从Azure AD的SAML属性中获取邮箱及Manager ID遇阻

针对你遇到的这两个SAML属性映射问题，我整理了具体的解决步骤，帮你搞定：

问题1：主邮箱未在SAML响应中传递，仅返回备用邮箱 #

从你贴出的SAML响应片段来看，当前返回的name属性是租户默认的用户主体名称（Joe.Bloggs@EXAMPLE.onmicrosoft.com），备用邮箱则通过otheremail字段返回。要让真正的主邮箱（用户的Primary Email）出现在SAML响应里，你需要调整属性映射的配置：

• 先检查Azure AD企业应用的属性映射规则：你之前选的源属性可能不对，Azure AD中对应主邮箱的属性是user.mail（在界面里显示名称通常是“电子邮件”），而不是user.userprincipalname（后者是租户内的默认登录账号）。
• 修正映射：创建或修改属性映射，源属性选择mail，目标属性可以设为标准的http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress，或者自定义名称比如primaryemail。
• 验证用户属性：确认Azure AD中该用户的mail字段确实有值（可以在Azure AD门户的用户详情页查看，或者用PowerShell命令Get-AzureADUser -ObjectId <用户ID> | Select-Object Mail检查），如果这个字段为空，Azure AD会自动 fallback 到userprincipalname，但你说用户已经填写了主邮箱，这一步可以快速排查。
• 最后别忘了刷新测试：保存配置后，用隐私窗口重新发起登录流程，避免浏览器缓存旧的SAML令牌。

问题2：找不到Manager ID的属性映射选项 #

Azure AD默认的属性列表里确实没有直接的Manager ID选项，但咱们可以通过自定义表达式映射来实现：

• 进入企业应用的属性配置页面，点击「添加新的属性映射」。
• 切换到「高级选项」，选择「使用源属性的表达式」。
• 输入表达式[user.manager.objectId]，这个表达式会提取用户经理的Object ID作为属性值；如果你需要经理的邮箱，就用[user.manager.mail]，依此类推。
• 设置目标属性名称（比如managerid），保存配置即可。

注意：只有当用户的经理信息在Azure AD中已经正确配置（用户详情页的「经理」字段已填写），这个属性才会被传递到SAML响应里哦。

内容的提问来源于stack exchange，提问作者Duncan Smart