Azure SAML SSO唯一用户标识符在响应中不正确。

Question

因此，我创建了一个企业应用程序，并将其配置为基于SAML的SSO。根据我的理解，我已经配置了它，使唯一的用户标识符（名称ID）应该设置为用户的电子邮件 在Azure中.

当我试图通过门户登录测试或使用我的新应用程序时，我可以看到响应中的NameID值实际上被设置为一个随机字符字符串（zReN4-W7ufefDDEh4pJ19K7pcMV84O5RKHSeOQ6wArU），我认为它是唯一标识我的用户的。我试着改变名称ID的源属性以及名称识别符的格式，但它总是在响应中返回完全相同的字符串。

我试图登录的应用程序需要将名称ID设置为用户的电子邮件地址，我不明白为什么它没有在响应中以这种方式显示。有什么想法，为什么会出现这种情况？

Answer 1

NameID值是一个有针对性的标识符，它只针对作为令牌受众的服务提供商。它是持久性的 - 它可以被撤销，但永远不会被重新分配。它也是不透明的，因为它不透露用户的任何信息，也不能作为属性查询的标识符。

一般来说，如果用户在邮件属性中没有值，那么Azure AD会发送Name ID的持久化格式，并在其中设置随机值。

关于SAML协议的更多信息，可以通过这个 文章 和类似 疑问