如果用户使用x509证书进行身份validation，则使用ADFS 2.0，我想向依赖方发送关于用户证书颁发者的信息。
这可能吗？ 我应该如何configuration声明描述和声明规则？
AFAIK这是不可能的，因为写这个答复。
如果按照http://msdn.microsoft.com/en-us/library/ee895365.aspx使用TLS客户机处理程序，则您将能够发出http://schemas.microsoft.com/ws/2008/06 / identity / claims / authenticationmethod声明http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/tlsclient如果使用证书login到AD FS。
如果您select使用身份validation机制保证，并且用户使用适当映射到组的一个智能卡login到他们的PC，那么您的Kerberos TGT将在PAC中拥有组SID。 因此，即使使用基于Kerberos的令牌访问AD FS服务器，它也能够检查令牌中的所述组SID。 这意味着您可以发出声明以确保发生相关的智能卡login。
请注意在上述情况下AD FS未configuration为TLSClient处理程序。 如果您通过AD FS代理远程访问AD FS（而不是从企业内部和不使用Kerberos），则无法保证此身份validation机制的保证。 因此，只有在authentication机制保证按预期工作的情况下，您才可以configuration某些依赖方只能访问。