单一登录 (Single Sign-On）简而言之，就是让用户使用一套ID和密码，就可以登录一个或多个系统的授权机制。用户只需要通过其中一个应用的安全认证之后，再访问同一服务器其他应用的资源时不需要再次输入账户和密码。
我们已经使用Azure AD Connect进行了目录同步，为了实现单点登录，我们需要安装AD FS联合认证服务器。安全起见，一般情况下我们不会直接把AD FS暴露在公网，而会额外安装 AD FS代理服务器，同时考虑高可用性（至少两台以上的AD FS和AD FS代理服务器），由于是测试环境，所以我省略了安装AD FS Proxy的步骤，只给大家演示AD FS安装和配置并最终实现单点登陆的过程。
1.安装 AD FS
第一篇文章Office 365实现单点登录系列(1)—域环境搭建我和大家提过，这整个系列的文章都是基于Microsoft Azure来搭建的环境。我们在Azure上新建一个Win Server 2016的虚拟机来作为AD FS服务器，将该虚拟机加入到同一个资源组同一个虚拟网络下面。打开Server Manager，为虚拟机新增一个角色，选择Active Directory Federation Services（AD FS)。
![clip_image002[5]](http://images2017.cnblogs.com/blog/1306946/201801/1306946-20180104191154690-1799104784.jpg "clip_image002[5]")
输入本地域控服务器管理员的名称和密码，连接到域控服务器。
![clip_image004[4]](http://images2017.cnblogs.com/blog/1306946/201801/1306946-20180104191156581-89957282.jpg "clip_image004[4]")
每个联合服务器都需要有一个服务器身份验证证书和一个令牌签名证书，才能参加AD FS 通信。每个联合服务器代理使用 SSL 客户端身份验证证书对联合身份验证服务进行身份验证。导入 SSL 证书，输入联合服务器名称。
![clip_image006[4]](http://images2017.cnblogs.com/blog/1306946/201801/1306946-20180104191158628-1498914261.jpg "clip_image006[4]")
明确服务的账户。
![clip_image008[4]](http://images2017.cnblogs.com/blog/1306946/201801/1306946-20180104191201565-557532794.jpg "clip_image008[4]") |
若 AD 数量小于 50000 个，则可以选择 Windows 自带的内部数据库，否则建议选择 SQL Server Database。
![clip_image010[4]](http://images2017.cnblogs.com/blog/1306946/201801/1306946-20180104191204221-1382573102.jpg "clip_image010[4]") |
系统检查是否满足安装条件，满足点击“Configure”。
![clip_image012[4]](http://images2017.cnblogs.com/blog/1306946/201801/1306946-20180104191206159-1419268179.jpg "clip_image012[4]") |
安装成功。