Azure AD - 在何处添加来自服务提供商的 public 密钥证书以加密 SAML 断言

Azure AD - Where to add the public key certificate from the Service Provider to encrypt the SAML assertion

我已获得服务提供商 (ArcGIS Online) 的 Public 密钥证书，我想用它来加密从 Azure AD (IdP) 发送的断言。

我是否在“单点登录”>“SAML 签名证书”下导入证书（使用 KeyDescriptor="encryption"）

或在令牌加密下

SAML 签名证书页面有“加密断言”选项，但令牌加密的帮助页面建议这是导入证书以加密断言的地方。请说明这两个可以导入证书的位置的区别。

您将其添加到令牌加密中。

Azure AD 使用自己的证书对令牌进行签名。根据文章，有不同的方式来签署令牌。

您应该已经获得了一个 .cer 文件。这是用于加密断言（即声明）的 public 密钥。

SP（应用程序）使用私钥de-encrypt。

因此令牌由 AAD 证书签名，但令牌中的断言由加密证书加密。