azure-active-directory - AD FS 2016 可以信任 Azure AD 颁发的 OAuth2 访问令牌吗？

Question

是否可以将 AD FS 2016 配置为信任由 Azure AD 颁发的 OAuth2 访问令牌？如果 AD FS 2016 不能信任 Azure AD，那么它能否信任 Azure AD B2C 和/或 Azure AD B2B？

这将是这样的场景：

1. 客户端获取 Azure AD 颁发的 OAuth2 访问令牌以调用 API-1。
2. API-1 在代表流中从 AD FS 2016 请求 API-2 的新令牌。
3. AD FS 2016 颁发新的访问令牌（因为它信任 Azure AD 颁发的令牌）。
4. API-1 调用 API-2 发送由 AD FS 颁发的令牌。

我知道 AD FS 2016 可以配置为通过使用 SAML 创建声明提供者信任来信任联合合作伙伴组织，但我不知道的两件事是 1) 声明提供者信任是否与 OAuth2 访问令牌一起使用和 2) Azure AD 和 AD FS 之间的声明提供程序信任工作。

Answer 1

您绝对可以将 AAD 定义为 ADFS 中的声明提供程序。当 AAD 只能发布 SAML2.0 令牌并且需要 1.1（例如，对于 SP201x）时，通常会这样做。ADFS 是否会使用该定义来信任来自 AAD 的 JWT 令牌，我不知道。应该很简单，可以尝试。