticated = client.isAuthenticated
  }

  var body: some View {
    VStack {
      if isAuthenticated {
        Button("Sign Out") {
          Task { [self] in
            let error = await client.signOut(postLogoutRedirectUri: postLogoutRedirectUri)
            if let error = error {
              print(error)
              return
            }
            isAuthenticated = false
          }
        }
      } else {
        Button("Sign In") {
          Task { [self] in
            do {
              try await client.signInWithBrowser(redirectUri: redirectUri)
              isAuthenticated = true
            } catch let error as LogtoClientErrors.SignIn {
              // error occurred during sign in
            } catch {
              // other errors
            }
          }
        }
      }
    }
  }
}

บันทึก:

คุณสามารถเรียก client.signOut() โดยไม่ต้องระบุ post sign-out redirect URI ก็ได้ กรณีนี้ไม่ต้องตั้งค่าใน Console: เบราว์เซอร์จะแสดงหน้าลงชื่อออกของ Logto และผู้ใช้จะกลับเข้าแอปโดยปิดเบราว์เซอร์เอง
หากไม่มี UI context ให้เรียก client.clearCredentials() เพื่อล้างข้อมูลรับรองในเครื่องและเพิกถอนโทเค็นรีเฟรช (refresh token) โปรดทราบว่าสิ่งนี้จะคง session ของ Logto ในเบราว์เซอร์ไว้ ดังนั้นการ signInWithBrowser ครั้งถัดไปอาจลงชื่อเข้าใช้ผู้ใช้อัตโนมัติผ่าน session เดิม

คุณสามารถใช้ client.signInWithBrowser(redirectUri:) เพื่อลงชื่อเข้าใช้ผู้ใช้ และ client.signOut() เพื่อออกจากระบบ

ตัวอย่างในแอป SwiftUI:

ContentView.swift
// โค้ดเหมือนเดิม ไม่ต้องแปล
struct ContentView: View {
  @State var isAuthenticated: Bool

  init() {
    isAuthenticated = client.isAuthenticated
  }

  var body: some View {
    VStack {
      if isAuthenticated {
        Button("Sign Out") {
          Task { [self] in
            await client.signOut()
            isAuthenticated = false
          }
        }
      } else {
        Button("Sign In") {
          Task { [self] in
            do {
              try await client.signInWithBrowser(redirectUri: "io.logto://callback")
              isAuthenticated = true
            } catch let error as LogtoClientErrors.SignIn {
              // error occurred during sign in
            } catch {
              // other errors
            }
          }
        }
      }
    }
  }
}

จุดตรวจสอบ: ทดสอบแอปพลิเคชันของคุณ

ตอนนี้คุณสามารถทดสอบแอปพลิเคชันของคุณได้แล้ว:

รันแอปพลิเคชันของคุณ คุณจะเห็นปุ่มลงชื่อเข้าใช้
คลิกปุ่มลงชื่อเข้าใช้ SDK จะเริ่มกระบวนการลงชื่อเข้าใช้และเปลี่ยนเส้นทางคุณไปยังหน้าลงชื่อเข้าใช้ของ Logto
หลังจากที่คุณลงชื่อเข้าใช้แล้ว คุณจะถูกเปลี่ยนเส้นทางกลับไปยังแอปพลิเคชันของคุณและเห็นปุ่มลงชื่อออก
คลิกปุ่มลงชื่อออกเพื่อเคลียร์ที่เก็บโทเค็นและออกจากระบบ

เพิ่มตัวเชื่อมต่อ Microsoft Entra ID SAML enterprise SSO

เพื่อให้ง่ายต่อการจัดการการเข้าถึงและได้รับการปกป้องในระดับองค์กรสำหรับลูกค้ารายใหญ่ของคุณ เชื่อมต่อกับ iOS (Swift) ในฐานะผู้ให้บริการข้อมูลระบุตัวตนแบบเฟเดอเรต (federated identity provider) ตัวเชื่อมต่อ Logto Enterprise SSO ช่วยให้คุณสร้างการเชื่อมต่อนี้ได้ภายในไม่กี่นาทีโดยการกรอกพารามิเตอร์เพียงไม่กี่รายการ

ในการเพิ่มตัวเชื่อมต่อ Enterprise SSO ให้ทำตามขั้นตอนดังนี้:

ไปที่ Logto console > Enterprise SSO

คลิกปุ่ม "Add enterprise connector" และเลือกประเภทผู้ให้บริการ SSO ของคุณ เลือกจากตัวเชื่อมต่อสำเร็จรูปสำหรับ Microsoft Entra ID (Azure AD), Google Workspace, และ Okta หรือสร้างการเชื่อมต่อ SSO แบบกำหนดเองโดยใช้มาตรฐาน OpenID Connect (OIDC) หรือ SAML
กำหนดชื่อที่ไม่ซ้ำกัน (เช่น SSO sign-in for Acme Company)

ตั้งค่าการเชื่อมต่อกับ IdP ของคุณในแท็บ "Connection" ดูคู่มือด้านบนสำหรับแต่ละประเภทตัวเชื่อมต่อ

ปรับแต่งประสบการณ์ SSO และ โดเมนอีเมล ขององค์กรในแท็บ "Experience" ผู้ใช้ที่ลงชื่อเข้าใช้ด้วยโดเมนอีเมลที่เปิดใช้ SSO จะถูกเปลี่ยนเส้นทางไปยังการยืนยันตัวตน SSO

บันทึกการเปลี่ยนแปลง

ตั้งค่า Azure AD SSO application

ขั้นตอนที่ 1: สร้างแอปพลิเคชัน Azure AD SSO

เริ่มต้นการผสานรวม Azure AD SSO โดยการสร้างแอปพลิเคชัน SSO ในฝั่ง Azure AD

ไปที่ Azure portal และลงชื่อเข้าใช้ในฐานะผู้ดูแลระบบ
เลือกบริการ Microsoft Entra ID
ไปที่ Enterprise applications โดยใช้เมนูด้านข้าง คลิก New application และเลือก Create your own application

กรอกชื่อแอปพลิเคชันและเลือก Integrate any other application you don't find in the gallery (Non-gallery)
เลือก Setup single sign-on > SAML

ทำตามคำแนะนำ โดยในขั้นตอนแรก คุณจะต้องกรอกการตั้งค่า SAML พื้นฐานโดยใช้ข้อมูลต่อไปนี้ที่ได้รับจาก Logto

Audience URI (SP Entity ID): ใช้เป็นตัวระบุที่ไม่ซ้ำกันทั่วโลกสำหรับบริการ Logto ของคุณ ทำหน้าที่เป็น EntityId สำหรับ SP ระหว่างคำขอการยืนยันตัวตน (Authentication request) ไปยัง IdP ตัวระบุตัวนี้มีความสำคัญต่อการแลกเปลี่ยนข้อมูล SAML assertion และข้อมูลที่เกี่ยวข้องกับการยืนยันตัวตนอื่น ๆ อย่างปลอดภัยระหว่าง IdP และ Logto
ACS URL: Assertion Consumer Service (ACS) URL คือที่อยู่ที่ SAML assertion จะถูกส่งมาด้วยคำขอแบบ POST URL นี้ถูกใช้โดย IdP เพื่อส่ง SAML assertion ไปยัง Logto โดยทำหน้าที่เป็น callback URL ที่ Logto คาดว่าจะได้รับและประมวลผล SAML response ที่มีข้อมูลตัวตนของผู้ใช้

คลิก Save เพื่อดำเนินการต่อ

ขั้นตอนที่ 2: ตั้งค่า SAML SSO ที่ Logto

เพื่อให้การเชื่อมต่อ SAML SSO ทำงานได้ คุณจะต้องนำข้อมูลเมตาของผู้ให้บริการข้อมูลระบุตัวตน (IdP) ส่งกลับไปยัง Logto มาสลับกลับมาที่ฝั่ง Logto และไปที่แท็บ Connection ของตัวเชื่อมต่อ Azure AD SSO ของคุณ

Logto มีวิธีการตั้งค่าข้อมูลเมตาของ IdP ให้เลือก 3 วิธี วิธีที่ง่ายที่สุดคือการระบุ metadata URL ของแอป Azure AD SSO

คัดลอก App Federation Metadata Url จากส่วน SAML Certificates ของแอป Azure AD SSO ของคุณ แล้ววางลงในช่อง Metadata URL ใน Logto

Logto จะดึงข้อมูลเมตาจาก URL ดังกล่าวและตั้งค่าการเชื่อมต่อ SAML SSO ให้อัตโนมัติ

ขั้นตอนที่ 3: กำหนดการแมปแอตทริบิวต์ของผู้ใช้

Logto มีวิธีที่ยืดหยุ่นในการแมปแอตทริบิวต์ของผู้ใช้ที่ได้รับจากผู้ให้บริการข้อมูลระบุตัวตน (IdP) ไปยังแอตทริบิวต์ของผู้ใช้ใน Logto โดย Logto จะซิงค์แอตทริบิวต์ของผู้ใช้ต่อไปนี้จาก IdP โดยอัตโนมัติ:

id: ตัวระบุที่ไม่ซ้ำของผู้ใช้ Logto จะอ่านการอ้างสิทธิ์ (nameID) จาก SAML response เป็นรหัส SSO identity ของผู้ใช้
email: ที่อยู่อีเมลของผู้ใช้ Logto จะอ่านการอ้างสิทธิ์ (email) จาก SAML response เป็นอีเมลหลักของผู้ใช้โดยค่าเริ่มต้น
name: ชื่อของผู้ใช้

คุณสามารถจัดการตรรกะการแมปแอตทริบิวต์ของผู้ใช้ได้ทั้งฝั่ง Azure AD หรือฝั่ง Logto

แมปแอตทริบิวต์ของผู้ใช้ AzureAD ไปยังแอตทริบิวต์ของผู้ใช้ Logto ที่ฝั่ง Logto

ไปที่ส่วน Attributes & Claims ของแอป Azure AD SSO ของคุณ

คัดลอกชื่อแอตทริบิวต์ต่อไปนี้ (พร้อมคำนำหน้า namespace) แล้ววางลงในช่องที่เกี่ยวข้องใน Logto
- http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
- http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (คำแนะนำ: อัปเดตการแมปค่านี้เป็น user.displayname เพื่อประสบการณ์ผู้ใช้ที่ดียิ่งขึ้น)

แมปแอตทริบิวต์ของผู้ใช้ AzureAD ไปยังแอตทริบิวต์ของผู้ใช้ Logto ที่ฝั่ง AzureAD

ไปที่ส่วน Attributes & Claims ของแอป Azure AD SSO ของคุณ

คลิก Edit และอัปเดตช่อง Additional claims ตามการตั้งค่าแอตทริบิวต์ของผู้ใช้ Logto:
- อัปเดตค่าชื่อการอ้างสิทธิ์ตามการตั้งค่าแอตทริบิวต์ของผู้ใช้ Logto
- ลบคำนำหน้า namespace ออก
- คลิก Save เพื่อดำเนินการต่อ
ควรได้การตั้งค่าดังนี้:

คุณยังสามารถระบุแอตทริบิวต์ของผู้ใช้เพิ่มเติมที่ฝั่ง Azure AD ได้ Logto จะเก็บบันทึกแอตทริบิวต์ของผู้ใช้ต้นฉบับที่ได้รับจาก IdP ไว้ในฟิลด์ sso_identity ของผู้ใช้

ขั้นตอนที่ 4: กำหนดผู้ใช้ให้กับแอป Azure AD SSO

ไปที่ส่วน Users and groups ของแอปพลิเคชัน Azure AD SSO ของคุณ คลิกที่ Add user/group เพื่อกำหนดผู้ใช้ให้กับแอปพลิเคชัน Azure AD SSO เฉพาะผู้ใช้ที่ถูกกำหนดให้กับแอปพลิเคชัน Azure AD SSO ของคุณเท่านั้นที่จะสามารถยืนยันตัวตนผ่านตัวเชื่อมต่อ Azure AD SSO ได้

ขั้นตอนที่ 5: กำหนดโดเมนอีเมลและเปิดใช้งานตัวเชื่อมต่อ SSO

ระบุ email domains ขององค์กรของคุณในแท็บ SSO experience ของตัวเชื่อมต่อ Logto การดำเนินการนี้จะเปิดใช้งานตัวเชื่อมต่อ SSO เป็นวิธีการยืนยันตัวตนสำหรับผู้ใช้เหล่านั้น

ผู้ใช้ที่มีที่อยู่อีเมลในโดเมนที่ระบุจะถูกเปลี่ยนเส้นทางให้ใช้ตัวเชื่อมต่อ SAML SSO เป็นวิธีการยืนยันตัวตนเพียงวิธีเดียว

โปรดตรวจสอบ เอกสารทางการของ Azure AD สำหรับรายละเอียดเพิ่มเติมเกี่ยวกับการเชื่อมต่อ Azure AD SSO

ตัวเลือกเพิ่มเติม: บังคับใช้คำขอการยืนยันตัวตนแบบลงนาม

Microsoft Entra ID สามารถกำหนดให้ต้องมีการลงนามในคำขอการยืนยันตัวตน SAML (SAML authentication request) หากต้องการใช้งานร่วมกับ Logto ให้ดำเนินการตามลำดับนี้เพื่อหลีกเลี่ยงปัญหาการลงชื่อเข้าใช้:

ในแท็บ Connection ของตัวเชื่อมต่อ (Connector) Logto ให้คลิก Generate new key ใต้ Request signing certificate และดาวน์โหลดใบรับรอง (certificate) ของคีย์ที่ใช้งานอยู่
ในการตั้งค่า single sign-on ของแอป Entra ID ให้อัปโหลดใบรับรองดังกล่าวในส่วน Verification certificates ดูรายละเอียดที่ Enforce signed SAML authentication requests
กลับมาที่ Logto ให้เปิดใช้งาน Sign authentication request บนตัวเชื่อมต่อ (Connector) แล้วบันทึก
ที่ Entra ID ให้เลือก Require verification certificates จากนั้นทดสอบขั้นตอนการลงชื่อเข้าใช้

Entra ID จะตรวจสอบเฉพาะคำขอที่ลงนามด้วย RSA-SHA256 (อัลกอริทึมเริ่มต้นของ Logto) และบังคับใช้เฉพาะคำขอการลงชื่อเข้าใช้ที่เริ่มต้นโดย SP เท่านั้น สำหรับขั้นตอนการตั้งค่าทั้งหมดและการหมุนเวียนใบรับรอง ดูที่ Sign the SAML authentication request

บันทึกการตั้งค่าของคุณ

โปรดตรวจสอบให้แน่ใจว่าคุณได้กรอกค่าที่จำเป็นในพื้นที่การตั้งค่าตัวเชื่อมต่อ Logto เรียบร้อยแล้ว คลิก "บันทึกและเสร็จสิ้น" (หรือ "บันทึกการเปลี่ยนแปลง") และตัวเชื่อมต่อ Microsoft Entra ID SAML enterprise SSO ควรพร้อมใช้งานแล้ว

คุณไม่จำเป็นต้องตั้งค่าตัวเชื่อมต่อองค์กร (enterprise connectors) ทีละตัว Logto ช่วยให้การผสานรวม SSO เข้ากับแอปพลิเคชันของคุณง่ายขึ้นเพียงคลิกเดียว

ไปที่: Console > ประสบการณ์การลงชื่อเข้าใช้ > การสมัครและลงชื่อเข้าใช้
เปิดใช้งานสวิตช์ "SSO สำหรับองค์กร (Enterprise SSO)"
บันทึกการเปลี่ยนแปลง

เมื่อเปิดใช้งานแล้ว จะมีปุ่ม "การลงชื่อเข้าใช้ครั้งเดียว (Single Sign-On)" ปรากฏในหน้าลงชื่อเข้าใช้ของคุณ ผู้ใช้ระดับองค์กรที่มีโดเมนอีเมลที่เปิดใช้งาน SSO สามารถเข้าถึงบริการของคุณผ่านผู้ให้บริการข้อมูลระบุตัวตน (IdPs) ขององค์กรตนเอง

ตรวจจับการลงชื่อเข้าใช้ SSO อัตโนมัติผ่านโดเมนอีเมล

ไปยังหน้าลงชื่อเข้าใช้ SSO ด้วยการคลิกปุ่มลิงก์ด้วยตนเอง

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับประสบการณ์ผู้ใช้ SSO รวมถึง SSO ที่เริ่มต้นโดย SP และ SSO ที่เริ่มต้นโดย IdP โปรดดูที่ User flows: SSO สำหรับองค์กร (Enterprise SSO)

การทดสอบและการตรวจสอบความถูกต้อง

กลับไปที่แอป iOS (Swift) ของคุณ ตอนนี้คุณควรจะสามารถลงชื่อเข้าใช้ด้วย Microsoft Entra ID SAML enterprise SSO ได้แล้ว ขอให้สนุก!

อ่านเพิ่มเติม

กระบวนการสำหรับผู้ใช้ปลายทาง: Logto มีโฟลว์การยืนยันตัวตนสำเร็จรูปพร้อมใช้งาน รวมถึง MFA และ Enterprise SSO พร้อม API อันทรงพลังสำหรับการปรับแต่งการตั้งค่าบัญชี การตรวจสอบความปลอดภัย และประสบการณ์แบบหลายผู้เช่า (multi-tenant) ได้อย่างยืดหยุ่น

การอนุญาต (Authorization): การอนุญาต (Authorization) กำหนดว่าผู้ใช้สามารถทำอะไรหรือเข้าถึงทรัพยากรใดได้บ้างหลังจากได้รับการยืนยันตัวตนแล้ว สำรวจวิธีปกป้อง API ของคุณสำหรับแอปเนทีฟและแอปหน้าเดียว (SPA) และการใช้งานการควบคุมการเข้าถึงตามบทบาท (RBAC)

องค์กร (Organizations): ฟีเจอร์องค์กรมีประสิทธิภาพอย่างยิ่งใน SaaS แบบหลายผู้เช่าและแอป B2B โดยช่วยให้สร้างผู้เช่า จัดการสมาชิก RBAC ระดับองค์กร และ Just-in-Time Provisioning ได้

ชุดบทความ Customer IAM: บทความต่อเนื่องเกี่ยวกับการจัดการข้อมูลระบุตัวตนและการเข้าถึงของลูกค้า (Customer IAM) ตั้งแต่ระดับพื้นฐาน 101 ไปจนถึงหัวข้อขั้นสูงและอื่น ๆ

สร้างแอปพลิเคชันใน Logto​

ผสานรวม iOS (Swift) กับ Logto​

เพิ่ม Logto SDK เป็น dependency​

Carthage​

CocoaPods​

เริ่มต้น LogtoClient​

ลงชื่อเข้าใช้​

เกี่ยวกับการลงชื่อเข้าใช้แบบเปลี่ยนเส้นทาง (redirect-based sign-in)​

กำหนดค่า redirect URI​

ใช้ Universal Links แทน custom scheme ได้ไหม?​

การลงชื่อเข้าใช้และออกจากระบบ​

จุดตรวจสอบ: ทดสอบแอปพลิเคชันของคุณ​

เพิ่มตัวเชื่อมต่อ Microsoft Entra ID SAML enterprise SSO​

ตั้งค่า Azure AD SSO application​

ขั้นตอนที่ 1: สร้างแอปพลิเคชัน Azure AD SSO​

ขั้นตอนที่ 2: ตั้งค่า SAML SSO ที่ Logto​

ขั้นตอนที่ 3: กำหนดการแมปแอตทริบิวต์ของผู้ใช้​

ขั้นตอนที่ 4: กำหนดผู้ใช้ให้กับแอป Azure AD SSO​

ขั้นตอนที่ 5: กำหนดโดเมนอีเมลและเปิดใช้งานตัวเชื่อมต่อ SSO​

ตัวเลือกเพิ่มเติม: บังคับใช้คำขอการยืนยันตัวตนแบบลงนาม​

บันทึกการตั้งค่าของคุณ​

เปิดใช้งานตัวเชื่อมต่อ Microsoft Entra ID SAML enterprise SSO ในประสบการณ์การลงชื่อเข้าใช้​

การทดสอบและการตรวจสอบความถูกต้อง​

อ่านเพิ่มเติม​

สร้างแอปพลิเคชันใน Logto

ผสานรวม iOS (Swift) กับ Logto

เพิ่ม Logto SDK เป็น dependency

Carthage

CocoaPods

เริ่มต้น LogtoClient

ลงชื่อเข้าใช้

เกี่ยวกับการลงชื่อเข้าใช้แบบเปลี่ยนเส้นทาง (redirect-based sign-in)

กำหนดค่า redirect URI

ใช้ Universal Links แทน custom scheme ได้ไหม?

การลงชื่อเข้าใช้และออกจากระบบ

จุดตรวจสอบ: ทดสอบแอปพลิเคชันของคุณ

เพิ่มตัวเชื่อมต่อ Microsoft Entra ID SAML enterprise SSO

ตั้งค่า Azure AD SSO application

ขั้นตอนที่ 1: สร้างแอปพลิเคชัน Azure AD SSO

ขั้นตอนที่ 2: ตั้งค่า SAML SSO ที่ Logto

ขั้นตอนที่ 3: กำหนดการแมปแอตทริบิวต์ของผู้ใช้

ขั้นตอนที่ 4: กำหนดผู้ใช้ให้กับแอป Azure AD SSO

ขั้นตอนที่ 5: กำหนดโดเมนอีเมลและเปิดใช้งานตัวเชื่อมต่อ SSO

ตัวเลือกเพิ่มเติม: บังคับใช้คำขอการยืนยันตัวตนแบบลงนาม

บันทึกการตั้งค่าของคุณ

เปิดใช้งานตัวเชื่อมต่อ Microsoft Entra ID SAML enterprise SSO ในประสบการณ์การลงชื่อเข้าใช้

การทดสอบและการตรวจสอบความถูกต้อง

อ่านเพิ่มเติม