（如您转载本文，必须标明本文作者及出处。如有任何疑问请与我联系 me@nap7.com）
ADFS 相关开发技术的中文资料相对匮乏，之前在弄这个东西的时候搞的比较辛苦，因此总结此文档，以解后人之忧。
本文会首先介绍与联合身份验证有关的概念及相关的系统设计意图，随后会对 ADFS 联合身份验证的配置过程、结构及处理流程进行阐述。然后会基于已有的系统提出一个支持多 ADFS 联合身份验证的改进实例，并对其结构及处理流程进行阐述。最后会对开发过程中所遭遇的一些问题进行介绍。真诚希望本文能够帮助读者较快地了解联合身份验证的相关知识。
一 ADFS 基本概念与设计意图
1 基本概念阐述
1.1 联合身份验证
联合身份验证（Federated Identity）是一种用户身份的验证方式，这种验证方式通过把用户身份的验证过程与被该用户访问的服务提供商（SP，Service Provider，如我们自己的站点）进行逻辑分离，在保证用户身份信息被隔离在用户所属系统的内部的同时，为受信任的服务提供商提供所需要的用户信息。
当服务提供商需要对用户的身份进行验证时，会将相关的验证过程转交给身份验证提供方（IdP，Identity Provider，如AvePoint域的 AD FS 验证服务），当用户经由身份验证提供方成功登录后，身份验证提供方会将用户的身份验证凭据和用户相关的信息返还给服务提供商，从而实现服务提供商对于用户身份的验证，以及对于用户信息获取。
常见的联合身份验证的实现有SAML、OAuth、OpenID等方式，本文主要介绍的是基于Claims和SAML 2.0的 AD FS 联合身份验证。在基于Claims的联合身份验证的过程中，当身份验证提供方完成对于用户身份的验证，返还用户的相关信息时，其数据信息实体被称之为令牌（Token），其中的相关信息字段被称为声明（Claims）。令牌保证了用户身份的真实性，并包含了实用信息，其结构如下图所示。
