操作场景
Azure Active Directory （Azure AD） 是 Microsoft 推出的基于云的标识和访问管理服务，可帮助员工管理内外部资源。腾讯云支持基于 SAML 2.0（安全断言标记语言 2.0）的联合身份验证，SAML 2.0 是许多身份验证提供商（Identity Provider， IdP）使用的一种开放标准。您可以通过基于 SAML 2.0 联合身份验证将 Azure Active Directory 与腾讯云进行集成，从而实现 Azure AD 账户自动登录（单一登录）腾讯云控制台管理腾讯云的资源，不必为企业或组织中的每一个成员都创建一个 CAM 子用户。
操作步骤
创建 Azure AD 企业应用程序
说明
1. 进入 Azure AD 门户页，单击左侧导航栏中 Azure Active Directory。如下图所示：
2. 单击企业应用程序，选择所有应用程序。如下图所示：
3. 单击创建你自己的应用程序打开“创建你自己的应用程序”窗口，选择**集成未在库中找到的任何其他应用程序(非库)**。如下图所示：
4. 填写名称，单击添加，即可完成 Azure AD 应用程序的创建。如下图所示：
配置 CAM
说明
您可以通过本步骤配置 Azure AD 和腾讯云之间的信任关系使之相互信任。
1. 在左侧导航栏中，选择 Azure Active Directory>企业应用程序> 您创建的应用程序 ，进入应用程序概览页面。
2. 单击单一登录，打开“选择单一登录方法”页面。
3. 在打开的“选择单一登录方法”页面，选择 SAML。如下图所示：
4. 在 “SAML 单一登录”的预览页面，下载SAML签名证书中的联合元数据 XML文件。如下图所示：
配置 Azure AD 的单一登录
说明
您可以通过本步骤将 Azure AD 应用程序属性映射到腾讯云的属性，建立 Azure AD 应用程序和腾讯云的互信关系。
1. 在 “SAML 单一登录”概览界面，单击“基本 SAML 配置”右上角的
2. 在“基本 SAML 配置”编辑页面填写以下信息，并单击保存。如下图所示：
所在站点 | 标识符（实体 ID） | 回复 URL（断言使用者服务 URL） |
中国站 | cloud.tencent.com | |
国际站 | intl.cloud.tencent.com |
说明
回复 URL（断言使用者服务 URL）为跳转的腾讯云页面，如您需要指定其他页面，可使用https://cloud.tencent.com/login/saml?s_url=xxxx 形式指定，其中 xxxx 为需要指定的地址，需要做 urlencode。
3. 在 “SAML 单一登录”概览界面，单击“属性和索赔”右上角的
4. 在“属性和索赔”编辑页面，单击添加新的声明，进入“管理声明”页面。如下图所示：
5. 在“管理用户声明”页面，增加以下两条声明，并单击保存。
名称 | 命名空间 | 源 | 源属性 |
Role | https://cloud.tencent.com/SAML/Attributes | 属性 | qcs::cam::uin/{AccountID}:roleName/{RoleName},qcs::cam::uin/{AccountID}:saml-provider/{ProviderName} |
RoleSessionName | https://cloud.tencent.com/SAML/Attributes | 属性 | Azure |
说明
在 Role 源属性中 {AccountID}，{RoleName} ，{ProviderName} 分别替换内容下：
{AccountID} 替换为您的腾讯云账户 ID，可前往 账号信息 - 控制台 查看。
{RoleName} 替换您在腾讯云为身份提供商所创建的角色名称（单击查看如何在腾讯云 为身份提供商创建的角色），角色名称可前往 角色 - 控制台 查看，如需要添加更多可按照该格式添加：qcs::cam::uin/{AccountID}:roleName/{RoleName} ，以 ; 隔开。
{ProviderName} 替换您在腾讯云创建的 SAML 身份提供商名称，可前往 身份提供商 - 控制台 查看。
配置 Azure AD 用户
说明
您可以通过本步骤分配用户访问权限，向 Azure AD 用户分配腾讯云的 SSO 访问权限。
1. 单击左侧导航栏 Azure Active Directory，单击用户 > 所有用户。
2.
单击左上角
+新用户 > 新建用户，在“用户”页面填写姓名、用户名，勾选显示密码，信息无误后单击下方创建完成创建。说明
用户名格式为：用户名@域名。您可以自定义用户名，域名可以单击左侧导航栏 Azure Active Directory，打开概述页，查看您之前设置的初始域名。您可以复制保存用户名、密码留用。
3. 在左侧导航栏中，选择 Azure Active Directory>企业应用程序> 您创建的应用程序，进入应用程序概览页面，并单击用户和组。如下图所示：
4. 单击添加用户/组，选择 步骤2 您创建的用户，单击选择。
5. 跳转到“添加分配”页面，确认后单击分配。如下图所示：
6. 在左侧导航栏中，选择 Azure Active Directory>企业应用程序> 您创建的应用程序 ，进入应用程序概览页面。
7. 单击单一登录，打开 “SAML 单一登录”概览界面，单击测试。如下图所示：
8. 在“测试单一登录”界面，选择以其他用户的身份登录。
9. 输入 步骤2 保存的用户名、密码，登录腾讯云控制台。