AzureAD IDP发起的SAML总是返回nameid-form：持久而不是nameid-form：电子邮件地址

Question

我正在使用SAML开发SSO，我的IdP是Azure。

我对IDP启动的流量有问题。在SAML回复中，我总是得到以下名称ID：

<NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">
    bMFy2VsLxPyxxxxxx.....
</NameID>

这就是我所期待的：

<NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">
    [e-mail]
</NameID>

我总是得到nameid格式：persistent，而不是nameid格式：emailAddress。虽然我已将“名称标识符格式”设置为“电子邮件地址”：

请注意，在SP启动的流中，我可以通过指定NamedPolicy让Azure发送电子邮件地址：

<samlp:AuthnRequest
        Destination="xxx"
        ID="_f59f9e55bc165eae92e4269909e274aeb78f88f3" 
        IssueInstant="2020-03-04T10:49:51Z" Version="2.0"
        xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
        xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
  <saml:Issuer>xxxxxxx</saml:Issuer>
  <samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"/>
</samlp:AuthnRequest>

但是，在IdP启动的流上，AuthnRequest没有NamedPolicy

<samlp:AuthnRequest xmlns="urn:oasis:names:tc:SAML:2.0:metadata" 
                    ID="F84D888AA3B44C1B844375A4E8210D9E" Version="2.0"
                    IssueInstant="2020-03-04T10:03:47.953Z" IsPassive="false"
                    AssertionConsumerServiceURL="xxxxxx"
                    xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 
                    ForceAuthn="false">
  <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">xxxxxx</Issuer>
</samlp:AuthnRequest>

我想知道我的Azure应用程序配置是否有问题。

顺便说一句，关于IdP发起的流，我认为IdP将创建SAML响应，并直接发送到SP的ACSendpoint。为什么还有SAML请求？（在Azure上测试应用程序时，我可以看到下载SAML请求的选项）。当我从应用程序面板（office.com）打开应用程序时，我也可以看到SAML请求。（使用镀铬延长板saml镀铬面板）

Answer 1

我在微软AzureAD开了一张支持票。我从微软工程师那里得到了这个答案：

我已经查看了您遇到的问题以及应用程序的设置。您正在将名称ID设置为邮件属性并使用电子邮件格式。如果我理解错了，请纠正我。

在这种情况下，如果用户在mail属性中没有值，那么Azure AD将发送名称ID的持久格式，并在其中设置随机值。

因此，请检查用户在其邮件属性中是否有值。

真的！我测试的用户没有电子邮件属性！据微软支持人员称，他说，从Azure门户，我们无法判断测试的租户成员是否有电子邮件：

他说我们可以使用PowerShell或Azure CLI进行测试：

$ Get-AzureADUser -ObjectId <Object ID of the user>
# or
$ az ad user show --id <Object ID of the user>

{
  ...
  "jobTitle": null,
  "lastDirSyncTime": null,
  "legalAgeGroupClassification": null,
  "mail": null,
  "mobile": null,
  "objectId": ....
}

测试的用户没有邮件属性。所以行为是意料之中的。

但我仍然想知道，在SP启动的流中，IdP返回了什么值。它看起来很像邮件值：用户电子邮件[e-mail]

事实证明，当邮件为空时，它将返回userPrincipalName属性。

如果我们希望租户成员存在属性邮件，该租户必须订阅邮件服务或捆绑包，如Office 365、Exchange Online等。在这种情况下，我们不订阅任何。我以为只要在Azure中创建一个用户，该用户就已经有了一封电子邮件！为了确保这一点，我选择了outlook。com并尝试登录。这就是我得到的：

Answer 2

尝试使用IdP启动流与NameID策略

<samlp:AuthnRequest
xmlns="urn:oasis:names:tc:SAML:2.0:metadata"
ID="id6c1c178c166d486687be4aaf5e482730"
Version="2.0" IssueInstant="2013-03-18T03:28:54.1839884Z"
xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
<Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://www.contoso.com</Issuer>
<samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">
  </samlp:NameIDPolicy>
</samlp:AuthnRequest>

有关更多详细信息，请参阅本文（翻译成英文）。