claims-based-identity - 如何从 AD 中的特定位置发送 AD 组作为 ADFS 中的角色声明

Question

我希望我的 ADFS 2012 R2 从 Active Directory 中的特定位置发送组成员资格，我该怎么做？

我尝试了“将 LDAP 属性作为声明发送”，令牌组 - 不合格名称 => 组，但这给了我用户所属的每个组。我只想要位于 AD 中某个路径的组（例如 org/department/applications/demoapplication）

Answer 1

OOTB，你不能这样做。

但是，您可以编写自己的自定义属性存储，在其中可以使用 .NET AD API 直接访问 AD 并获得所需的组成员身份。

此外，请参阅如何为 Active Directory 联合身份验证服务 3.0 创建自定义属性存储。