如何使用 Microsoft Entra ID 設定單一登入 (SSO)

概覽

本指南將協助您的 IT 管理員在 Microsoft Entra ID（前身為 Azure AD）與 ELSA School 之間設定單一登入 (SSO)。啟用 SSO 後，您的學生和教師可以使用現有的學校 Microsoft 帳號登入 ELSA School，無需另行設定獨立密碼。

---

開始之前

您需要提供的資訊

1. 您將用於 SSO 的電子郵件網域（例如：xyz@schooldomain.com）

您需要準備的事項

1. 您組織的 Microsoft Entra ID（Azure AD）入口網站的管理員存取權限

2. SSO 憑證（由 ELSA 提供），包含：

   • SP Entity ID（服務提供者實體 ID）

   • ACS URL（斷言消費者服務 URL）

---

步驟 1：在 Microsoft Entra ID 中建立 ELSA 應用程式

1. 登入您的 Microsoft Azure 入口網站

2. 前往企業應用程式：

   • 點擊「Microsoft Entra ID」（或「Azure Active Directory」）

   • 從左側選單選擇「企業應用程式」

   • 點擊「+ 新增應用程式」

     

3. 建立您自己的應用程式：

   • 點擊「建立您自己的應用程式」

   • 輸入應用程式名稱（例如：「ELSA School SSO」）

   • 選擇「整合您在資源庫中找不到的任何其他應用程式（非資源庫）」

   • 點擊「建立」

     

---

步驟 2：設定基於 SAML 的單一登入

1. 存取 SSO 設定：

   • 在您新建立的 ELSA 應用程式中，從左側選單點擊「單一登入」

   • 選擇「SAML」作為單一登入方法

     

2. 設定基本 SAML 組態：

   • 在「基本 SAML 組態」區段點擊「編輯」

   • 輸入 ELSA 提供的以下值：

     • 識別碼（實體 ID）： 輸入 ELSA 提供的 SP Entity ID

     • 回覆 URL（斷言消費者服務 URL）： 輸入 ELSA 提供的 ACS URL

       

   • 點擊「儲存」

---

步驟 3：設定使用者屬性與宣告

1. 編輯屬性與宣告：

   • 在「屬性與宣告」區段點擊「編輯」

     

2. 確認以下對應已正確設定：

   

   重要事項： 這些對應可確保 ELSA 收到正確的使用者資訊。若您因任何原因需要變更這些對應，請先聯絡 ELSA 支援團隊，因為變更可能影響使用者驗證。

   

---

步驟 4：將 SAML 中繼資料提供給 ELSA

完成 SAML 設定後，請從 SAML 組態中複製 SAML 憑證（應用程式同盟中繼資料 URL）（如圖所示），並將其傳送給 ELSA IT 團隊。

---

步驟 5：指派使用者和群組（待 ELSA 確認設定完成後）

ELSA 確認 SSO 已設定完成後：

1. 前往使用者和群組：

   • 在您的 ELSA 應用程式中，從左側選單點擊「使用者和群組」

     

   • 點擊「+ 新增使用者/群組」

     

2. 指派存取權限：

   • 在「未選取任何項目」下方點擊「使用者」（或「群組」）

   • 選取應可存取 ELSA 的使用者或群組

   • 點擊底部的「選取」

   • 點擊「指派」

     

3. 說明：

   • 只有已指派的使用者/群組才能使用 SSO 登入 ELSA

   • 未指派的使用者將無法在其 Microsoft 應用程式中看到 ELSA

   • 您可以隨時新增或移除使用者

---

測試您的 SSO 連線

1. 先將您自己指派為測試使用者

2. 若目前已登入 ELSA School，請先登出

3. 前往 ELSA School 登入頁面

4. 點擊「以 SSO 登入」

5. 輸入您的學校電子郵件地址

6. 確認您已被重新導向至 Microsoft 登入頁面

7. 確認您可以成功登入 ELSA

---

常見問題疑難排解

無法登入錯誤

可能原因：

• ELSA 尚未在我們端完成 SSO 設定

• 中繼資料 URL 尚未傳送給 ELSA

• SP Entity ID 或 ACS URL 輸入有誤

解決方案： 向 ELSA 確認設定已完成，並再次檢查步驟 2 中輸入的值。

---

使用者已指派但無法登入

可能原因：

• 使用者在 Azure AD 中的電子郵件與其在 ELSA 中的電子郵件不符

• 使用者屬性設定不正確

• 使用者的帳號在 ELSA 中未啟用

解決方案：

• 確認使用者的電子郵件在兩個系統中一致

• 檢查步驟 3 中的屬性對應是否正確

• 聯絡 ELSA 支援團隊以確認使用者帳號狀態

---

「屬性與宣告」區段顯示不同的對應

可能原因：

• 您的 Azure AD 可能含有自訂宣告設定

解決方案：

• 修改之前請先聯絡 ELSA 支援團隊

• 若有需要，我們可以配合您現有的屬性設定進行調整

---

常見問題 (FAQ)

問：我們可以同時使用 SSO 和一般電子郵件/密碼登入嗎？ 答：可以！SSO 是額外的登入選項，使用者仍可視需要使用電子郵件/密碼登入。

問：SSO 設定需要多長時間？ 答：Azure 設定需要 20 至 30 分鐘。ELSA 在收到您的中繼資料後，需要 1 至 2 個工作天完成設定。

問：我們需要先為使用者建立 ELSA 帳號嗎？ 答：是的，使用者必須先存在於 ELSA School 中，才能透過 SSO 登入。若有需要，請聯絡您的 CSM 了解批次上傳使用者的相關事宜。

問：SSO 可以同時用於學生和教師嗎？ 答：可以，只要使用者在您的目錄中擁有 Microsoft 帳號，任何使用者類型均可使用 SSO。

問：如果使用者的電子郵件地址變更了，該怎麼辦？ 答：請聯絡 ELSA 支援團隊，將 ELSA School 中的電子郵件更新為新的 Azure AD 電子郵件地址。