如何继续使用适用于 AWS Cognito 的 AD FS SAML？

我正在设置 AD FS 来生成 SAML 元数据以连接到 AWS Cognito 用户池。我已经生成了 xml 元数据并将其上传到用户池。我应该在 AD FS 站点上创建信任中继吗？是否还有其他步骤可以让我的 AD 用户可用于 Web 应用程序登录？

对于 ADFS 2.0，步骤如下：

1. 转到“信任关系”->“依赖方信任”->“添加 信赖方信托”。这将启动一个向导。
2. 选择选项“手动输入有关信赖方的数据”。
3. 输入显示名称。
4. 选择ADFS 2.0
5. 在下一个屏幕上。不要配置证书。
6. 启用对“SAML 2.0 SSO 服务 URL”的支持
7. 添加依赖方信任标识符，该标识符将是 “瓮：亚马逊：认知：sp：”
8. 选择“允许所有用户访问此依赖方”
9. 单击“完成”。

现在您将在列表中看到您配置的依赖方信任。信任已经建立，但我们仍然需要设置当用户使用此依赖方进行身份验证时发送哪些声明。右键单击依赖方信任，然后单击“编辑声明规则”

1. 选择索赔规则名称
2. 如果您的用户位于 Active Directory 中，属性存储可以是 Active Directory
3. 将 LDAP 属性（例如电子邮件地址）映射到传出声明类型（例如电子邮件）

Cognito 端的配置非常简单，您只需上传metadata.xml 或提供托管metadata.xml 的URL 即可。

如果您使用该 URL，那么我们会定期提取最新的证书。