ADFS不向自定义属性存储区发出声明

Question

我正在尝试解决为什么我们的某些用户没有通过我们的自定义属性存储区发布声明。

认证我们的主要属性存储设备是Active Directory中，但我们使用了两个自定义属性存储发行给用户一些自定义声明，并进行发布的权利要求的一些记录。当受影响的用户登录时，它们通过AD成功进行身份验证，但没有添加任何声明。根据我们的属性存储中的日志记录，BeginExecuteQuery从不被调用。

我看不到任何东西给受影响的用户联系起来，但他们似乎主要是新用户，或者没有在很长一段时间登录到系统的用户。重新启动ADFS有时会清除问题，但是不管它是否是随机的。

我试图理解为什么某些用户在登录时ADFS会忽略某个属性存储区，但这对于其他用户来说可以正常工作。如果有一个快速保证的临时修复来正确地发布用户的声明，那也是有用的！

出于安全原因，我无法访问ADFS调试跟踪。

Answer 1

这最终通过对微软的AD FS支持团队的长串调用得到解决。这个问题被追溯到我们声称的一条规则语言，该规则语言使用了lastLogon和lastLogonTimestamp AD属性，但未理解它们的实际表现。这意味着对于某些用户来说，授予定制声明的条件从未得到满足。