ADFS环境下，如何从CN/O格式Issuer获取SAML SSO所需URL？

首先明确：SAML规范中的Issuer（签发者）并非强制要求是URL格式，它本质是一个唯一标识符。Azure AD习惯用URL作为Issuer，但ADFS默认会采用LDAP风格的专有名称（DN），也就是你收到的CN=${webapp.domain} O=${org.name}这种格式，这是完全合法的。

你可以按以下两种场景处理：

场景1：你的Web应用支持非URL格式的Issuer #

直接将客户提供的DN字符串配置为应用的预期Issuer值即可。多数成熟的SAML集成库（比如Spring SAML、Python的pysaml2等）都支持自定义Issuer验证逻辑，无需强制转换为URL。核心要求是：应用配置的Issuer必须和ADFS发送的SAML响应中的Issuer字段完全一致（包括大小写、特殊符号），否则会触发验证失败。

场景2：你的应用强制要求Issuer为URL格式 #

如果你的应用架构限制必须用URL作为Issuer，需要客户调整ADFS的信赖方信任配置：

• 登录ADFS管理控制台，找到对应你的Web应用的信赖方信任条目
• 右键进入「属性」->「标识符」选项卡
• 添加一个符合URL格式的自定义标识符（例如https://${webapp.domain}/saml/issuer）
• 确保ADFS在发送SAML响应时，将Issuer字段设置为这个新配置的URL
• 让客户将这个URL提供给你，用于你的应用配置

内容的提问来源于stack exchange，提问作者Sohayb Saleh