使用ADFS的InvalidNameIDPolicy

Question

我有很多使用SSO的客戶端，因爲我們使用的是SAML 2.我的許多客戶端都使用Okta，PingIdentity和一些ADFS提供程序。在開始使用SAMLResponse時，始終在與ADFS進行集成時會引發此錯誤。

<samlp:Status><samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Requester"><samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy"/></samlp:StatusCode></samlp:Status> 

林質問名稱標識符使用：

「甕：綠洲：名稱：TC：SAML：1.1：填充NameID格式：EMAILADDRESS」

林相當新的SAML和我只是想知道ADFS上發生了什麼，因爲這只是發生在使用它的客戶端上。

非常感謝。

Answer 1

默認情況下，ADFS以「urn：oasis：names：tc：SAML：1.1：nameid-format：unspecified」的形式發送NameId格式。你可以調整它。請參閱：https://social.technet.microsoft.com/wiki/contents/articles/4038.ad-fs-2-0-how-to-request-a-specific-name-id-format-from-a-claims-provider-cp-during-saml-2-0-single-sign-on-sso.aspx

Answer 2

另一種方法是識別哪些屬性需要映射到NameID例如電子郵件地址。

對電子郵件有一個正常的LDAP規則。

然後有一個轉換規則將電子郵件轉換爲NameID並從下拉列表中選擇您需要的NameID格式。