Azure AD B2C与企业ADFS集成问询：存储带私钥PFX证书相关问题

我刚帮团队完成过类似的Azure AD B2C对接ADFS的部署，结合官方文档的要求，给你梳理下核心的配置要点和注意事项：

与ADFS账号建立联合身份验证时，需客户端密钥使ADFS账号代表应用信任Azure AD B2C，且需将ADFS证书存储在Azure AD B2C租户中

• 客户端密钥与应用信任配置
  你需要在企业ADFS服务器上创建信赖方信任，导入Azure AD B2C的SAML元数据完成初始配置。这个过程中生成的客户端密钥（可以是共享密钥或证书）必须同步到Azure AD B2C的自定义策略里，它是ADFS和B2C之间双向信任的核心凭证——确保ADFS能验证B2C的请求合法性，同时B2C也能信任ADFS返回的响应。

• ADFS证书的存储与使用
  这里提到的带私钥.pfx证书，是ADFS用于签名SAML响应的凭证（也可以使用专门的签名证书）。你需要将该证书导出为包含私钥的PFX格式，然后上传到Azure AD B2C的密钥容器中。在自定义策略的配置里，要通过密钥ID引用这个证书，让B2C能够验证ADFS发送的SAML断言的有效性。

• 关键配置提醒

  • 导出PFX证书时务必牢记密码，上传到B2C时需要填写该密码，否则会导致证书上传失败。
  • 在自定义策略的ClaimsProvider节点中，要正确配置ADFS的元数据地址、签名密钥引用，以及声明映射规则——把ADFS返回的用户属性（如邮箱、用户名）映射到Azure AD B2C所需的标准声明。
  • 测试阶段建议开启Azure AD B2C的日志记录功能，方便排查联合登录过程中的各类问题，比如证书验证失败、声明映射错误等。

内容的提问来源于stack exchange，提问作者SalvatoreGarrubba