Aanmelding instellen voor een specifieke Microsoft Entra-organisatie in Azure Active Directory B2C

  • Artikel

In dit artikel leest u hoe u aanmelding inschakelt voor gebruikers van een specifieke Microsoft Entra-organisatie met behulp van een gebruikersstroom in Azure AD B2C.

Voordat u begint, gebruikt u de selector Een beleidstype kiezen om het type beleid te kiezen dat u instelt. U kunt in Azure Active Directory B2C op twee manieren definiëren hoe gebruikers met uw toepassingen communiceren: via vooraf gedefinieerde gebruikersstromen of via volledig configureerbaar aangepast beleid. De stappen die in dit artikel zijn vereist, verschillen voor elke methode.

Notitie

In Azure Active Directory B2C is aangepast beleid voornamelijk bedoeld om met complexe scenario's om te gaan. Voor de meeste scenario's wordt aangeraden ingebouwde gebruikersstromen te gebruiken. Als u dit nog niet hebt gedaan, vindt u meer informatie over aangepast beleid in het starterspakket in Aan de slag met aangepaste beleidsregels in Active Directory B2C.

Vereisten

Het uitgeversdomein van de toepassing verifiëren

Vanaf november 2020 worden nieuwe toepassingsregistraties weergegeven als niet-geverifieerd in de vraag naar gebruikerstoestemming, tenzij het uitgeversdomein van de toepassing is geverifieerden de identiteit van het bedrijf is geverifieerd met Microsoft Partner Network en gekoppeld aan de toepassing. (Meer informatie over deze wijziging.) Houd er rekening mee dat voor Azure AD B2C-gebruikersstromen het domein van de uitgever alleen wordt weergegeven wanneer u een Microsoft-account of een andere Microsoft Entra-tenant als id-provider gebruikt. Ga als volgt te werk om te voldoen aan deze nieuwe vereisten:

  1. Verifieer uw bedrijfsidentiteit met behulp van uw MPN-account (Microsoft Partner Network). In dit proces wordt informatie over uw bedrijf en de eerste contactpersoon van uw bedrijf geverifieerd.
  2. Voltooi het verificatieproces van de uitgever om uw MPN-account te koppelen aan uw app-registratie met behulp van een van de volgende opties:

Een Microsoft Entra-app registreren

Als u aanmelding wilt inschakelen voor gebruikers met een Microsoft Entra-account van een specifieke Microsoft Entra-organisatie, moet u in Azure Active Directory B2C (Azure AD B2C) een toepassing maken in Azure Portal. Zie Een toepassing registreren bij het Microsoft-identiteitsplatform voor meer informatie.

  1. Meld u aan bij de Azure-portal.

  2. Als u toegang hebt tot meerdere tenants, selecteert u het pictogram Instellingen in het bovenste menu om over te schakelen naar uw Microsoft Entra ID-tenant in het menu Mappen en abonnementen.

  3. Zoek en selecteer Microsoft Entra ID in Azure Portal.

  4. Selecteer App-registraties in het linkermenu onder Beheren.

  5. Selecteer + Nieuwe registratie.

  6. Voer een Naam in voor de toepassing. Bijvoorbeeld Azure AD B2C App.

  7. Accepteer de standaardselectie van accounts in deze organisatiemap alleen (alleen standaardmap - één tenant) voor deze toepassing.

  8. Accepteer voor de omleidings-URI de waarde van het web en voer in alle kleine letters de volgende URL in, waarbij your-B2C-tenant-name deze wordt vervangen door de naam van uw Azure AD B2C-tenant.

    https://your-B2C-tenant-name.b2clogin.com/your-B2C-tenant-name.onmicrosoft.com/oauth2/authresp

    Bijvoorbeeld https://fabrikam.b2clogin.com/fabrikam.onmicrosoft.com/oauth2/authresp.

    Als u een aangepast domein gebruikt, voert u https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp in. Vervang your-domain-name door uw aangepaste domein en your-tenant-name door de naam van uw tenant.

  9. Selecteer Registreren. Noteer de Toepassings-id (client) voor gebruik in een latere stap.

  10. Selecteer Certificatengeheimen &en selecteer vervolgens Nieuw clientgeheim.

  11. Voer een beschrijving voor het geheim in, selecteer een vervaldatum en selecteer vervolgens Toevoegen. Noteer de waarde van het geheim voor gebruik in een latere stap.

Microsoft Entra-id configureren als een id-provider

  1. Als u toegang hebt tot meerdere tenants, selecteert u het pictogram Instellingen in het bovenste menu om over te schakelen naar uw Azure AD B2C-tenant in het menu Mappen en abonnementen.

  2. Kies Alle services linksboven in de Azure Portal, zoek Azure AD B2C en selecteer deze.

  3. Selecteer Id-providers en selecteer vervolgens Nieuwe OpenID Connect-provider.

  4. Voer bij Naam een naam in. Voer bijvoorbeeld De Microsoft Entra-id van Contoso in.

  5. Voer voor metagegevens-URL de volgende URL in die wordt {tenant} vervangen door de domeinnaam van uw Microsoft Entra-tenant:

    https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid-configuration

Bijvoorbeeld https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0/.well-known/openid-configuration. Als u een aangepast domein gebruikt, vervangt u dit door contoso.com uw aangepaste domein in https://login.microsoftonline.com/contoso.com/v2.0/.well-known/openid-configuration.

  1. Voor Client-id voert u de toepassings-id in die u eerder hebt genoteerd.

  2. Voer voor clientgeheim de waarde van het clientgeheim in die u eerder hebt vastgelegd.

  3. Voer voor Bereik het volgende in openid profile.

  4. Behoud de standaardwaarden voor Antwoordtype en Antwoordmodus.

  5. Voer contoso.com in voor Domeinhint (optioneel). Raadpleeg Direct aanmelden met behulp van Azure Active Directory B2C instellen.

  6. Selecteer onder Claimstoewijzing voor id-provider de volgende claims:

    • Gebruikers-id: oid
    • Weergavenaam: name
    • Voornaam: given_name
    • Achternaam: family_name
    • E-mail: e-mail

  7. Selecteer Opslaan.

Microsoft Entra-id-provider toevoegen aan een gebruikersstroom

Op dit moment is de Microsoft Entra-id-provider ingesteld, maar deze is nog niet beschikbaar op een van de aanmeldingspagina's. De Microsoft Entra-id-provider toevoegen aan een gebruikersstroom:

  1. Selecteer Gebruikersstromen in uw Azure AD B2C-tenant.
  2. Klik op de gebruikersstroom die u wilt toevoegen aan de Microsoft Entra-id-provider.
  3. Selecteer id-providers onder Instellingen
  4. Selecteer onder Aangepaste id-providers contoso Microsoft Entra-id.
  5. Selecteer Opslaan.
  6. Selecteer Gebruikersstroom uitvoeren om uw beleid te testen.
  7. Selecteer voor Toepassing een webtoepassing die u eerder hebt geregistreerd. De antwoord-URL moet https://jwt.ms weergeven.
  8. Klik op de knop Gebruikersstroom uitvoeren.
  9. Selecteer op de registratie- of aanmeldingspagina Contoso Microsoft Entra ID om u aan te melden met het Microsoft Entra Contoso-account.

Als het aanmeldingsproces is voltooid, wordt uw browser omgeleid naar https://jwt.ms, waar de inhoud van het door Azure AD B2C geretourneerde token wordt weergegeven.

Een beleidssleutel maken

U moet de toepassingssleutel opslaan die u hebt gemaakt in uw Azure AD B2C-tenant.

  1. Als u toegang hebt tot meerdere tenants, selecteert u het pictogram Instellingen in het bovenste menu om over te schakelen naar uw Azure AD B2C-tenant in het menu Mappen en abonnementen.
  2. Kies Alle services linksboven in de Azure Portal, zoek Azure AD B2C en selecteer deze.
  3. Selecteer onder Beleid de optie Identity Experience Framework.
  4. Selecteer Beleidssleutels en vervolgens Toevoegen.
  5. Voor Opties kiest u Manual.
  6. Voer een naam in voor de beleidssleutel. Bijvoorbeeld ContosoAppSecret. Het voorvoegsel B2C_1A_ wordt automatisch toegevoegd aan de naam van uw sleutel wanneer deze wordt gemaakt, dus de verwijzing in de XML in de volgende sectie is om te B2C_1A_ContosoAppSecret.
  7. Voer in Geheim de waarde van het clientgeheim in die u eerder hebt genoteerd.
  8. Selecteer voor Sleutelgebruik de optie Signature.
  9. Selecteer Maken.

Microsoft Entra-id configureren als een id-provider

Als u wilt dat gebruikers zich kunnen aanmelden met een Microsoft Entra-account, moet u Microsoft Entra-id definiëren als een claimprovider waarmee Azure AD B2C kan communiceren via een eindpunt. Het eindpunt biedt een set claims die worden gebruikt door Azure AD B2C om te controleren of een specifieke gebruiker is geverifieerd.

U kunt Microsoft Entra-id definiëren als een claimprovider door Microsoft Entra-id toe te voegen aan het element ClaimsProvider in het extensiebestand van uw beleid.

  1. Open het bestand TrustframeworkExtensions.xml.

  2. Ga naar het element ClaimsProviders. Als dit niet voorkomt, voegt u het toe onder het hoofdelement.

  3. Voeg als volgt een nieuwe ClaimsProvider toe:

    <ClaimsProvider>
  <Domain>Contoso</Domain>
  <DisplayName>Login using Contoso</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="AADContoso-OpenIdConnect">
      <DisplayName>Contoso Employee</DisplayName>
      <Description>Login with your Contoso account</Description>
      <Protocol Name="OpenIdConnect"/>
      <Metadata>
        <Item Key="METADATA">https://login.microsoftonline.com/tenant-name.onmicrosoft.com/v2.0/.well-known/openid-configuration</Item>
        <Item Key="client_id">00000000-0000-0000-0000-000000000000</Item>
        <Item Key="response_types">code</Item>
        <Item Key="scope">openid profile</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_ContosoAppSecret"/>
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid"/>
        <OutputClaim ClaimTypeReferenceId="tenantId" PartnerClaimType="tid"/>
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName"/>
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName"/>
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId"/>
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId"/>
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin"/>
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

  4. Werk onder het element ClaimsProvider de waarde voor domein bij naar een unieke waarde die kan worden gebruikt om deze te onderscheiden van andere id-providers. Bijvoorbeeld Contoso. U plaatst .com een domeininstelling niet aan het einde van deze domeininstelling.

  5. Werk onder het element ClaimsProvider de waarde voor DisplayName bij naar een beschrijvende naam voor de claimprovider. Deze waarde wordt momenteel niet gebruikt.

Het technische profiel bijwerken

Als u een token wilt ophalen van het Microsoft Entra-eindpunt, moet u de protocollen definiëren die Azure AD B2C moet gebruiken om te communiceren met Microsoft Entra-id. Dit wordt gedaan in het element TechnicalProfile van ClaimsProvider.

  1. Werk de id van het element TechnicalProfile bij . Deze id wordt gebruikt om te verwijzen naar dit technische profiel uit andere onderdelen van het beleid, bijvoorbeeld AADContoso-OpenIdConnect.
  2. Werk de waarde voor DisplayName bij. Deze waarde wordt weergegeven op de aanmeldingsknop op het aanmeldingsscherm.
  3. Werk de waarde voor Beschrijving bij.
  4. Microsoft Entra ID maakt gebruik van het OpenID-Verbinding maken-protocol, dus zorg ervoor dat de waarde voor Protocol isOpenIdConnect.
  5. Stel de waarde van de METAGEGEVENS in op https://login.microsoftonline.com/tenant-name.onmicrosoft.com/v2.0/.well-known/openid-configuration, waar tenant-name is de naam van uw Microsoft Entra-tenant. Bijvoorbeeld: https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0/.well-known/openid-configuration
  6. Stel client_id in op de toepassings-id van de toepassingsregistratie.
  7. Werk onder CryptographicKeys de waarde van StorageReferenceId bij naar de naam van de beleidssleutel die u eerder hebt gemaakt. Bijvoorbeeld B2C_1A_ContosoAppSecret.

Een gebruikerstraject toevoegen

Op dit punt is de id-provider ingesteld, maar is deze nog niet beschikbaar op een van de aanmeldingspagina's. Als u niet over een eigen aangepast gebruikerstraject beschikt, maakt u een duplicaat van een bestaand gebruikerstrajectsjabloon. In het andere geval gaat u verder met de volgende stap.

  1. Open het bestand TrustFrameworkBase.xml vanuit het starterspakket.
  2. Zoek en kopieer de volledige inhoud van het element UserJourney dat Id="SignUpOrSignIn" bevat.
  3. Open het bestand TrustFrameworkExtensions.xml en ga naar het element UserJourneys. Als het element niet voorkomt, voegt u het toe.
  4. Plak de volledige inhoud van het element UserJourney dat u hebt gekopieerd als een onderliggend element van het element UserJourneys.
  5. Wijzig de naam van de id van het gebruikerstraject. Bijvoorbeeld Id="CustomSignUpSignIn".

De id-provider toevoegen aan een gebruikerstraject

Nu u over een gebruikerstraject beschikt, voegt u de nieuwe id-provider toe aan het gebruikerstraject. U voegt eerst een aanmeldingsknop toe en koppelt de knop aan een actie. De actie is het technische profiel dat u eerder hebt gemaakt.

  1. Ga in het gebruikerstraject naar het element van de indelingsstap dat Type="CombinedSignInAndSignUp" of Type="ClaimsProviderSelection" bevat. Dit is doorgaans de eerste indelingsstap. Het element ClaimsProviderSelections bevat een lijst met id-providers waarmee een gebruiker zich kan aanmelden. De volgorde van de elementen bepaalt de volgorde van de aanmeldingsknoppen die aan de gebruiker worden gepresenteerd. Voeg een XML-element ClaimsProviderSelection toe. Stel de waarde van TargetClaimsExchangeId in op een beschrijvende naam.

  2. Voeg in de volgende indelingsstap een element ClaimsExchange toe. Stel de id in op de waarde van de Exchange-id van de doelclaims. Werk de waarde van TechnicalProfileReferenceId bij naar de id van het technische profiel dat u eerder hebt gemaakt.

In de volgende XML ziet u de eerste twee indelingsstappen van een gebruikerstraject met de id-provider:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="AzureADContosoExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="AzureADContosoExchange" TechnicalProfileReferenceId="AADContoso-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Het Relying Party-beleid configureren

Met het Relying Party-beleid, bijvoorbeeld SignUpSignIn.xml, wordt het gebruikerstraject opgegeven dat door Azure AD B2C wordt uitgevoerd. Ga naar het element DefaultUserJourney binnen de Relying Party. Werk de ReferenceId bij zodat deze overeenkomt met de gebruikerstraject-id, waarin u de id-provider hebt toegevoegd.

In het volgende voorbeeld is voor het CustomSignUpSignIn-gebruikerstraject de ReferenceId ingesteld op CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Het aangepaste beleid uploaden

  1. Meld u aan bij de Azure-portal.
  2. Selecteer het pictogram Map + Abonnement in de werkbalk van de portal en selecteer vervolgens de map die uw Azure AD B2C-tenant bevat.
  3. Zoek en selecteer Azure AD B2C in de Azure-portal.
  4. Selecteer onder Beleid de optie Identity Experience Framework.
  5. Selecteer Aangepast beleid uploaden en upload vervolgens de twee beleidsbestanden die u hebt gewijzigd, in de volgende volgorde: het uitbreidingsbeleid, bijvoorbeeld TrustFrameworkExtensions.xml en vervolgens het Relying Party-beleid, zoals SignUpSignIn.xml.

Uw aangepaste beleid testen

  1. Selecteer uw Relying Party-beleid, bijvoorbeeld B2C_1A_signup_signin.
  2. Selecteer voor Toepassing een webtoepassing die u eerder hebt geregistreerd. De antwoord-URL moet https://jwt.ms weergeven.
  3. Selecteer de knop Nu uitvoeren.
  4. Selecteer op de registratie- of aanmeldingspagina Contoso-werknemer om u aan te melden met het Microsoft Entra Contoso-account.

Als het aanmeldingsproces is voltooid, wordt uw browser omgeleid naar https://jwt.ms, waar de inhoud van het door Azure AD B2C geretourneerde token wordt weergegeven.

[Optioneel] Optionele claims configureren

Als u de family_name en given_name claims van Microsoft Entra ID wilt ophalen, kunt u optionele claims configureren voor uw toepassing in de gebruikersinterface of het toepassingsmanifest van Azure Portal. Zie Optionele claims opgeven voor uw Microsoft Entra-app voor meer informatie.

  1. Meld u aan bij Azure Portal met behulp van uw Microsoft Entra-tenant van uw organisatie. Of als u al bent aangemeld, moet u ervoor zorgen dat u de directory gebruikt die uw Microsoft Entra-tenant van uw organisatie bevat (bijvoorbeeld Contoso):
    1. Selecteer op de portalwerkbalk het pictogram Mappen + abonnementen.
    2. In de portalinstellingen | Directory's + abonnementenpagina , zoek uw Microsoft Entra-map in de lijst met directorynamen en selecteer schakeloptie.
  2. Zoek en selecteer Microsoft Entra ID in Azure Portal.
  3. Selecteer App-registraties in het linkermenu onder Beheren.
  4. Selecteer de toepassing waarvoor u optionele claims wilt configureren in de lijst, zoals Azure AD B2C App.
  5. Selecteer in de sectie Beheren de configuratie van het token.
  6. Selecteer Optionele claim toevoegen.
  7. Selecteer id voor het tokentype.
  8. Selecteer de optionele claims die u wilt toevoegen en family_namegiven_name.
  9. Selecteer Toevoegen. Als de machtiging voor het Microsoft Graph-profiel (vereist voor claims die in het token moeten worden weergegeven) is ingeschakeld, schakelt u deze in en selecteert u Opnieuw toevoegen .

[Optioneel] De echtheid van uw app verifiëren

Verificatie van uitgever helpt uw gebruikers inzicht te hebben in de echtheid van de app die u hebt geregistreerd. Een geverifieerde app betekent dat de uitgever van de app zijn identiteit heeft geverifieerd met behulp van het Microsoft Partner Network (MPN). Meer informatie over hoe u aangeeft dat uw app door de uitgever is geverifieerd.

Volgende stappen

Meer informatie over het doorgeven van het Microsoft Entra-token aan uw toepassing.