来自 ADFS 的 SAMLResponse 中的 UserPrincipalName (UPN)答案

【问题标题】：UserPrincipalName (UPN) in SAMLResponse from ADFS来自 ADFS 的 SAMLResponse 中的 UserPrincipalName (UPN)
【发布时间】：2015-06-28 23:52:28
【问题描述】：

我正在使用 ADFS 实施 SP 发起的 SSO。我将SAMLRequest 提交给ADFS，验证SAMLRequest 后，ADFS 回复SAMLResponse。
在 ADFS 中，声明规则将 UPN 映射到名称 ID。但我无法在SAMLResponse 中看到名称 ID 或 UPN。这是我必须在我的SAMLRequest 中告诉 ADFS 的事情，还是 ADFS 的一些配置问题？

这是我的 SAML 请求：

<?xml version="1.0" encoding="UTF-8"?>
<samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
    AssertionConsumerServiceURL="https://http://testurl.com/mysite/samlrequest"
    ForceAuthn="false" ID="_bec424fa5103428909a30ff1e31168327f79474984"
    IsPassive="false" IssueInstant="2015-04-22T11:49:03.815Z"
    ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
    Version="2.0">
    <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">http://testurl.com/mysite</saml:Issuer>
    <samlp:NameIDPolicy AllowCreate="true" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" />
    <samlp:RequestedAuthnContext Comparison="exact">
        <saml:AuthnContextClassRef xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef>
    </samlp:RequestedAuthnContext>
</samlp:AuthnRequest>

【问题讨论】：

它是否出现在断言的<AttributeStatement> 部分而不是<Subject> 部分？
你使用了转换规则吗？
@explunit 我收到的 SAMLResponse 根本不包含或元素。
我是否需要在 SAMLRequest 中提及以在响应中获取 UPN 或名称 ID，如果是，那么如何？
我现在也添加了有问题的 SAMLRequest。

标签： java active-directory saml-2.0 adfs adfs2.0

【解决方案1】：

我不知道您的声明规则是什么样的，但我将电子邮件地址属性映射到 nameidentifier 并且它有效。这应该是 ADFS 中的自定义规则，应该如下所示：

c:[Type == "@987654321@"] => issue(Type = "@987654322@", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["@987654323@"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", Properties["@987654324@"] = "SP_ENTITY_ID");

如果您想将此作为属性发送，只需使用“将 LDAP 属性作为声明发送”创建规则

我知道已经晚了，但希望这对某人有所帮助。

【讨论】：