使用Gsuite为IDP配置第二个Office365联邦域时Set-MsolDomainAuthentication报错

该报错是Office 365的联邦配置限制导致：默认要求每个独立联邦域的IssuerURI（实体ID）必须唯一，而Gsuite默认全局只提供一个通用IssuerURI，两个域复用同一个IDP实体ID就会触发配置冲突，返回内部服务错误。

通过Gsuite侧为每个Office 365域创建独立的自定义SAML应用，分别配置不同的IssuerURI即可解决冲突，操作步骤如下：

• 登录Gsuite管理后台，进入「应用」-「Web和移动应用」，为第二个Office 365域新建自定义SAML应用
• 在新应用的SAML配置页，自定义实体ID（即IssuerURI），可在Gsuite默认Issuer后加域名后缀区分，比如https://accounts.google.com/o/saml2?domain=yourseconddomain.com
• 保存配置后，记录该应用对应的SSO地址、登出地址、签名证书等参数
• 回到Office 365侧，用新的唯一IssuerURI和对应SAML参数配置第二个域的联邦属性

# 先连接Msol服务
Connect-MsolService

# 执行第二个域的联邦配置
Set-MsolDomainAuthentication -DomainName 你的第二个域名 `
-Authentication Federated `
-FederationBrandName 你的联邦品牌名称 `
-IssuerUri "你在Gsuite为第二个域自定义的唯一IssuerURI" `
-ActiveLogOnUri "Gsuite第二个SAML应用的SSO地址" `
-PassiveLogOnUri "Gsuite第二个SAML应用的SSO地址" `
-LogOffUri "Gsuite第二个SAML应用的登出地址" `
-SigningCertificate "Gsuite第二个应用的签名证书内容，需去掉头尾标识、删除所有换行" `
-PreferredAuthenticationProtocol SAMLP

• 配置前确认第二个域已经在Office 365完成域名所有权验证，当前处于托管身份验证状态
• 若执行命令仍提示临时错误，等待15分钟后重试即可，大概率是Office 365后端数据同步延迟导致
• 证书内容需确保没有多余换行、空格，否则也会触发内部错误

内容的提问来源于stack exchange，提问作者kachwa