Parece que signedsamlrequests = true está configurado, mas você não está enviando uma solicitação SAML assinada para o AD FS.
Quando você executa o comando abaixo, ele retorna TRUE?
(get-adfsproperties).signedsamlrequestsrequired
Se sim, use o comando abaixo para desligá-lo e testar novamente.
set-adfsproperties -signedsamlrequestsrequired $false
O ideal é configurar o aplicativo do RPIdentifier para enviar solicitações assinadas e configurar a confiança do RP com detalhes do certificado usado pelo RPIdentifier para assinar solicitações.
P.S. Sua conta de serviço do AD FS não deve ser privilegiada e não precisa ser. Apenas uma conta de usuário normal no AD será suficiente. Não é necessário ser membro de nenhum grupo que não seja usuário do domínio.
Remova a associação da conta de serviço de
• Administradores • Admins. Do domínio • Controladores de Domínio • Administradores da empresa • Proprietários Criadores de Diretiva de Grupo • Administradores de Esquemas
Seu identificador de RP só precisa saber sobre o certificado de autenticação de token usado pelo AD FS. Não tenho certeza do que você quis dizer com "Criptografia". Se o certificado de assinatura de token for alterado (por meio da substituição automática de certificados ou de outra forma), será necessário atualizar o lado do identificador de RP com detalhes do novo certificado de assinatura de token do AD FS. Da mesma forma, se os certificados do lado do RPIdentifier forem alterados, a confiança do RP no AD FS deverá ser atualizada.
Se o seu aplicativo espera que o AD FS envie as declarações criptografadas, o RPIdentifier precisa fornecer um certificado a ser usado para criptografia. Isso será configurado no trust RP no lado do AD FS. Observe que o certificado é fornecido pelo RPIdentifier.