如何（正确）将Active Directory属性映射到传出声明？

所以我想弄清楚如何将我的声明感知应用程序中的活动目录中的员工号码作为声明映射。在我们的应用程序中，我们需要某种键值，以便在人们更改姓名（婚姻等）时帐户不会变成孤儿。

将这些属性映射为索赔的正确方法是什么？下面我已经做了它似乎是明显的方式来做到这一点，但在login时，我们得到“发生错误”和一个完全无用的错误信息，我将附在底部。

在这里输入图像说明

活动目录属性

在这里输入图像说明

1.除非您自己创build了自定义声明，否则没有内置的“EmployeeNo”声明。您可以在“索赔说明”节点上find所有受支持的索赔。

2.当您使用“发送LDAP属性作为声明”时，您应该确保AD中已经填充了属性（您的案例中的员工编号），因为当声明规则引擎运行时，它将查找此属性值的AD数据库。

3.UPN，电子邮件地址，通用名称，这三种身份声明types中的至less一种必须存在才能发送令牌。通常我们使用UPN作为用户的身份。所以你也可以在发行转换规则中添加UPN。

对于任何有相同问题的人，只要使用问题中的设置（他们已被编辑，以反映我所做的一些改变）。这些工作将在ADFS 3.0中添加一个员工编号到传出的声明中。