无缝 SSO 可与 密码哈希同步 或 传递身份验证 登录方法结合使用。 但是，此功能不能用于 Active Directory 联合身份验证服务 (ADFS)。

无缝 SSO 是否为免费功能？

无缝 SSO 是一项免费功能，你不需要拥有任何付费版本的 Microsoft Entra ID 即可使用它。

能否在 Microsoft Azure 德国云和 Microsoft Azure 政府云中使用无缝 SSO？

无缝 SSO 可用于 Azure 政府云 。 有关详细信息，请查看 针对 Azure 政府的混合标识注意事项 。

哪些应用程序利用了无缝 SSO 的“domain_hint”或“login_hint”参数功能？

表包含一个列表，其中列出可将这些参数发送到 Microsoft Entra ID 的应用程序。 此操作使用无缝 SSO 为用户提供无提示登录体验。

应用程序名称 应用程序 URL

是的。 在 Microsoft Entra Connect 中进行配置时，无缝 SSO 支持将 Alternate ID 作为用户名，如 此处 所示。 并非所有 Microsoft 365 应用程序都支持 Alternate ID 。 有关支持声明，请参阅特定应用程序文档。

Microsoft Entra 联接和无缝 SSO 提供的单一登录体验有何不同？

如果用户的设备注册了 Microsoft Entra， Microsoft Entra ID 加入 会向用户提供 SSO。 这些设备不必已加入域。 使用主刷新令牌或 PRT（而非 Kerberos）提供 SSO。 用户体验在 Windows 10 设备上最佳。 在 Microsoft Edge 浏览器上，SSO 会自动实现。 也可在 Chrome 上实现，但需要使用浏览器扩展插件。

可在租户上使用 Microsoft Entra 联接和无缝 SSO。 这两种功能互补。 如果同时开启这两项功能，则来自 Microsoft Entra 联接的 SSO 优先于无缝 SSO。

我想要在 Microsoft Entra ID 中注册非 Windows 10 设备，但不使用 AD FS。 是否可以改为使用无缝 SSO？

可以，此方案需要版本 2.1 或更高版本的 工作区加入客户端 。

如何滚动更新“AZUREADSSO”计算机帐户的 Kerberos 解密密钥？

请务必在本地 AD 林中频繁滚动更新 AZUREADSSO 计算机帐户（代表 Microsoft Entra ID）的 Kerberos 解密密钥。

我们强烈建议每隔 30 天使用 Update-AzureADSSOForest cmdlet 滚动更新 Kerberos 解密密钥至少一次 。 使用 Update-AzureADSSOForest cmdlet 时，请确保不要针对每个林多次运行 Update-AzureADSSOForest 命令。 否则，在用户的 Kerberos 票证过期并由本地 Active Directory 再次发布之前，此功能将停止运行。

在运行 Microsoft Entra Connect 的本地服务器上执行以下步骤：

需有域管理员和混合标识管理员凭据才能执行这些步骤。 如果你不是域管理员，而是由域管理员分配了权限，则应调用 Update-AzureADSSOForest -OnPremCredentials $creds -PreserveCustomPermissionsOnDesktopSsoAccount

步骤 1. 获取已在其中启用无缝 SSO 的 AD 林的列表

首先，下载并安装 Azure AD PowerShell 。

导航到 $env:programfiles"\Microsoft Azure Active Directory Connect" 文件夹。

使用以下命令导入无缝 SSO PowerShell 模块： Import-Module .\AzureADSSO.psd1 。

以管理员身份运行 PowerShell。 在 PowerShell 中，调用 New-AzureADSSOAuthenticationContext 。 运行此命令时会出现一个弹出窗口，用于输入租户的混合标识管理员凭据。

调用 Get-AzureADSSOStatus | ConvertFrom-Json 。 此命令会提供已在其中启用此功能的 AD 林的列表（查看“域”列表）。

步骤 2. 在设置 Kerberos 解密密钥的每个 AD 林上更新此密钥

调用 $creds = Get-Credential 。 出现提示时，输入目标 AD 林的域管理员凭据。

必须以 SAM 帐户名称格式（contoso\johndoe 或 contoso.com\johndoe）输入域管理员凭据用户名。 我们使用用户名的域部分查找使用 DNS 的域管理员的域控制器。

使用的域管理员帐户不得是受保护用户组的成员。 如果是这样，则操作会失败。

调用 Update-AzureADSSOForest -OnPremCredentials $creds 。 此命令会在此特定 AD 林中更新 AZUREADSSO 计算机帐户的 Kerberos 解密密钥，并在 Microsoft Entra ID 中对其进行更新。

针对已设置了此功能的每个 AD 林重复上述步骤。

如果要更新 Microsoft Entra Connect 林以外的林，请确保与全局编录服务器（TCP 3268 和 TCP 3269）的连接可用。

以暂存模式运行 Microsoft Entra Connect 的服务器上无需完成此操作。

如何禁用无缝 SSO？

步骤 1. 在租户上禁用此功能

选项 A：使用 Microsoft Entra Connect 禁用

运行 Microsoft Entra Connect，选择“更改用户登录页”，然后单击“下一步”。

取消选中“启用单一登录”选项。 在向导中继续操作。

完成向导后，将在租户中禁用无缝 SSO。 但是，屏幕上会显示以下消息：

“单一登录现已禁用，但可执行其他手动步骤以完成清理。 了解详细信息

要完成清理过程，请在运行 Microsoft Entra Connect 的本地服务器上执行步骤 2 和 3。

选项 B：使用 PowerShell 进行禁用

在运行 Microsoft Entra Connect 的本地服务器上运行以下步骤：

首先，下载并安装 Azure AD PowerShell 。

导航到 $env:ProgramFiles"\Microsoft Azure Active Directory Connect" 文件夹。

使用以下命令导入无缝 SSO PowerShell 模块： Import-Module .\AzureADSSO.psd1 。

以管理员身份运行 PowerShell。 在 PowerShell 中，调用 New-AzureADSSOAuthenticationContext 。 运行此命令时会出现一个弹出窗口，用于输入租户的混合标识管理员凭据。

调用 Enable-AzureADSSO -Enable $false 。

此时无缝 SSO 处于禁用状态，但域保持已配置状态，以便你可以重新启用无缝 SSO。 如果要从无缝 SSO 配置中完全删除域，请在完成上面的步骤 5 之后调用以下 cmdlet： Disable-AzureADSSOForest -DomainFqdn <fqdn> 。

使用 PowerShell 禁用无缝 SSO 不会更改 Microsoft Entra Connect 中的状态。 无缝 SSO 在“更改用户登录”页面中显示为已启用 。

如果没有 Microsoft Entra Connect Sync 服务器，则可以下载一个并运行初始安装。 这不会设置服务器，但它将解压缩禁用 SSO 所需的必要文件。 MSI 安装完成后，关闭 Microsoft Entra Connect 向导，然后运行步骤以使用 PowerShell 禁用无缝 SSO。

步骤 2. 获取已在其中启用了无缝 SSO 的 AD 林列表

如果已使用 Microsoft Entra Connect 禁用了无缝 SSO，请依次执行任务 1 到 4。 但是，如果是使用 PowerShell 禁用了无缝 SSO，请跳转到任务 5。

首先，下载并安装 Azure AD PowerShell 。

导航到 $env:ProgramFiles"\Microsoft Azure Active Directory Connect" 文件夹。

使用以下命令导入无缝 SSO PowerShell 模块： Import-Module .\AzureADSSO.psd1 。

以管理员身份运行 PowerShell。 在 PowerShell 中，调用 New-AzureADSSOAuthenticationContext 。 运行此命令时会出现一个弹出窗口，用于输入租户的混合标识管理员凭据。

调用 Get-AzureADSSOStatus | ConvertFrom-Json 。 此命令可提供已在其中启用了此功能的 AD 林列表（请查看“域”列表）。

步骤 3. 从列表中你所看到的每个 AD 林中手动删除 AZUREADSSO 计算机帐户。

快速入门 - 启动并运行Microsoft Entra无缝 SSO。

深入技术探究 - 了解此功能如何运作。

故障排除 - 了解如何解决使用此功能时遇到的常见问题。

UserVoice - 用于填写新功能请求。