单ADFS(IdP)对接多SP场景SSO重复认证问题咨询

你判断的逻辑完全成立。单ADFS实例作为统一IdP的SAML SSO架构下，用户首次完成身份认证后，ADFS会在自身域名下留存有效认证会话Cookie，后续访问其他已建立信赖方信任的SP时，只要ADFS能识别到请求携带的有效会话Cookie，就会直接生成对应SP的签名SAML断言返回，无需用户重复输入认证凭证，这是SAML协议下SSO能力的标准表现。

• 校验ADFS侧SSO基础配置
  打开ADFS管理控制台，进入「服务-认证方法-高级设置」，确认启用单点登录选项处于勾选状态，SSO会话默认有效期为480分钟，不要设置为过短的数值。可以通过PowerShell执行Get-AdfsProperties核对核心参数：确认PersistentSsoEnabled为True，SSOLifetime参数值符合业务预期，没有被误配置为极短时长。如果SP和ADFS分布在不同子域，要确认ADFS的Cookie域配置覆盖所有业务访问路径，避免跨子域场景下会话Cookie无法被浏览器携带。
• 排查SP侧SAML请求配置问题
  抓包查看SP跳转至ADFS的SAML Request报文，确认报文中不存在ForceAuthn="true"字段——这个字段会强制IdP忽略现有有效会话，要求用户重新完成认证，是跨SP重复认证的最常见诱因，正常场景下该字段值应为false或直接不携带。同时核对SP侧配置的实体ID、ACS回调地址，和ADFS侧登记的信赖方信任信息完全一致，避免实体ID不匹配导致ADFS无法识别信赖方、触发重新认证。
• 排查终端侧Cookie拦截问题
  确认用户使用的浏览器没有开启第三方Cookie全局拦截：ADFS会话Cookie属于IdP自有域下的Cookie，如果浏览器开启第三方Cookie拦截，从SP跳转至ADFS时不会携带之前留存的有效会话Cookie，ADFS识别不到会话状态就会弹出认证页。这类场景可以把ADFS域名加入浏览器受信任站点列表，允许该域Cookie跨站读写。同时排查终端上的安全插件、EDR软件是否存在主动清理ADFS域Cookie的策略，避免会话被意外清除。
• 校验ADFS访问控制策略
  进入ADFS管理控制台的「访问控制策略」页面，核对两个SP绑定的访问规则，确认没有配置「每次访问都要求重新认证」「针对单个SP强制MFA校验」这类规则，这类规则会忽略全局SSO会话，针对特定SP触发重复认证流程。如果是域内终端访问场景，确认WIA（Windows集成认证）配置正常，域内终端可以直接复用本地域登录凭证完成ADFS认证，不会重复弹出认证输入框。

内容的提问来源于stack exchange，提问作者thebearot