使用 Active Directory 同盟服務 (AD FS) 作為身分識別提供者 (IdP) 部署任何 Web 應用程式的條件式存取應用程式控制

在 Salesforce 中，瀏覽至「設定>設定>」、「身分識別>單一 Sign-On 設定」。
在 單一登入設定 下，按一下您現有 AD FS 組態的名稱。
在 [SAML 單一登入設定] 頁面上，記下 Salesforce 登入 URL。您稍後在設定 Defender for Cloud Apps 時需要這項功能。

注意事項

如果您的應用程式提供 SAML 憑證，請下載憑證檔案。

步驟 2：使用您應用程式的 SAML 資訊來設定 Defender for Cloud Apps

請依照以下步驟在 Defender for Cloud Apps 中新增該應用程式，並輸入其 SAML 細節。

在 Microsoft Defender 入口網站中，選取 [設定]。然後選擇 [雲端應用程式]。
在 [連線的應用程式] 底下，選取 [條件式存取應用程式控制應用程式]。
選取 [+新增]，然後在快顯視窗中選取您要部署的應用程式，然後選取 [啟動精靈]。
在 「應用程式資訊 」頁面上，選取 「手動填入資料」，在 「宣告」消費者服務 URL 中輸入您先前記下的 Salesforce 登入 URL ，然後按一下 「下一步」。

注意事項

如果您的應用程式提供 SAML 憑證，請選取 [ 使用 <app_name> SAML 憑證 ]，然後上傳憑證檔案。

注意事項

為了將終端使用者停機時間降至最低，並保留您目前已知可正常運作的組態，我們建議您建立新的 信賴方信任 和 單一登入組態。如果無法做到這一點，請跳過相關步驟。例如，如果您要設定的應用程式不支援建立多個 單一 Sign-On 組態，請略過建立新的單一登入步驟。

在 AD FS 管理 主控台的 [ 信賴憑證者信任] 底下，檢視應用程式現有信賴憑證者信任的屬性，並記下設定。
在 [動作] 底下，按一下 [新增信賴憑證者信任]。除了必須是唯一名稱的 識別碼 值之外，請使用您先前記下的設定來設定新的信任。稍後在設定適用於雲端的 Defender 應用程式時會需要此信任。
開啟同盟中繼資料檔案，並記下 AD FS SingleSignOnService 位置。你以後會需要這個。

注意事項

您可以使用下列端點來存取同盟中繼資料檔案： https://<Your_Domain>/federationmetadata/2007-06/federationmetadata.xml
下載身分識別提供者的簽署憑證。你以後會需要這個。
1. 在 [服務>憑證] 底下，以滑鼠右鍵按一下 AD FS 簽署憑證，然後選取 [檢視憑證]。
2. 在憑證的詳細資料索引標籤上，按一下 複製到檔案 ，然後遵循憑證 匯出精靈 中的步驟，將憑證匯出為 Base-64 編碼的 X.509 (。CER) 檔案。
回到 Salesforce，在現有的 AD FS 單一登入設定頁面上，記下所有設定。
建立新的 SAML 單一登入設定。除了必須與信賴憑證者信任識別碼相符的實體識別碼值以外，請使用您先前記下的設定來設定單一登入。您稍後在設定 Defender for Cloud Apps 時需要這項功能。

利用你收集的 AD FS 值，在 Defender for Cloud Apps 中完成身份提供者設定。

返回Defender for Cloud Apps IDENTITY PROVIDER 頁面，按一下 Next 以繼續。
在 身份提供者 詳細頁面，選擇 手動填寫資料，執行以下操作，然後點擊 「下一步」。
- 對於單一 登入服務的網址，請輸入您在第 3 步中聯邦元資料檔中提到的 AD FS SingleSignOnService 位置 。
- 選取 [上傳身分識別提供者的 SAML 憑證 ]，然後上傳您稍早下載的憑證檔案。
在 外部設定 頁面，記下以下資訊，然後點擊 「下一步」。在設定 AD FS 信任度和更新應用程式時，你需要單一登入 URL 以及屬性和數值。
- Defender for Cloud Apps 單一登入 URL
- Defender for Cloud Apps 屬性和值
注意事項

如果您看到上傳身分識別提供者 Defender for Cloud Apps SAML 憑證的選項，請按一下連結以下載憑證檔案。你以後會需要這個。

請完成以下步驟，更新 AD FS 依賴方信任，並加入所需的理賠規則與憑證設定。

在 [編輯宣告發行原則 ] 對話方塊的 [ 發行轉換規則] 底下，使用下表中提供的資訊來完成建立自訂規則的步驟。

宣告規則名稱	自訂規則
McasSigningCert	`=> issue(type="McasSigningCert", value="<value>");`其中 `<value>` 是您稍早記下的 Defender for Cloud Apps 精靈中的 McasSigningCert 值
McasAppId	`=> issue(type="McasAppId", value="<value>");`是您稍早注意的 Defender for Cloud Apps 精靈中的 McasAppId 值

注意事項

除了您所設定的應用程式所需的任何宣告規則或屬性外，還需要加入這些規則。

回到 [ 信賴憑證者信任 ] 頁面，以滑鼠右鍵按一下您稍早建立的信賴憑證者信任，然後選取 [ 屬性]。
在 [端點] 索引標籤中，選取 [SAML 判斷提示取用者端點]，按一下 [編輯]，並將 [受信任的 URL] 替換為您稍早記下的 Defender for Cloud Apps 單一登入 URL，然後按一下 [確定]。
如果您下載了身分識別提供者的 Defender for Cloud Apps SAML 憑證，請在 [簽章] 索引標籤上，按一下 [新增並上傳憑證檔案]，然後按一下 [確定]。
儲存您的設定。