了解声明

电子邮件声明类型始终映射到电子邮件声明类型。作为此映射的一部分，在帐户联合身份验证服务上，域后缀可能映射到一个常值。将域后缀映射到某个常数值可防止伙伴组织无意中向另一个组织提供关于他们的内部林结构的信息。在资源联合身份验证服务中，可能会根据常值列表筛选域后缀。

以下示例说明两个组织 Tailspin Toys 和 Adventure Works 之间的 AD FS 联合身份验证。在此示例中，Tailspin Toys 是帐户伙伴，Adventure Works 是资源伙伴。

• 充当帐户联合身份验证服务的 Tailspin Toys 将电子邮件组织声明映射到 Adventure Works 的传出电子邮件声明。作为该映射的一部分，将所有电子邮件后缀映射到 tailspintoys.com。如果组织电子邮件声明为 (e-mail=jsmith@sales.tailspintoys.com)，传出电子邮件声明则为 (e-mail=jsmith@tailspintoys.com)。
  
  
• 充当资源联合身份验证服务的 Adventure Works 将传入 Tailspin Toys 电子邮件声明映射到电子邮件组织声明，作为该映射的一部分，将根据 tailspintoys.com 筛选后缀列表。因此，接受传入 Tailspin Toys 电子邮件声明 (e-mail=jsmith@tailspintoys.com)，但是拒绝传入 Tailspin Toys 电子邮件声明 (e-mail=jsmith@adventure-works.com)。
  
  

UPN 声明类型始终映射到 UPN 声明类型。与电子邮件声明相同，UPN 声明类型也受后缀映射和筛选的影响。但是，因为 AD DS 允许不带 @ 符号的 UPN，所以，如果定义了 UPN 后缀映射，帐户联合身份验证服务会附加 @ 符号，后跟后缀。否则，如果通过任何后缀，联合身份验证服务会原样传递不带 @ 符号的 UPN。在资源端，如果允许任何 UPN 后缀，将接受不带 @ 符号的 UPN。否则，如果允许特定的 UPN 后缀，将拒绝不带 @ 符号的 UPN。

公用名声明类型始终映射到公用名声明类型。公用名声明类型不受任何其他规则的影响。

自定义声明类型始终映射到其他自定义声明类型。例如，如果传入声明集为 (UPN, Custom=[EmployeeNumber, TaxPayerID])，组织声明集为 (UPN, Custom=[Employee, SSN])，可以创建从 EmployeeNumber 到 Employee 的映射和从 TaxPayerID 到 SSN 的映射。

组声明类型始终映射到其他组声明类型。例如，如果传入声明集为 (UPN, Group=[One, Two, Three])，组织声明集为 (UPN, Group=[X,Y,Z])，可以创建从 One 到 Y 的映射、从 Two 到 X 的映射和从 Three 到 Z 的映射。

除了上面各个部分说明的标准映射之外，还可以使用特殊的组到 UPN 的声明映射。如果声明从帐户伙伴传入，只有资源联合身份验证服务支持组到 UPN 的声明映射。在这种情况下，UPN 声明类型不会映射到 UPN 声明类型。而是提供组到 UPN 的声明映射的排序列表。

例如，组到 UPN 的列表可能为：

1. Dev 到 developers@internal.tailspintoys.com
   
   
2. Test 到 testers@internal.tailspintoys.com
   
   
3. PM 到 progmgrs@internal.tailspintoys.com
   
   

如果传入声明集为 (Common name=John Smith, Group=[Dev])，组织声明集将包含 (Common name=John Smith, UPN=developers@internal.tailspintoys.com)。记住，该列表已排序。因此，声明集 (Common name=John Smith, Group=[Dev,PM]) 将生成 (Common name=John Smith, UPN=developers@internal.tailspintoys.com)。此外，如果传入声明包含 UPN，将覆盖该 UPN。此特殊映射规则专门支持访问旧式资源的基于组的资源帐户。组到 UPN 的映射的顺序在联合身份验证服务的信任策略中指定。