OAuth2客户端凭证流结合ADFS时无法获取角色Claims的问题咨询

我们正在基于ADFS作为身份提供商，配置OAuth2的客户端凭证授权流，用来实现服务间的交互——这正是客户端凭证流的设计初衷。

我们有一个隶属于若干AD组的Active Directory用户账号，原本计划用这些组作为访问令牌里的授权Claims来源。目前其他授权流都配置正常，比如使用password流时，访问令牌里的rolesClaim能正常返回用户所属的组；但切换到客户端凭证流时，完全拿不到任何和角色相关的Claims。

我们猜测这是因为客户端ID和AD里的用户账号之间没有建立关联导致的，之前尝试过通过设置：

Server application client properties -> confidential -> AD user principal name
将该字段设置为对应的域用户（格式为domain\user），但这么做之后情况没有任何改善。

想请教下，这种处理思路是不是正确的？或者有没有其他方法能让客户端凭证流返回我们需要的角色Claims？

备注：内容来源于stack exchange，提问作者rattaman