ADFS 与安全私有访问集成

Last published : Oct 24, 2026

声明规则对于控制声明通过声明管道的流向是必要的。声明规则还可用于在声明规则执行过程中自定义声明流。有关声明的更多信息，请参阅 Microsoft 文档。

要将 ADFS 设置为接受来自 Citrix Secure Private Access™ 的声明，您必须执行以下步骤：

在 ADFS 中添加声明提供程序信任

您现在已配置声明提供程序信任，确认 ADFS 现已信任 Citrix Secure Private Access 用于 SAML。

记下您添加的声明提供程序信任 ID。在 Citrix Secure Private Access 中配置应用程序时需要此 ID。声明提供程序信任 ID 示例

如果您的 SaaS 应用程序已使用 ADFS 进行身份验证，则您必须已为该应用程序添加了信赖方信任。在 Citrix Secure Private Access 中配置应用程序时需要此 ID。

RelayState 是 SAML 协议的一个参数，用于标识用户登录并定向到信赖方联合服务器后访问的特定资源。如果在 ADFS 中未启用 RelayState，则用户在向需要它的资源提供程序进行身份验证后会看到错误。

对于 ADFS 2.0，您必须安装更新 KB2681584（更新汇总 2）或 KB2790338（更新汇总 3）以提供 RelayState 支持。ADFS 3.0 内置了 RelayState 支持。在这两种情况下，RelayState 仍然需要启用。

打开文件。
- 对于 ADFS 2.0，在记事本中输入以下文件：%systemroot%\inetpub\adfs\ls\web.config
- 对于 ADFS 3.0，在记事本中输入以下文件：%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
在 microsoft.identityServer.web 部分中，按如下所示为 useRelyStateForIdpInitiatedSignOn 添加一行，并保存更改： <microsoft.identityServer.web> ... <useRelayStateForIdpInitiatedSignOn enabled="true" /> ...</microsoft.identityServer.web>
- 对于 ADFS 2.0，运行 IISReset 以重新启动 IIS。
对于这两个平台，请重新启动 Active Directory Federation Services (adfssrv) service. 注意： 如果您使用的是 Windows 2016 或 Windows 10，请使用以下 PowerShell 命令启用它。 Set-AdfsProperties -EnableRelayStateForIdpInitiatedSignOn $true

命令链接

您可以配置 IdP 发起的流程或 SP 发起的流程。在 Citrix Secure Private Access 中配置 IdP 或 SP 发起的流程的步骤是相同的，不同之处在于，对于 SP 发起的流程，您必须在 UI 中选择**使用指定 URL 启动应用程序 (SP 发起)**复选框。

对于 SP 发起的流程，请按照“IDP 发起的流程”部分中的说明配置设置。此外，请启用“使用指定 URL 启动应用程序 (SP 发起)”复选框。