Azure中如何动态生成MD5哈希用户ID作为联邦身份属性？

直接用Azure AD内置的**声明转换（Claims Transformation）**功能就能搞定，全程在Azure云端操作，不需要依赖本地IAM系统同步，步骤如下：

1. 定位目标SaaS应用的单一登录配置 #

进入Azure门户 → Azure Active Directory → 企业应用 → 找到你要配置联邦的SaaS应用 → 切换到「单一登录」标签页。

2. 创建MD5哈希的声明转换 #

在「用户属性与声明」区域，点击「添加新声明」：

• 选择「转换声明」类型
• 配置转换规则：
  • 源属性：选择你存储userID的字段（比如内置的userPrincipalName，或者你自定义的用户属性）
  • 转换类型：选择「哈希」
  • 哈希算法：选「MD5」
  • 盐值（可选）：如果需要额外加盐可以填写，不需要就留空
  • 输出声明名称：自定义一个名称，比如md5_user_id

3. 映射到SaaS应用所需属性 #

如果SaaS应用期望接收特定名称的属性（比如external_user_id），在声明配置里把刚才生成的md5_user_id映射到该名称，确保SaaS能正确识别。

4. 验证结果 #

用SAML调试工具（比如SAML Tracer）或OIDC调试工具发起一次认证流程，查看身份响应报文，确认传递给SaaS的是MD5哈希值而非原始userID。

注意事项 #

• 如果你的userID是Azure AD中的自定义扩展属性，确保在源属性列表中能找到该属性（需要提前在Azure AD中创建好自定义用户属性）
• Azure AD的哈希转换默认输出Base64编码的结果，如果SaaS要求十六进制格式，需要额外添加一个「字符串转换」步骤，将Base64转为十六进制（不过大部分SaaS都支持Base64）

内容的提问来源于stack exchange，提问作者Robster Sica