在AD中处理帐户的正确方法是为不同的应用程序使用SSO

假设每个应用程序在OIDC模式下从ADFS接收到一个ID令牌,那么作为该ID令牌一部分的每个应用程序都可以访问主题/用户ID,并可以将该ID令牌交换给用户配置文件。作为OIDC OP运行的ADF需要配置为为为每个应用程序发布适当的声明,当然,每个应用程序都应该在初始身份验证时请求适当的所需范围,以便ADF可以授予所需的声明。

每个应用程序接收一个ID令牌,并开始建立与该用户关联的自己的会话。由于应用程序会话独立于SSO会话,所以如果需要实现单次注销,则需要协调工作。