能否配置ADFS作为代理实现Exchange与仅支持SAML的IDP身份对接

完全可以通过将ADFS配置为联合身份代理实现你描述的认证流程，不需要修改Exchange或现有IDP的原生协议支持，具体配置逻辑和注意事项如下：

核心配置步骤 #

• 第一步：将Exchange OWA/ECP配置为ADFS的信赖方信任（Relying Party Trust），采用WS-Federation协议对接，这是Exchange原生支持的标准配置项，不需要额外修改Exchange的协议适配逻辑。
• 第二步：将你的SAML IDP配置为ADFS的声明提供方信任（Claims Provider Trust），ADFS原生支持SAML 2.0协议作为声明提供方的对接协议，直接导入IDP的SAML元数据即可完成基础对接。

实际认证流转和你描述的完全一致 #

1. 用户访问OWA/ECP，Exchange识别到用户未认证，通过WS-Fed协议将用户重定向到ADFS
2. ADFS识别到当前默认声明提供方为对接的SAML IDP，自动将认证请求转换为SAML AuthnRequest格式，重定向到IDP侧
3. 用户在IDP完成身份验证后，IDP返回SAML断言到ADFS
4. ADFS对SAML断言做声明转换，将IDP返回的用户属性映射为Exchange可识别的声明（通常为UPN、ImmutableID等），再按照WS-Fed协议规范生成认证响应返回给Exchange
5. Exchange验证ADFS的响应合法后，完成用户登录流程

注意事项 #

• 需确保ADFS和IDP之间的用户唯一标识属性匹配，可选择userPrincipalName或immutableID作为关联字段，在ADFS的声明转换规则中配置对应映射即可
• 若需实现透明单点登录（即IDP侧已登录的用户访问OWA无需重复输入密码），需在ADFS侧启用声明提供方的SSO设置，同时确保IDP返回的SAML断言中SessionNotOnOrAfter等有效期参数符合你的SSO时效要求
• 建议先在测试环境验证声明转换逻辑是否正确，避免因属性不匹配导致Exchange侧鉴权失败

内容的提问来源于stack exchange，提问作者Oleksii