openid-connect - 我可以将本地 Active Directory 的任何属性添加到 ADFS 中的 ID 令牌吗？

Question

我在 Windows Server 2016 上有一个 ADFS 4.0。我发现以下 URL 描述了关于自定义从 ADFS 接收的 ID 令牌。

https://technet.microsoft.com/en-us/windows-server-docs/identity/ad-fs/development/customize-id-token-ad-fs-2016

根据上面的 URL，我想我可以自定义 ID Token 以将从本地 Active Directory 中的任何属性中提取的新声明添加到 ID Token。例如，我想我可以通过定义 ADFS 声明规则来生成以下 ID Token语。

{ "aud":"XXXX", "iss":" https://[ADFS FQDN]/adfs", "iat":1533099776, "exp":1533103376, "auth_time":1533099776, "nonce":"hoge ", "sub":"XXXXXX", "upn":"[e-mail]", "unique_name":"DEV\user01", "division":"ABC 部门" }

上述ID Token中的属性“division”是从本地Active Directory中的属性“division”中提取并添加到ID Token中的属性。

我的猜测正确吗？

标签： openid-connectadfs

Answer 1

是的。

在声明规则向导中，LDAP 规则的下拉条目实际上是可编辑的，因此您也可以这样做。

请注意，如果该属性的内容为空，您将不会收到声明。