用途：在本地 Active Directory（通过 AD FS 或 Okta、Ping 等第三方 IdP）与 Microsoft Entra ID（原 Azure AD）之间建立 SAML 2.0 身份联合，使本地认证的用户可访问云端资源，并可为第三方 SaaS 应用配置联合 SSO。
主要能力：支持联合（AD FS）、托管（密码哈希同步 PHS、直通认证 PTA）及第三方联合等模型；配置联合域、依赖方信任、声明规则（将 AD 属性转换为 SAML 声明）、令牌签名证书生命周期管理与验证清单。
使用方式：先安装并配置 AD FS 场（Install-WindowsFeature ADFS-Federation、Install-AdfsFarm），再用 Microsoft Graph PowerShell（Install-Module Microsoft.Graph、Connect-MgGraph、New-MgDomainFederationConfiguration）将托管域转为联合域；通过 Add-AdfsRelyingPartyTrust 与 Set-AdfsRelyingPartyTrust 配置声明规则；在 Entra 管理中心的企业应用中配置 SAML SSO；用 Get-AdfsCertificate、Set-AdfsCertificate 管理证书轮换。
适用场景：需将认证权威保留在本地的合规环境、混合身份部署、多 IdP 环境及 SaaS 单点登录。
限制：需本地 AD 域、AD FS 2019+ 或第三方 SAML IdP、Entra ID 租户（建议 P1/P2）、公网 TLS 证书与 DNS 记录；具体收费、价格与效果资料未提供。