由于用户预配导致的自定义 STS 和 Azure AD 联合问题

Question

要求：想要证明我们的自定义 STS 实现与 Azure Active Directory 联合。遵循文档"STS Integration Paper using WS-* Protocols - Federation with Azure Active Directory"中给出的步骤。

为了测试自定义 STS 实施，我有一个桌面 Lync 2013 活动客户端（使用 Microsoft Online Services 登录助手），它尝试通过 Azure AD 中的联合域针对自定义 STS 对用户进行身份验证。

问题：自定义 STS 发送带有 SAML1.1 令牌的 RSTR 以响应 Lync 的 RST。但随后从 Lync 客户端到 https://login.microsoftonline.com/RST2.srf 的请求 (RST) 以错误响应结束 “需要先配置才能登录联合帐户”。

我确实遵循了来自这些论坛链接 1 和 2 的建议，其中自定义 STS 为经过身份验证的用户发送带有 ImmutableID 和 objectGUID 值的 SAML 令牌“4BNAbdFMKEe5xCw5iY2tYQ==”。

注意：在 Azure AD 中，测试用户被称为 Sourced From "Microsoft Azure Active Directory"，并且 Azure AD 和本地目录之间不存在目录同步。

我是否缺少自定义 STS 实施或用户创建/配置中的任何重要步骤？请提出您的意见。

Answer 1

找到解决方案： 由于不存在目录同步，我在 Microsoft Azure Active Directory 中创建了一个新用户，并且自定义 STS 发送带有 ImmutableID 和 objectGUID 的 SAML 令牌，其值为 Base64 解决了该问题。 所以基本上按照这个link，如果有人遇到同样的问题。