Azure AD是否支持接收SAML响应并转换为WS-FED令牌供应用使用？

Azure AD 是否支持该场景？ #

Azure AD不支持直接接收外部客户端的SAML响应并转换为WS-FED令牌转发给你的应用。

Azure AD的核心定位是作为身份提供商（IdP）或信任联邦的根节点：如果要让Azure AD参与你的身份流程，常规模式是你的应用信任Azure AD作为WS-FED IdP，然后Azure AD与外部的SAML IdP建立联邦关系（将外部SAML IdP配置为Azure AD的身份源），由Azure AD去对接外部IdP获取身份信息，再向你的应用颁发WS-FED令牌。但这种模式下，外部SAML响应是发送给Azure AD的，而非你直接接收后再传给Azure AD——这和你描述的场景逻辑不同。

替代方案（除Identity Server外） #

如果Azure AD不符合需求，以下几种方案可以满足SAML到WS-FED的协议转换需求：

• Keycloak：开源的身份与访问管理系统，原生支持SAML、WS-FED、OIDC等多种协议。可以轻松配置为中间层，接收外部SAML IdP的响应，自定义身份属性映射后，向你的应用颁发WS-FED令牌，适合需要自建且高度定制的场景。
• PingFederate：企业级商业身份联邦产品，专注于跨协议身份转换与联邦管理，支持几乎所有主流身份协议的互转，稳定性和扩展性强，适合大型企业的复杂身份架构。
• Auth0：云原生身份平台，无需自建维护。可以将外部SAML IdP配置为身份源，直接向你的应用输出WS-FED令牌，提供可视化配置界面和丰富的规则引擎，适合快速落地的场景。
• Okta：与Auth0类似的云身份服务，支持SAML到WS-FED的协议转换，企业级功能完善，集成和配置门槛低，适合需要成熟云服务支持的场景。

内容的提问来源于stack exchange，提问作者TheWebGuy