令牌加密是可选项：当 SP 要求加密断言时，SP 需在元数据中提供加密证书（公钥），AD FS 用该公钥加密断言后再发送，SP 用自己的私钥解密；若 SP 元数据缺少加密证书而 AD FS 被配置为“始终加密断言”，令牌会因无法加密而被拒绝。