在 Microsoft Entra ID 中配置 Salesforce 進行單一登入

在本文中，您將學習如何將 Salesforce 與 Microsoft Entra ID 整合。 當你將 Salesforce 與 Microsoft Entra ID 整合時，你可以：

  • 在 Microsoft Entra ID 中控制誰能存取 Salesforce。
  • 啟用使用者自動登入 Salesforce，使用他們的 Microsoft Entra 帳號。
  • 在一個集中式位置管理您的帳戶。

備註

更新日期：2026 年 7 月 24 日 - 自 2026 年 6 月 29 日起，Microsoft Entra ID 將自動在為使用 Microsoft 身分識別平台 v2.0 權杖的 SAML 2.0 和 OpenID Connect (OIDC) 應用程式所簽發的權杖中，納入驗證方法參考 (amr) 和驗證內容參考 (acr) 宣告。 如果你已經設定了帶有 Entra ID 的外部多重驗證供應商，且該供應商正在發送 AMR 訊號，那麼 Entra ID 會根據需要將該 AMR 訊號轉發給 Salesforce 或其他 3P 應用程式。 這些宣告提供有關使用者如何完成驗證，以及在登入期間所滿足的驗證情境的其他資訊。 Microsoft Entra ID 對於 Salesforce 單一登入不需要任何設定變更。 為協助滿足 Salesforce 管理員的抗網路釣魚 MFA 要求，以及單一登入 (SSO) 登入的裝置啟用變更，客戶應套用 Microsoft Entra 條件式存取原則，要求 Salesforce 管理員登入時使用可防範網路釣魚的驗證方法。

對於使用 AD FS 作為 Entra ID 聯邦提供者的客戶，請遵循 MFA 對 SAML 2.0 聯邦 IdP 的預期入站斷言指引，使 Entra ID 在 SAML 令牌中擁有此聲明。

如果您使用其他聯邦供應商，我們仍在先標準化 AMR 和 ACR 訊號，並會盡快提供更新。

必要條件

本文中所述的案例假設您已經具備下列必要條件：

  • 已啟用 Salesforce 單一登入 (SSO) 的訂用帳戶。

案例描述

在本文中，你將在測試環境中配置並測試 Microsoft Entra SSO。

  • Salesforce 支援 由 SP 發起 的 SSO。

  • Salesforce 支援 自動 使用者佈署和取消佈署（建議）。

  • Salesforce 支援 Just In Time 使用者布建。

  • Salesforce Mobile 應用程式現在可以設定 Microsoft Entra ID 來啟用 SSO。 在本文中，你將在測試環境中配置並測試 Microsoft Entra SSO。

要設定 Salesforce 整合到 Microsoft Entra ID，你需要將 Salesforce 從圖庫新增到 Managed SaaS 應用程式清單中。

  1. 請以至少雲端應用程式管理員的身份登入Microsoft Entra 管理中心。
  2. 瀏覽到 Entra ID>企業應用程式>新增應用程式。
  3. 在 [ 從資源庫新增 ] 區段的搜尋方塊中輸入 Salesforce 。
  4. 從結果面板選取 [Salesforce]，然後新增應用程式。 將應用程式新增至您的租戶時，請稍等幾秒鐘。

或者，您也可以使用 企業應用程式設定精靈。 在此精靈中，您可以將應用程式新增至租戶，將使用者或群組新增至應用程式，指派角色，以及完成 SSO 設定。 了解更多有關Microsoft 365助手。

配置與測試 Microsoft Entra SSO for Salesforce

使用名為 B.Simon 的測試使用者，測試並設定 Microsoft Entra 的 SSO 與 Salesforce。 若要讓單一登入正常運作，您必須在 Microsoft Entra 測試使用者 B.Simon 與 Salesforce 中對應的使用者帳戶之間建立連結。

要在 Salesforce 中配置並測試 Microsoft Entra SSO，請執行以下步驟：

  1. 配置 Microsoft Entra SSO - 以讓使用者使用此功能。
    • 建立 Microsoft Entra 測試使用者 - 使用 B.Simon 測試 Microsoft Entra 單一登入系統。
    • 指派Microsoft Entra測試使用者 - 以啟用 B.Simon 使用Microsoft Entra單一登入。
  2. 設定 Salesforce SSO - 在應用程式端設定單一登入設定。
    • Create Salesforce test user - 在 Salesforce 中建立一個測試使用者，該使用者對應於 B.Simon，並連結至 Microsoft Entra 中的使用者帳戶。
  3. 測試 SSO - 確認組態是否正常運作。

設定 Microsoft Entra 單一登入

請依照以下步驟啟用 Microsoft Entra SSO。

  1. 請以至少雲端應用程式管理員的身份登入Microsoft Entra 管理中心。

  2. 瀏覽到 Entra ID>企業應用程式>Salesforce>單一登錄。

  3. 在 [選取單一登入方法] 頁面上，選取 [SAML]。

  4. 在 [ 使用 SAML 設定單一登錄 ] 頁面上，選取 [基本 SAML 組態 ] 的編輯/手寫筆圖示以編輯設定。

    編輯基本 SAML 組態

  5. 在 [基本 SAML 組態] 區段上，輸入下列欄位的值：

    一。 在 [識別碼] 文字方塊中，使用下列模式將值輸入：

    企業帳戶： https://<subdomain>.my.salesforce.com

    開發人員帳戶： https://<subdomain>-dev-ed.my.salesforce.com

    b。 在 [回覆 URL] 文字方塊中，輸入使用下列模式的值：

    企業帳戶： https://<subdomain>.my.salesforce.com

    開發人員帳戶： https://<subdomain>-dev-ed.my.salesforce.com

    丙. 在 [登入 URL] 文字方塊中，以下列模式輸入值：

    企業帳戶： https://<subdomain>.my.salesforce.com

    開發人員帳戶： https://<subdomain>-dev-ed.my.salesforce.com

    備註

    這些值不是真實的。 請使用實際的「識別碼」、「回覆 URL」及「登入 URL」來更新這些值。 請 連絡 Salesforce 用戶端支援小組 以取得這些值。

  6. 在 [以 SAML 設定單一登入] 頁面上的 [SAML 簽署憑證] 區段中，尋找 [同盟中繼資料 XML]，然後選取 [下載]，以下載憑證並將其儲存在電腦上。

    憑證下載連結

  7. 在 [設定 Salesforce] 區段上，根據您的需求複製適當的 URL。

    複製組態 URL

建立並指派 Microsoft Entra 測試使用者

遵循 建立和指派用戶帳戶 快速入門中的指導方針，以建立名為 B.Simon 的測試用戶帳戶。

設定 Salesforce SSO

  1. 在不同的網頁瀏覽器視窗中，以系統管理員身分登入您的 up Salesforce 公司網站

  2. 在頁面右上角的 設定圖示 下選擇 設定。

    設定單一 Sign-On 設定圖示

  3. 向下捲動至瀏覽窗格中的 [ 設定 ]，選取 [ 身分識別 ] 以展開相關區段。 然後選取 單一 Sign-On 設定。

    設定單一 Sign-On 選項

  4. 在 [ 單一 Sign-On 設定 ] 頁面上，選取 [ 編輯] 按鈕。

    設定單一 Sign-On 編輯

    備註

    如果您無法為 Salesforce 帳戶啟用單一登入設定，您可能需要連絡 Salesforce 用戶端支援小組。

  5. 選取 [SAML 已啟用]，然後選取 [ 儲存]。

    設定已啟用單一 Sign-On SAML

  6. 若要設定 SAML 單一登入設定，請選擇「從元資料檔案新增」。

    從元數據檔案設定單一 Sign-On 新增

  7. 選取 [選擇檔案 ] 以上傳您已下載的元數據 XML 檔案，然後選取 [ 建立]。

    設定單一 Sign-On 選擇檔案

  8. 在 [SAML 單一登入設定] 頁面上，欄位會自動填入。如果您要使用 SAML JIT，請選取 [啟用使用者配置]，然後將 [SAML 身分識別類型] 選擇為 [斷言包含來自使用者物件的聯邦識別碼]。否則，請取消選取 [啟用使用者配置]，然後將 [SAML 身分識別類型] 選擇為 [斷言包含使用者的 Salesforce 使用者名稱]。 選取 [ 儲存]。

    設定已啟用單一 Sign-On 使用者布建

    備註

    如果你設定了 SAML JIT，必須在配置 Microsoft Entra SSO 區塊中加入所需的 SAML 標記屬性。 Salesforce 應用程式期望特定的 SAML 斷言，因此您的 SAML 權杖屬性配置中必須包含特定的屬性。 以下螢幕擷取畫面顯示 Salesforce 所需的屬性清單。

    顯示 [JIT 必要屬性] 窗格的螢幕快照。

    如果您仍然有使用 SAML JIT 布建用戶的問題，請參閱 Just-In-Time 布建需求和 SAML 判斷提示欄位。 一般來說，當 JIT 失敗時，您可能會看到錯誤，如 We can't log you in because of an issue with single sign-on. Contact your Salesforce admin for help.

  9. 在 Salesforce 的左側瀏覽窗格中，選取 [ 公司設定 ] 以展開相關區段，然後選取 [ 我的網域]。

    設定單一 Sign-On 我的網域

  10. 向下捲動至 [ 驗證組態 ] 區段，然後選取 [ 編輯] 按鈕。

    設定單一 Sign-On 驗證組態

  11. 在 [ 驗證組態 ] 區段中，檢查 [ 登入頁面 ] 和 [AzureSSO ] 作為 SAML SSO 組態的 [驗證服務 ]，然後選取 [ 儲存]。

    備註

    如果選取了一個以上的驗證服務，當使用者嘗試啟動單一登入到您的 Salesforce 環境時，將會提示使用者選取登入時想要使用的驗證服務。 如果您不想要發生，則應該 讓所有其他驗證服務保持未核取狀態。

建立 Salesforce 測試使用者

本節會在 Salesforce 中建立名為 B.Simon 的使用者。 Salesforce 支援預設啟用的即時佈建。 本節中沒有待辦事項。 如果 Salesforce 中還沒有該使用者，當您嘗試存取 Salesforce 時，就會建立新的使用者。 Salesforce 也支援自動使用者配置。 更多細節請參閱 「配置 Salesforce 自動使用者配置」。

測試 SSO

在本節中，您將透過以下選項測試您的 Microsoft Entra 單一登入設定。

  • 選取 [測試此應用程式]，此選項會重新導向至您可以在其中起始登入流程的 Salesforce 登入 URL。

  • 直接移至 Salesforce 登入 URL，然後從該處起始登入流程。

  • 你可以用Microsoft 我的應用程式。 當你在 我的應用程式 入口網站選擇 Salesforce 磁貼時，你應該會自動登入你設定 SSO 的 Salesforce。 欲了解更多關於我的應用程式入口網站的資訊，請參閱我的應用程式入口介紹。

測試 Salesforce 的 SSO (行動裝置)

請在 Salesforce 行動應用程式中執行以下步驟來測試單點登入（SSO）：

  1. 開啟 Salesforce 行動應用程式。 在登入頁面上，選取 [ 使用自定義網域]。

    Salesforce 行動應用程式使用自定義網域

  2. 在 [ 自定義網域 ] 文本框中，輸入您的已註冊自定義功能變數名稱，然後選取 [ 繼續]。

    Salesforce 行動應用程式自定義網域

  3. 輸入您的Microsoft Entra憑證登入 Salesforce 應用程式，並選擇 Next。

    Salesforce 行動應用程式 Microsoft Entra 認證

  4. 在如下圖所示的允許存取頁面上，選取允許以授與 Salesforce 應用程式的存取權。

    Salesforce 行動應用程式允許存取

  5. 最後，成功登入之後，會顯示應用程式首頁。

    Salesforce 行動應用程式首頁 Salesforce 行動應用程式

在 Salesforce 中發現現有使用者

在與 Microsoft Entra 整合之前，您的 Salesforce 帳號可能已經有一個或多個使用者。 利用帳號發現功能，你可以一鍵產生 Salesforce 中所有使用者的報告，辨識哪些使用者在 Entra 中有匹配的帳號，以及哪些使用者是 Salesforce 本地使用者。 了解更多請參閱 「如何使用帳戶發現來做應用程式配置」。 這讓您能簡化 Entra 的入門流程，同時定期監控未授權存取。

防止透過本機帳戶存取應用程式

驗證 SSO 是否可運作並在組織中推出之後，請使用 本機認證停用應用程式存取。 這可確保條件式存取原則、MFA 等已就緒，以保護 Salesforce 的登入。

相關內容

如果你擁有 Enterprise Mobility + Security E5 或其他 Microsoft Defender for Cloud Apps 授權，你可以收集該產品中應用程式活動的稽核軌跡，這可用於調查警示。 在 Defender for Cloud Apps 中，當使用者、管理員或登入活動不符合你的政策時，可以觸發警示。 透過連接Microsoft Defender for Cloud Apps到 Salesforce，Salesforce 登入事件會被Defender for Cloud Apps收集。

此外，可以強制執行工作階段控制項，從而即時防止組織的敏感性資料遭到外泄和滲透。 會話控制從條件式存取擴展而來。 學習如何用 Microsoft Defender for Cloud Apps 強制執行會話控制。

  • 上次更新時間：