如何使 ADFS 3.0 将“whr”参数传递给 ADFS 2.0 声明提供程序？

Question

我有下一个配置

1. 一些基于 Dynamics CRM 2013 的 Web 应用程序和基于 SharePoint 2010。

2. Dynamics 通过 ADFS 3.0 进行声明身份验证，SharePoint 通过 ADFS 2.0

3. ADFS 3.0 与 ADFS 2.0 联合，后者是那里的声明提供程序信任。 因此来自 ADFS 2.0 的用户可以在任何地方登录。两个 ADFS 都是 配置为使用 WS-Federation，而不是 SAML。

4. ADFS 2.0 有多个声明提供程序信任 - AD 和其他第 3 方 ADFS。

5. ADFS 3.0 配置为自动发现本地域， 但是当用户登陆 ADFS 2.0 时，他可以看到主页领域发现页面 在那里。

目标是实现最大程度的自动化家庭领域发现。

主要问题：在重定向到 ADFS 2.0 时，是否可以配置/修改/破解 ADFS 3.0 以包含具有所需声明提供者信任的 whr 参数？

我使用 fiddler 手动注入它进行了调试，这种方法有效。但是在网上搜索操作方法并没有运气。

目前我看到了几个解决方案：

1. 将 ?whr="<ClaimsProviderId>" 添加到 WS-Federation 端点，如 ADFS 3.0 设置中的 https://<ADFS2.0URL>/adfs/ls?whr="<ClaimsProviderId>"。但不确定它是否有效。

2. 修改 onload.js 以在 ADFS 3.0 端使用 whr 参数硬编码重定向。

3. 在 ADFS 2.0 端为家庭领域发现页面创建一个 mod，它将分析来自 ADFS 3.0 的 wtrealm 参数并选择所需的声明提供程序。

您还有其他想法吗？

Answer 1

如果可能的话，在 ADFS3 服务器本身上会很困难。
您是否尝试将其添加到 RP（CRM 和 SharePoint）中？那应该行得通。除非有一些补丁级别的可解决问题。

如果来自 CRM 的所有用户都必须转到同一个 CP，那么您的选项为“3”。应该也可以。