仅联合 AzureAD 中的部分用户，而不是整个域

Question

我们想在组织中测试一个新的 IDP（此 IDP 是内部 SAML 兼容的 IDP）。我们正在使用 AzureAD。

如果我们联合一个新域，我们可以测试身份验证，并且它可以工作（[电子邮件保护]）。

现在，我们想从主域中选择一些真实用户（[电子邮件保护])，并仅联合这些用户，以便他们可以开始测试 idp 而不会中断所有其他用户。这可能吗？我们可以只联合一些用户在 AzureAD 中使用 IDP 吗，还是必须始终是整个域？

我们的目标是实现用户的逐步迁移，以便我们能够以最小的影响修复最终的第一个错误。

Answer 1

看起来你不能，请参阅 MS 文档以获取更多信息：https://docs.microsoft.com/en-us/azure/active-directory/external-identities/direct-federation

Answer 2

如果您的本地 Active Directory 帐户使用不同的 UPN 后缀进行联合登录，您应该能够做到这一点。配置其他用户以使用不同的身份验证形式，例如单点登录、直通身份验证或简单密码同步。