openid-connect - SAML 2.0 到 OpenID Connect 缺少 SUB 声明

Question

我已将 AD FS 作为 SAML 2.0 上方连接到 FoxID，并且我的应用程序与 OpenID Connect 连接为下方。

我的申请中没有收到 SUB 索赔，可能是什么问题？

Answer 1

FoxID 在 SAML 2.0 和 JWT 声明之间转换。声明是从SAML sub2.0NameID属性/声明转换而来的。声明具有NameID声明类型http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier。

您需要更新 AD FS 配置才能发出NameID声明。这会导致sub带有NameID索赔值的索赔。

或者，如果 AD FS 例如发出UPN( http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn) 声明，您可以在 FoxID 中定义声明转换，将 () 声明映射UPN到http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn( NameID)http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier声明。这会导致sub带有UPN声明值的声明。

要进行调试，您可以临时添加一个NameID( http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier) 具有常量值的声明，这会产生一个子声明。