如何将Azure B2C IEF身份提供商元数据的SAML NameID格式设为transient

我完全理解你的困扰——Azure B2C的IEF默认在IdP元数据里只展示persistent格式的NameIDFormat，但你的服务提供商明确要求transient。下面是经过验证的可行解决方案，分步骤拆解：

1. 修改SAML断言签发者的技术配置文件 #

你策略中用到的Saml2AssertionIssuerEncrypted是控制IdP元数据输出的核心，需要在它的配置（通常定义在TrustFrameworkExtensions.xml中）里添加NameIDFormat的指定：

<TechnicalProfile Id="Saml2AssertionIssuerEncrypted">
  <DisplayName>SAML Assertion Issuer</DisplayName>
  <Protocol Name="SAML2"/>
  <OutputTokenFormat>SAML2</OutputTokenFormat>
  <Metadata>
    <!-- 新增这一行，指定transient格式 -->
    <Item Key="NameIDFormat">urn:oasis:names:tc:SAML:2.0:nameid-format:transient</Item>
    <!-- 保留你原有的其他元数据配置 -->
    <Item Key="XmlSignatureAlgorithm">http://www.w3.org/2001/04/xmldsig-more#rsa-sha256</Item>
  </Metadata>
  <CryptographicKeys>
    <!-- 保留原有的密钥配置 -->
  </CryptographicKeys>
  <InputClaims>
    <!-- 引入后续要生成的临时NameID声明 -->
    <InputClaim ClaimTypeReferenceId="transientNameId"/>
  </InputClaims>
  <!-- 将主题命名指向临时声明 -->
  <SubjectNamingInfo ClaimType="transientNameId"/>
</TechnicalProfile>

2. 创建生成临时NameID的声明转换器 #

你之前尝试生成GUID的思路是对的，需要把这个逻辑封装成声明转换器，添加到TrustFrameworkExtensions.xml中：

首先添加声明类型定义：

<ClaimType Id="transientNameId">
  <DisplayName>Transient Name ID</DisplayName>
  <DataType>string</DataType>
  <UserHelpText>临时唯一的SAML身份标识</UserHelpText>
</ClaimType>

然后添加声明转换逻辑：

<ClaimsTransformations>
  <ClaimsTransformation Id="CreateTransientNameId" TransformationMethod="CreateRandomString">
    <InputParameters>
      <InputParameter Id="randomGeneratorType" DataType="string" Value="GUID"/>
      <InputParameter Id="stringFormat" DataType="string" Value="D"/>
    </InputParameters>
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="transientNameId" TransformationClaimType="outputClaim"/>
    </OutputClaims>
  </ClaimsTransformation>
</ClaimsTransformations>

3. 在用户旅程中插入生成临时声明的步骤 #

需要在发送SAML断言之前，新增一个步骤来生成临时NameID：

<UserJourney Id="SignUpOrSignIn">
  <OrchestrationSteps>
    <!-- 保留你原有的登录/注册等步骤 -->
    <!-- 新增步骤，顺序放在SendClaims之前 -->
    <OrchestrationStep Order="6" Type="ClaimsExchange">
      <ClaimsExchanges>
        <ClaimsExchange Id="GenerateTransientNameId" TechnicalProfileReferenceId="GenerateTransientNameIdProfile"/>
      </ClaimsExchanges>
    </OrchestrationStep>
    <OrchestrationStep Order="7" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="Saml2AssertionIssuerEncrypted" />
  </OrchestrationSteps>
</UserJourney>

对应的技术配置文件：

<TechnicalProfile Id="GenerateTransientNameIdProfile">
  <DisplayName>生成临时NameID</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ClaimsTransformationProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"/>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="transientNameId"/>
  </OutputClaims>
  <OutputClaimsTransformations>
    <OutputClaimsTransformation ReferenceId="CreateTransientNameId"/>
  </OutputClaimsTransformations>
</TechnicalProfile>

4. 更新RelyingParty配置 #

确保依赖方配置里的主题命名指向临时声明，同时保留NameIdPolicyFormat（对SP发起的SSO请求生效）：

<TechnicalProfile Id="PolicyProfile">
  <DisplayName>PolicyProfile</DisplayName>
  <Protocol Name="SAML2" />
  <Metadata>
    <Item Key="IdpInitiatedProfileEnabled">true</Item>
    <Item Key="NameIdPolicyFormat">urn:oasis:names:tc:SAML:2.0:nameid-format:transient</Item>
    <!-- 保留原有的其他元数据 -->
  </Metadata>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="signInNames.emailAddress" PartnerClaimType="UID" />
    <OutputClaim ClaimTypeReferenceId="transientNameId" />
  </OutputClaims>
  <SubjectNamingInfo ClaimType="transientNameId" />
</TechnicalProfile>

关键注意点 #

• 你之前设置的NameIdPolicyFormat是针对SP发起的SSO请求的，而IdP元数据里的NameIDFormat需要在断言签发者的技术配置文件里配置，这是两个独立的设置点。
• 必须保证临时NameID是每次请求全新生成的（GUID生成器正好满足这个要求），这是Azure B2C在元数据中展示transient格式的核心前提。
• 发布更新后的策略后，重新获取IdP元数据，就能看到IDPSSODescriptor中已经包含urn:oasis:names:tc:SAML:2.0:nameid-format:transient的NameIDFormat元素了。

内容的提问来源于stack exchange，提问作者KyleH