未从ADFS 3.0获取OAuth2访问令牌中使用的JWT中的用户身份

Question

我以以下方式使用ADFS 3.0中支持的授权流，

1. 浏览器连接到MyService
2. MyService将浏览器重定向到ADFS for OAuth
3. 浏览器连接到ADFS以获取OAuth授权代码
4. ADFS通过浏览器对用户进行身份验证
5. ADFS将浏览器重定向回MyService以及授权码
6. 浏览器连接到MyService并传递授权令牌
7. MyService连接到ADFS并从授权令牌获取访问令牌

但是，访问令牌缺少用户标识，MyService无法识别用户。

访问令牌具有以下 JWT 信息。

｛“aud”：“urn:依赖：方：信任：标识符”，
“iss”：“http://ms.cloud.com/adfs/services/trust“，
”iat“：1452875046，
”exp“：145878646，
”auth_time“：”2016-01-15T15:35:20.248Z“， ”ver“：”1.0“，
”appid“：”my app“}

谁能告诉我，一旦我的服务从ADFS获得访问令牌，它如何识别用户？

Answer 1

>

在 ADFS 中编辑 Active Directory 的声明提供程序信任，以传递电子邮件、姓名等。

< li >打开ADFS。点击“索赔提供者信托”。点击“活动目录”。< img src = " https://I . stack . imgur . com/zrqih . png " alt = "在此输入图像描述" > < li >然后，单击右侧的“编辑索赔规则”。< img src = " https://I . stack . imgur . com/kj yap . png " alt = " enter image description here " >您现在应该会看到编辑声明对话框。< img src = " https://I . stack . imgur . com/vms5x . png " alt = " enter image description here " >有关添加索赔的说明，请参考此视频。跳到时间索引2:40。编辑声明提供者规则

我建议将SAM-Account-Name作为http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name.传递，我隐约记得WIF在索赔原则上有问题，如果你不这样做的话。

此外，如果尚未启用Active Directory上的声明支持，则必须启用该支持。

Answer 2

信赖方信任中的声明规则需要定义要作为 JWT 令牌的一部分发送的声明。添加电子邮件、姓名等的声明规则后，信息已添加到 JWT 访问令牌中。