共用方式為

在 Android 上使用同盟的 Microsoft Entra 憑證式驗證

  • 發行項

在連線至下列項目時，Android 裝置可以使用憑證式驗證 (CBA) 向 Microsoft Entra ID 進行驗證 (透過其裝置上的用戶端憑證)：

  • Office 行動應用程式，例如 Microsoft Outlook 與 Microsoft Word
  • Exchange ActiveSync (EAS) 用戶端

設定這項功能之後，就不需要在行動裝置上的特定郵件和 Microsoft Office 應用程式中，輸入使用者名稱和密碼的組合。

Microsoft 行動應用程式支援

應用程式 支援
Azure 資訊保護應用程式 表示支援此應用程式的核取記號
Intune 公司入口網站 表示支援此應用程式的核取記號
Microsoft Teams 表示支援此應用程式的核取記號
OneNote 表示支援此應用程式的核取記號
OneDrive 表示支援此應用程式的核取記號
Outlook 表示支援此應用程式的核取記號
Power BI 表示支援此應用程式的核取記號
商務用 Skype 表示支援此應用程式的核取記號
Word / Excel / PowerPoint 表示支援此應用程式的核取記號
Yammer 表示支援此應用程式的核取記號

實作需求

裝置作業系統版本必須是 Android 5.0 (Lollipop) 和更新版本。

必須設定同盟伺服器。

AD FS 權杖必須要有下列宣告，Microsoft Entra ID 才能撤銷用戶端憑證：

  • http://schemas.microsoft.com/ws/2008/06/identity/claims/<serialnumber> (用戶端憑證的序號)
  • http://schemas.microsoft.com/2012/12/certificatecontext/field/<issuer> (用戶端憑證的簽發者字串)

如果 AD FS 權杖 (或任何其他 SAML 權杖) 中有上述宣告，Microsoft Entra ID 就會將這些宣告新增至重新整理權杖。 當需要驗證重新整理權杖時，這項資訊會用於檢查撤銷。

最佳做法是，您應該使用下列資訊來更新組織的 AD FS 錯誤頁面：

  • 在 Android 上安裝 Microsoft Authenticator 的需求。
  • 如何取得使用者憑證的指示。

如需詳細資訊，請參閱 Customizing the AD FS Sign-in Pages。

已啟用新式驗證的 Office 應用程式會在其要求中將 'prompt=login' 傳送至 Microsoft Entra ID。 根據預設，Microsoft Entra ID 會將對 AD FS 的要求中的 'prompt=login' 轉譯成 'wauth=usernamepassworduri' (要求 AD FS 進行 U/P 驗證) 和 'wfresh=0' (要求 AD FS 忽略 SSO 狀態並進行全新驗證)。 如果您想要啟用這些應用程式的憑證型驗證，您必須修改預設的 Microsoft Entra 行為。 將您同盟網域設定中的 'PromptLoginBehavior' 設定為 'Disabled'。 您可以使用 New-MgDomainFederationConfiguration 來執行這項工作：

New-MgDomainFederationConfiguration -DomainId <domain> -PromptLoginBehavior "disabled"

Exchange ActiveSync 用戶端支援

支援 Android 5.0 (Lollipop) 或更新版本上的某些 Exchange ActiveSync 應用程式。 若要判斷電子郵件應用程式是否支援這項功能，請連絡您的應用程式開發人員。

下一步

如果您想要在環境中設定憑證式驗證，相關指示請參閱在 Android 上開始使用憑證式驗證。