如何使用 Microsoft 为 Proton VPN 设置 SSO
- 阅读
- 1 分钟
- 类别
- Proton VPN for Business
我们的 Proton VPN for Business 套餐支持以抢先体验（公测版）功能的形式提供单点登录 (SSO)。在本文中，您将了解如何在 Proton VPN for Business 上使用 Microsoft 作为身份提供商 (IdP) 来设置 SSO。
如何使用 Microsoft 为 Proton VPN 设置 SSO
Proton VPN 目前支持使用 安全断言标记语言（新窗口） (SAML) 2.0 进行 SSO，这是一种基于 XML（新窗口） 的开放标准，用于在 IdP 和 SaaS 应用之间传输验证您身份的数据。
在开始之前，您需要准备以下内容：
- 一个具有 Proton VPN for Business 管理员权限（新窗口）的帐户
- 一个 Microsoft Entra（新窗口） 账户。
拥有 Microsoft 帐户后，您需要为 Proton VPN 对其进行配置。然后，您可以在 Proton VPN for Business 帐户上配置 SAML。在这篇支持文章中，我们将探讨：
- 如何在 Microsoft 上配置 Proton VPN
- 如何在您的 Proton VPN for Business 帐户上配置 SAML SSO
- 如何在 Microsoft 中添加 SSO 用户
- 如何使用 SSO 登录 Proton VPN
- 如何管理 Proton VPN 的 SSO
- 故障排除
如何在 Microsoft 上配置 Proton VPN
1. 使用 云应用程序管理员（新窗口）或更高级别的帐户登录 Microsoft Entra 管理中心（新窗口），然后转到应用程序 → 企业应用程序。
2. 点击创建自己的应用。
3. 为您的应用命名，选择集成您在库中未找到的任何其他应用（非库），然后点击创建。
4. 在应用概览标签页中，点击2. 设置单点登录。
5. 前往1. 基本 SAML 配置 → ✎ 编辑。
6. 前往以下位置：
- 标识符（实体 ID） → 添加标识符，然后输入：https://sso.proton.me/sp（新窗口）
- 回复 URL（断言使用者服务 URL） → 添加回复 URL，然后输入：https://sso.proton.me/auth/saml（新窗口）
完成后点击保存，然后点击 X 关闭基本 SAML 配置对话框。
7. 前往3. SAML 证书 → ✎ 编辑。
8. 前往签名选项，然后从下拉菜单中选择签署 SAML 响应和断言。
完成后点击保存，然后点击 X 关闭SAML 证书对话框。
9. 转到3. SAML 证书 → Federation Metadata XML → 下载，下载适用于您的应用的 XML 配置文件。您需要此文件才能在 Proton VPN for Business 帐户上设置 SAML SSO（见下文）。
如何在 Proton VPN for Business 账户上配置 SAML SSO
1. 在 account.protonvpn.com 登录您的 Proton VPN for Business 管理员帐户，然后转到 ⚙ → 单点登录 → SAML 身份验证 → 配置 SAML。
2. 添加您组织的域名，然后点击添加域名
3. 验证您的身份提供商的域名。为此，请登录您的域名提供商的门户网站，并输入此屏幕上显示的 DNS TXT 记录。
返回 account.protonvpn.com，点击继续。
4. 屏幕将显示 Microsoft 所需的端点。不过，我们已经输入了这些端点（参见“在 Google 上配置 Proton VPN”的步骤 4），因此只需点击继续。
5. 导入您在“在 Microsoft 上配置 Proton VPN”的 步骤 9（新窗口） 中从 Microsoft 下载的元数据文件。为此，请选择XML 文件，然后将 XML 文件拖到提供的字段中，或点击选择文件并使用系统的默认文件管理器找到该文件。
准备就绪后，点击完成。
现在，使用 Microsoft 的 SSO 应该已在您的 Proton VPN for Business 帐户上配置完成。点击查看详情以概览您的 SSO 设置。
如何在 Microsoft 中添加 SSO 用户
在您的用户能够使用 SSO 登录您的组织之前，您需要在 Microsoft 中添加他们。
1. 使用 云应用程序管理员（新窗口）或更高级别的帐户登录 Microsoft Entra 管理中心（新窗口），然后转到用户 → 所有用户标签页 → + 新建用户 → 创建新用户。
2. 填写新用户的详细信息。请务必记下其密码，因为该用户需要此密码才能使用 SSO 登录 Proton VPN。完成后转到查看 + 创建 → 创建。根据需要重复此过程，以添加团队中的所有相关成员。
3. 转到应用程序 → 所有应用程序标签页 → 选择您的应用程序 → 概述标签页 → 开始使用 → 1. 分配用户和群组。
4. 点击 + 添加用户/群组。
5. 如果您已经设置了群组，请选择一个群组。如果没有，请点击用户和群组 → 未选择。
6. 选择您已添加到 Microsoft 且想要分配给 SSO 应用的用户。完成后点击选择。
7. 点击分配，将所选用户添加到您的应用中。
您分配的用户现在可以使用 SSO 登录 Proton VPN。
如何使用 SSO 登录 Proton VPN
1. 作为在 Microsoft 上配置了新 SSO 帐户的用户，请转到 account.proton.me/vpn。输入您的电子邮件地址（如在 Microsoft 上所配置的那样），然后点击继续。
2. 我们将检测到您使用的是 Microsoft SSO 密码，并自动将您引导至 Microsoft 登录页面。输入您的 Microsoft SSO 密码（该密码将由您的管理员提供，或参见上文“如何在 Microsoft 中添加 SSO 用户”部分中的 步骤 2），然后点击登录。
如何管理 Proton VPN 的 SSO
您组织的用户现在可以使用他们创建的用户名和密码登录 Proton VPN 应用（见上文）。
要查看哪些用户可以执行此操作，请在 account.protonvpn.com 登录您的 Proton VPN for Business 管理员帐户，然后转到组织 → 所有用户。（注意：SSO 用户只有在至少登录一次后才会显示在此处。）
要管理对您的 Proton VPN 组织的访问，请登录您的身份提供方。
您可以使用想要管理其 SSO 访问权限的用户在 Edit 列中的下拉菜单来管理各个用户。
要为整个组织关闭 SSO，请前往单点登录 → 移除单点登录 → 不再使用单点登录。
请注意，此操作会删除与您的域名关联的所有配置和用户。因此，我们强烈建议不要为整个组织关闭 SSO。
故障排除
如果您看到以下消息，可以采取以下步骤来解决该问题：
单点登录配置中存在错误，请联系您的组织管理员。
- 确认您在 Proton VPN SAML 配置页面上上传的证书与 Microsoft IdP 提供的证书一致。
- 确认 Proton VPN SAML 配置页面上的 Single sign-on entity ID（单点登录实体 ID）与 Issuer（颁发者）相同。
超越 SSO：使用 SCIM 自动化用户管理
SSO 会在登录时验证用户身份，但不会将新更新同步到 Proton。当有成员离开组织、调换团队或失去管理员权限时，这些更新都必须手动完成，一旦遗漏，可能导致访问权限未被及时关闭。
SCIM（System for Cross-domain Identity Management，跨域身份管理系统）可让 Proton 与您的 IdP 保持持续同步，从而弥补这一缺口。用户变更会自动应用到 Proton 中，而创建 SCIM 群组则可让您一次性管理整个团队的访问权限。也就是说，如果您将某人添加到 IdP 中的某个群组，该用户将自动获得该群组在 Proton 中的相应访问权限（例如访问共享保险库、密码或 VPN 网关）；如果将其移除，相应访问权限会自动撤销。
要为您的组织设置 SCIM，请参阅：