Configurare l'iscrizione e l'accesso con un account Microsoft - Azure AD B2C

Articolo
11/08/2023

Prima di iniziare, usare il selettore Scegli un tipo di criterio per scegliere il tipo di criterio che si sta configurando. Azure Active Directory B2C offre due metodi per definire il modo in cui gli utenti interagiscono con le applicazioni: tramite flussi utente predefiniti o tramite criteri personalizzati completamente configurabili. I passaggi necessari in questo articolo sono diversi per ogni metodo.

Nota

In Azure Active Directory B2C i criteri personalizzati sono stati progettati principalmente per far fronte a scenari complessi. Per la maggior parte degli scenari, è consigliabile usare i flussi utente predefiniti. In caso contrario, vedere Introduzione ai criteri personalizzati in Active Directory B2C.

Prerequisiti

Creare un flusso utente in modo che gli utenti possano iscriversi e accedere all'applicazione.
Registrare un'applicazione Web.

Completare i passaggi descritti in Introduzione ai criteri personalizzati in Active Directory B2C
Registrare un'applicazione Web.

Creare un'applicazione di account Microsoft

Per abilitare l'accesso per gli utenti con un account Microsoft in Azure Active Directory B2C (Azure AD B2C), è necessario creare un'applicazione nel portale di Azure. Per altre informazioni, vedere Registrare un'applicazione con Microsoft Identity Platform. Se non si possiede già un account Microsoft, è possibile crearne uno sul sito https://www.live.com/.

Accedi al portale di Azure.
Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant microsoft Entra ID dal menu Directory e sottoscrizioni.
Scegliere Tutti i servizi nell'angolo in alto a sinistra nel portale di Azure e quindi cercare e selezionare Registrazioni per l'app.
Seleziona Nuova registrazione.
Immettere un nome per l'applicazione. Ad esempio, MSAapp1.
In Tipi di account supportati selezionare Account Microsoft personali (ad esempio Skype, Xbox).

Per altre informazioni sulle diverse selezioni dei tipi di account, vedere Guida introduttiva: Registrare un'applicazione con Microsoft Identity Platform.
In URI di reindirizzamento (facoltativo) selezionare Web e immettere https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp. Se si usa un dominio personalizzato, immettere https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp. Sostituire your-tenant-name con il nome del tenant di Azure AD B2C e your-domain-name con il dominio personalizzato.
Selezionare Registra
Annotare l'ID applicazione (client) visualizzato nella pagina Panoramica dell'applicazione. È necessario l'ID client quando si configura il provider di identità nella sezione successiva.
Selezionare Certificati & segreti
Fare clic su Nuovo segreto client
Immettere una Descrizione per il segreto, ad esempio Password applicazione 1, quindi fare clic su Aggiungi.
Annotare la password dell'applicazione visualizzata nella colonna Valore. Il segreto client è necessario quando si configura il provider di identità nella sezione successiva.

Configurare Microsoft come provider di identità

Accedere al portale di Azure come amministratore globale del tenant di Azure AD B2C.
Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant di Azure AD B2C dal menu Directory e sottoscrizioni.
Scegliere Tutti i servizi nell'angolo in alto a sinistra del portale di Azure, cercare Azure AD B2C e selezionarlo.
Selezionare Provider di identità, quindi selezionare Account Microsoft.
Immetti un valore per Nome. Ad esempio, Account del servizio gestito.
Per ID client immettere l'ID applicazione (client) dell'applicazione Microsoft Entra creata in precedenza.
Per Segreto client immettere il segreto client annotato in precedenza.
Seleziona Salva.

Aggiungere un provider di identità Microsoft a un flusso utente

A questo punto, il provider di identità Microsoft è stato configurato, ma non è ancora disponibile in nessuna delle pagine di accesso. Per aggiungere il provider di identità Microsoft a un flusso utente:

Nel tenant di Azure AD B2C selezionare Flussi utente.
Fare clic sul flusso utente che si vuole aggiungere il provider di identità Microsoft.
In Provider di identità social selezionare Account Microsoft.
Seleziona Salva.
Per testare i criteri, selezionare Esegui flusso utente.
In Applicazione selezionare l'applicazione Web denominata testapp1 registrata in precedenza. L'URL di risposta dovrebbe mostrare https://jwt.ms.
Selezionare il pulsante Esegui flusso utente.
Nella pagina di iscrizione o accesso selezionare Microsoft per accedere con l'account Microsoft.

Se il processo di accesso ha esito positivo, il browser viene reindirizzato a https://jwt.ms, che visualizza il contenuto del token restituito da Azure AD B2C.

Configurazione di attestazioni facoltative

Se si desidera ottenere le attestazioni e given_name dall'ID family_name Microsoft Entra, è possibile configurare attestazioni facoltative per l'applicazione nel manifesto dell'interfaccia utente o dell'applicazione portale di Azure. Per altre informazioni, vedere Come fornire attestazioni facoltative all'app Microsoft Entra.

Accedi al portale di Azure. Cercare e selezionare Microsoft Entra ID.
Nella sezione Gestisci selezionare Registrazioni app.
Selezionare l'applicazione per cui si vogliono configurare le attestazioni facoltative nell'elenco.
Nella sezione Gestisci selezionare Configurazione del token (anteprima).
Seleziona Aggiungi un'attestazione facoltativa.
Selezionare il tipo di token da configurare.
Selezionare le attestazioni facoltative da aggiungere.
Fare clic su Aggiungi.

Creare una chiave dei criteri

Dopo aver creato l'applicazione nel tenant di Microsoft Entra, è necessario archiviare il segreto client dell'applicazione nel tenant di Azure AD B2C.

Accedi al portale di Azure.
Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant di Azure AD B2C dal menu Directory e sottoscrizioni.
Scegliere Tutti i servizi nell'angolo in alto a sinistra nel portale di Azure e quindi cercare e selezionare Azure AD B2C.
Nella pagina Panoramica selezionare Framework dell'esperienza di gestione delle identità.
Selezionare Chiavi dei criteri e quindi selezionare Aggiungi.
Per Opzioni scegliere Manual.
Immettere un nome per la chiave dei criteri. Ad esempio, MSASecret. Verrà aggiunto automaticamente il prefisso B2C_1A_ al nome della chiave.
In Segreto, immettere il segreto client annotato nella sezione precedente.
In Uso chiave selezionare Signature.
Fai clic su Crea.

Configurare Microsoft come provider di identità

Per consentire agli utenti di accedere usando un account Microsoft, è necessario definire l'account come provider di attestazioni con cui Azure AD B2C può comunicare tramite un endpoint. L'endpoint offre un set di attestazioni che vengono usate da Azure AD B2C per verificare se un utente specifico è stato autenticato.

È possibile definire Microsoft Entra ID come provider di attestazioni aggiungendo l'elemento ClaimsProvider nel file di estensione del criterio.

Aprire il file dei criteri TrustFrameworkExtensions.xml.
Trovare l'elemento ClaimsProviders. Se non esiste, aggiungerlo nell'elemento radice.

Aggiungere un nuovo ClaimsProvider come illustrato di seguito:

<ClaimsProvider>
  <Domain>live.com</Domain>
  <DisplayName>Microsoft Account</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="MSA-MicrosoftAccount-OpenIdConnect">
      <DisplayName>Microsoft Account</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="ProviderName">https://login.live.com</Item>
        <Item Key="METADATA">https://login.live.com/.well-known/openid-configuration</Item>
        <Item Key="response_types">code</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="scope">openid profile email</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
        <Item Key="client_id">Your Microsoft application client ID</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_MSASecret" />
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
        <OutputClaim ClaimTypeReferenceId="email" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Sostituire il valore di client_id con l'ID applicazione (client) dell'applicazione Microsoft Entra registrato in precedenza.
Salva il file.

I criteri sono stati configurati in modo che Azure AD B2C sappia come comunicare con l'applicazione dell'account Microsoft in Microsoft Entra ID.

Aggiungere un percorso utente

A questo punto, il provider di identità è stato configurato, ma non è ancora disponibile in nessuna delle pagine di accesso. Se non si ha un percorso utente personalizzato, creare un duplicato di un percorso utente modello esistente, altrimenti continuare con il passaggio successivo.

Aprire il file TrustFrameworkBase.xml dallo starter pack.
Trovare e copiare l'intero contenuto dell'elemento UserJourney che include Id="SignUpOrSignIn".
Aprire TrustFrameworkExtensions.xml e trovare l'elemento UserJourneys. Se l'elemento non esiste, aggiungerne uno.
Incollare l'intero contenuto dell'elemento UserJourney copiato come figlio dell'elemento UserJourneys.
Rinominare l'ID del percorso utente. Ad esempio, Id="CustomSignUpSignIn".

Aggiungere il provider di identità a un percorso utente

Dopo aver creato un percorso utente, aggiungere il nuovo provider di identità al percorso utente. Aggiungere prima un pulsante di accesso, quindi collegare il pulsante a un'azione. L'azione è il profilo tecnico creato in precedenza.

Trovare l'elemento del passaggio di orchestrazione che include Type="CombinedSignInAndSignUp"o Type="ClaimsProviderSelection" nel percorso utente. In genere è il primo passaggio di orchestrazione. L'elemento ClaimsProviderSelections contiene un elenco di provider di identità con cui un utente può accedere. L'ordine degli elementi controlla l'ordine dei pulsanti di accesso presentati all'utente. Aggiungere un elemento XML ClaimsProviderSelection . Impostare il valore di TargetClaimsExchangeId su un nome descrittivo.
Nel passaggio di orchestrazione successivo aggiungere un elemento ClaimsExchange . Impostare ID sul valore dell'ID di scambio di attestazioni di destinazione. Aggiornare il valore di TechnicalProfileReferenceId sull'ID del profilo tecnico creato in precedenza.

Il codice XML seguente illustra i primi due passaggi di orchestrazione di un percorso utente con il provider di identità:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="MicrosoftAccountExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="MicrosoftAccountExchange" TechnicalProfileReferenceId="MSA-MicrosoftAccount-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Configurare i criteri della relying party

I criteri della relying party, ad esempio SignUpSignIn.xml, specificano il percorso utente che verrà eseguito da Azure AD B2C. Trovare l'elemento DefaultUserJourney all'interno della relying party. Aggiornare ReferenceId in modo che corrisponda all'ID percorso utente in cui è stato aggiunto il provider di identità.

Nell'esempio seguente, per il CustomSignUpSignIn percorso utente, ReferenceId è impostato su CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Caricare il criterio personalizzati

Accedi al portale di Azure.
Selezionare l'icona Directory e sottoscrizione nella barra degli strumenti del portale e quindi la directory contenente il tenant di Azure AD B2C.
Nel portale di Azure cercare e selezionare Azure AD B2C.
In Criteri selezionare Identity Experience Framework.
Selezionare Carica criteri personalizzati e quindi caricare i due file di criteri modificati, nell'ordine seguente: i criteri di estensione, ad esempio , quindi i criteri della relying party, ad esempio TrustFrameworkExtensions.xmlSignUpSignIn.xml.

Testare i criteri personalizzati

Selezionare i criteri della relying party, ad esempio B2C_1A_signup_signin.
In Applicazione selezionare un'applicazione Web registrata in precedenza. L'URL di risposta dovrebbe mostrare https://jwt.ms.
Selezionare il pulsante Esegui adesso .
Nella pagina di iscrizione o accesso selezionare Microsoft per accedere con l'account Microsoft.

Se il processo di accesso ha esito positivo, il browser viene reindirizzato a https://jwt.ms, che visualizza il contenuto del token restituito da Azure AD B2C.

Configurare l'iscrizione e l'accesso con un account Microsoft tramite Azure Active Directory B2C

Prerequisiti

Creare un'applicazione di account Microsoft

Configurare Microsoft come provider di identità

Aggiungere un provider di identità Microsoft a un flusso utente

Configurazione di attestazioni facoltative

Creare una chiave dei criteri

Configurare Microsoft come provider di identità

Aggiungere un percorso utente

Aggiungere il provider di identità a un percorso utente

Configurare i criteri della relying party

Caricare il criterio personalizzati

Testare i criteri personalizzati

Risorse aggiuntive