ADFS 未从自定义属性存储向某些用户发出声明

Question

我正在尝试找出为什么我们的一些用户没有被我们的自定义属性存储发出声明。

我们用于身份验证的主要属性存储是 Active Directory，但我们使用两个自定义属性存储向用户发出多个自定义声明，并执行一些已发出声明的日志记录。当受影响的用户登录时，他们已成功通过 AD 身份验证，但不再添加任何声明。根据我们属性存储中的日志记录，永远不会调用 BeginExecuteQuery。

我看不到任何链接受影响的用户，但他们似乎主要是新用户，或者很长时间没有登录系统的用户。重新启动 ADFS 有时会解决问题，但是否解决似乎是随机的。

我试图了解为什么属性存储会在某些用户登录时被 ADFS 忽略，而其他用户则可以正常工作。如果有一个快速保证的临时解决方案可以让用户的索赔正确发出，那也很有用！

出于安全原因，我无权访问 ADFS 调试跟踪。

Answer 1

最终通过多次致电 Microsoft 的 AD FS 支持团队解决了这个问题。该问题可追溯到我们的声明规则语言的一部分，该语言使用lastLogon 和lastLogonTimestamp AD 属性而不了解它们的实际行为。这意味着对于某些用户来说，授予自定义声明的条件从未得到满足。