如何通过 ADFS 声明释放 Active Directory 机密属性

Question

我已通过在 ADSI Edit (https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/mark-attribute-as-confidential) 中将其搜索标志设置为 128 将“员工编号”AD 属性标记为“机密”。

我已验证域管理员可以阅读它而非管理员不能。我还验证了 ADFS 服务帐户是域管理员。

但是，如果我尝试通过简单的 ADFS 声明来释放该属性，它就不起作用。我还验证了如果我将 SearchFlags 值切换回 0，则声明会按预期释放。

Answer 1

经过大量挖掘，我发现答案是让adfs服务帐号成为BUILTIN\Administrators的成员。