SAML令牌结构、自定义及Auth0与ADFS集成技术问询

针对你提到的在Auth0作为服务提供商对接ADFS企业身份提供商的场景，我来逐个拆解这三个技术问题：

1. SAML令牌的结构是什么样的？ #

SAML 2.0里的“令牌”核心是SAML断言（Assertion），它是XML格式的文档，主要包含三个核心模块：

• Subject：标记被认证的用户，通常包含用户唯一标识符（比如AD内的用户名或GUID），以及用于确认身份合法性的SubjectConfirmation信息。
• Conditions：定义断言的有效边界，比如生效/失效时间、允许使用该断言的目标服务（也就是你的Auth0租户）。
• Statements：承载用户核心信息的部分，常见三类：
  • AuthnStatement：记录用户的认证方式（如密码、MFA）、认证时间等基础认证信息。
  • AttributeStatement：存储用户属性（如邮箱、姓名），也是后续添加组成员、权限的核心载体。
  • AuthzDecisionStatement：用于授权决策，但实际场景中更多用AttributeStatement传递权限类信息。

给你一个简化的SAML断言结构示例：

<saml:Assertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" ID="..." IssueInstant="..." Version="2.0">
  <saml:Issuer>https://your-adfs-server/adfs/services/trust</saml:Issuer>
  <saml:Subject>
    <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@company.com</saml:NameID>
    <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
      <saml:SubjectConfirmationData Recipient="https://your-auth0-domain/login/callback" NotOnOrAfter="..."/>
    </saml:SubjectConfirmation>
  </saml:Subject>
  <saml:Conditions NotBefore="..." NotOnOrAfter="...">
    <saml:AudienceRestriction>
      <saml:Audience>https://your-auth0-domain/samlp/metadata/...</saml:Audience>
    </saml:AudienceRestriction>
  </saml:Conditions>
  <saml:AuthnStatement AuthnInstant="...">
    <saml:AuthnContext>
      <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef>
    </saml:AuthnContext>
  </saml:AuthnStatement>
  <saml:AttributeStatement>
    <saml:Attribute Name="email" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
      <saml:AttributeValue>user@company.com</saml:AttributeValue>
    </saml:Attribute>
  </saml:AttributeStatement>
</saml:Assertion>

2. 如何向其中添加额外信息（如组成员身份、权限等）？ #

要添加这类信息，核心是在ADFS端配置声明规则，把AD中的用户属性/组信息映射到SAML断言的AttributeStatement里：

• 步骤1：登录ADFS管理控制台，找到你为Auth0创建的信赖方信任。
• 步骤2：进入“编辑声明规则”，点击“添加规则”，选择「发送LDAP属性作为声明」的模板。
• 步骤3：在规则配置中，选择AD的LDAP属性（比如Token-Groups - Unqualified Names用于组成员身份，或者自定义的权限属性），设置对应的SAML属性名称（比如groups或permissions）。
• 步骤4：如果需要复杂逻辑（比如过滤特定组、转换组名称），可以选择「使用自定义规则发送声明」，用ADFS声明规则语言编写逻辑，比如：

  c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid", Value =~ "^CN=AdminGroup,.*"]
  => issue(Type = "permissions", Value = "admin_access");
  

• 最后，在Auth0的ADFS连接配置中，确保开启「获取用户属性」的选项，让Auth0能接收这些自定义声明。

3. Auth0如何处理该SAML令牌并将信息转发至Web应用？ #

整个流程分为三个关键步骤：

1. 接收与验证SAML响应：用户通过ADFS认证后，ADFS会把包含SAML断言的响应发送到Auth0的SAML回调URL。Auth0会自动验证断言的签名（确保来自可信ADFS）、有效期、受众（Audience）等，确认断言合法。
2. 解析与处理声明：Auth0会解析SAML断言中的AttributeStatement，提取用户基本信息、组成员、权限等属性。你还可以通过Auth0的**Rules（规则）**二次处理这些信息：比如把AD组名转换为Web应用需要的权限格式、过滤无关组、添加自定义属性等。举个简单的Rule示例：

   function (user, context, callback) {
     // 把ADFS传来的groups属性映射到app_metadata
     user.app_metadata = user.app_metadata || {};
     user.app_metadata.roles = user.groups || [];
     // 更新用户元数据
     auth0.users.updateAppMetadata(user.user_id, user.app_metadata)
       .then(() => callback(null, user, context))
       .catch((err) => callback(err));
   }
   

3. 生成并转发令牌到Web应用：处理完成后，Auth0会生成自己的身份令牌（通常是JWT格式），把用户信息、处理后的组成员/权限等嵌入到JWT的payload中，再重定向到你的Web应用回调URL，Web应用解析JWT就能获取所需信息。

内容的提问来源于stack exchange，提问作者manuelgr