ADFS配置
1.登录DC，执行如下命令：
Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10) #命令成功，则返回 GUID 值
#为名为 FSgMSA 的联合身份验证服务创建一个名为 FSgMSA 的新 gMSA adfs.test19.com
New-ADServiceAccount -Name FSgMSA -DnsHostName adfs.test19.com -ServicePrincipalNames http/adfs.test19.com
新建A记录： adfs.test19.com 1.1.1.
2.登录ADFS服务器：
安装并配置adfs，使用域管理员权限配置，组托管账户使用前面新加的FSgMSA账号，使用内部数据库
3.访问https://adfs.test19.com/federationmetadata/2007-06/federationmetadata.xml，测试是否配置成功
4.为owa和ecp分别添加信赖方信任
选择声明感知，手动输入有关信赖方的数据，注释输入 https://mail.test19.com/owa/，跳过证书配置
选择"启用对被动WS-Federation的支持"，在"信赖方WS-Federation 被动协议 URL"中，输入： https://mail.test19.com/owa/
访问控制策略，确认默认选择“允许所有人”，下一步完成为止
编辑OWA和ECP的声明颁发策略：
选择经历或筛选传入声明，规则名称UPN，传入声明类型UPN，传递所有，完成即可
5.添加声明提供方信任：
声明提供方的联合元数据，使用URL：https://saml.test19.com/idp.xml，提示忽略即可
添加声明转换规则，选择传递或筛选传入声明，如upn有多个，则添加多条规则，如下：
5.Exchange配置：
先在ADFS服务器上运行以下命令，获取Thumpprint：
Import-Module
(Get-AdfsCertificate -CertificateType Token-Signing).Thumbprint
在Exchange服务器上运行如下：
Set-OrganizationConfig -AdfsIssuer https://adfs.contoso.com/adfs/ls/ -AdfsAudienceUris "https://mail.contoso.com/owa/","https://mail.contoso.com/ecp/" -AdfsSignCertificateThumbprint "88970C64278A15D642934DC2961D9CCA5E28DA6B"
Set-OwaVirtualDirectory -Identity "Mailbox01\owa (Default Web Site)" -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false
Set-EcpVirtualDirectory -Identity "Mailbox01\ecp (Default Web Site)" -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false
#对所有服务器的owa和ecp虚拟目录启用adfs认证
Get-OwaVirtualDirectory | Set-OwaVirtualDirectory -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false
Get-EcpVirtualDirectory | Set-EcpVirtualDirectory -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false
iisreset
访问 https://adfs.contoso.com/FederationMetadata/2007-06/FederationMetadata.xml ，将下载下来的文件重命名为sp.xml
#WID 场中的 AD FS 服务器从辅助服务器更改为主服务器
Set-AdfsSyncProperties -Role "PrimaryComputer"
#将 WID 场中的主 AD FS 服务器更改为辅助服务器。 必须指定主服务器的完全限定域名。 这样做可能并非所有辅助 AD FS 服务器都正确同步。 注意：主服务器必须可通过从辅助服务器的端口 80 上的 HTTP 访问
Set-AdfsSyncProperties -Role "SecondaryComputer" -PrimaryComputerName "<FQDN of primary server>"
参考：https://docs.microsoft.com/zh-cn/windows-server/identity/ad-fs/technical-reference/the-role-of-the-ad-fs-configuration-database
声明转换规则保留参考：
ADUserUPN：
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"), query = ";userPrincipalName;{0}", param = c.Value);
ADUserSID：
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.microsoft.com/ws/2008/06/identity/claims/primarysid"), query = ";objectSID;{0}", param = c.Value);
