ADFS idP, который сначала проверяет с другим idP?

Процесс авторизации, который я пытаюсь определить, возможен:

1. Пользователь переходит к https://app.example.com/
2. app.example.com не имеет сеанса для пользователя, поэтому он отправляет их https://adfs.example.com
3. adfs.example.com нет сеанса для пользователя
   • у пользователя нет сеанса
     1. adfs.example.com действует как ИП и спрашивает https://notadfsidp.example.com для аутентификации
     2. у пользователя есть сеанс с notadfsidp так что отправляются обратно в adfs как заверенные и в свою очередь app как подтверждено
   • у пользователя есть сеанс
     • пользователь перенаправляется обратно на https://app.example.com как подтверждено

Ситуация:

У меня есть "портал", который использует CAS для аутентификации пользователей. Из-за обстоятельств, не зависящих от меня, сервер CAS захватывает учетные данные пользователя при входе в систему, чтобы их можно было использовать для единого входа в различные службы (это ключ в работе). Одна или несколько служб, для которых они могут использовать единый вход, поддерживаются локальным экземпляром ADFS. Таким образом, идеальная ситуация состоит в том, что, когда они переходят к одной из этих служб, сервер ADFS может узнать от сервера CAS, что они вошли в систему, и порталу не придется использовать их сохраненные учетные данные для аутентификации их с помощью ADFS.

Если описанный выше поток невозможен, можно ли отправить серверу ADFS какое-либо сообщение, в котором говорится, что пользователь прошел аутентификацию в другом месте, и они должны получить сеанс с сервером ADFS?

Примечание: мои познания в SAML очень ограничены, и у меня нет никаких знаний об администрировании сервера ADFS (это коллега).

Изменить № 1: мне нужно, чтобы аутентификация была прозрачной. Другими словами, после аутентификации пользователя на notadfsidp любое посещение adfs из app не потребует от пользователя каких-либо действий.