如何使用PowerShell创建带有额外SAML端点的ADFS信赖方

我来帮你搞定这个需求，结合你给出的代码片段，我把完整的实现方案和注意事项整理如下：

核心思路 #

要给ADFS信赖方添加额外的SAML端点，步骤很清晰：先通过New-AdfsSamlEndpoint创建你需要的端点对象，再在创建信赖方时通过-SamlEndpoint参数将其关联（如果要加多个端点，传入对象数组即可）。

完整可运行代码 #

# 先根据你的实际环境定义变量，替换占位值
$Name = "你的信赖方显示名称"
$AppHost = "app-server-01" # 应用的主机名，对应元数据URL中的主机部分
$AdditionalUrl = "your-app-addon.example.com" # 额外端点的域名/地址
$SingleLogout = "" # 如果需要单点登出路径，补充为类似"?slo=true"的字符串

# 创建额外的SAML单点登录端点
$SamlEndpoint = New-AdfsSamlEndpoint `
    -Binding "POST" `
    -Protocol "SAMLSingleSignOn" `
    -Uri "https://$AdditionalUrl/plugins/servlet/samlsso/metadata$SingleLogout"

# 创建ADFS信赖方并绑定额外端点
Add-AdfsRelyingPartyTrust `
    -Name "$Name" `
    -MetadataUrl "https://$AppHost.lab.example.com/plugins/servlet/samlsso/metadata$SingleLogout" `
    -SamlEndpoint $SamlEndpoint `
    -AccessControlPolicyName "Permit Everyone" `
    -MonitoringEnabled $true `
    -AutoUpdateEnabled $true ` # 补全你代码中截断的部分，开启元数据自动更新
    -Enabled $true # 确保信赖方创建后处于启用状态

关键细节说明 #

• 变量配置：一定要先把所有变量替换成你环境中的实际值，尤其是域名、主机名部分，否则命令会执行失败。
• 多端点支持：如果需要添加多个额外SAML端点，只需要创建多个$SamlEndpoint对象，然后用数组形式传入，比如-SamlEndpoint @($endpoint1, $endpoint2)。
• 端点类型调整：如果你的额外端点是单点登出（SLO），只需要把New-AdfsSamlEndpoint中的-Protocol参数改成SAMLSingleLogout即可。
• 权限要求：运行这些命令必须使用ADFS管理员权限的PowerShell窗口，否则会报错无权限操作。

注意事项 #

• 确保ADFS服务器能够访问你指定的额外端点URL，否则后续身份验证流程可能出现问题。
• 如果元数据URL中的配置和你手动添加的端点有冲突，ADFS会优先使用你通过-SamlEndpoint传入的自定义配置。

内容的提问来源于stack exchange，提问作者Michael