Technisch overzicht en functieoverzicht van Azure Active Directory B2C
Dit artikel hoort bij Wat is Azure Active Directory B2C? en biedt een meer uitgebreide inleiding van de service. Hier worden de primaire resources besproken die u gebruikt in de service, met de functies ervan. Ontdek hoe u met deze functies een volledig aangepaste identiteitservaring kunt bieden voor uw klanten in uw toepassingen.
Azure AD B2C-tenant
In Azure Active Directory B2C (Azure AD B2C) vertegenwoordigt een tenant uw organisatie en bestaat deze uit een directory, ook wel adreslijst genoemd. Elke Azure AD B2C-tenant is uniek en staat volledig los van andere Azure AD B2C-tenants. Een Azure AD B2C-tenant is iets anders dan een Azure Active Directory-tenant, die u misschien al hebt.
Dit zijn de primaire resources waarmee u werkt in een Azure AD B2C-tenant:
- Map: in de map Azure AD B2C de referenties, profielgegevens en toepassingsregistraties van uw gebruikers opgeslagen.
- Toepassingsregistraties: registreer uw web-, mobiele en systeemeigen toepassingen bij Azure AD B2C om identiteitsbeheer mogelijk te maken. U kunt ook alle API's registreren die u wilt beveiligen met Azure AD B2C.
- Gebruikersstromen en aangepast beleid: maak identiteitservaringen voor uw toepassingen met ingebouwde gebruikersstromen en volledig configureerbare aangepaste beleidsregels:
- Met gebruikersstromen kunt u snel algemene identiteitstaken inschakelen, zoals registreren, aanmelden en profiel bewerken.
- Met aangepast beleid kunt u complexe identiteitswerkstromen bouwen die uniek zijn voor uw organisatie, klanten, werknemers, partners en inwoners.
- Aanmeldingsopties: Azure AD B2C verschillende aanmeldings- en aanmeldingsopties voor gebruikers van uw toepassingen:
- Gebruikersnaam, e-mailadres en telefoon aanmelden: configureer uw lokale Azure AD B2C-accounts zodat u zich kunt registreren en aanmelden met een gebruikersnaam, e-mailadres, telefoonnummer of een combinatie van methoden.
- Id-providers voor sociale netwerken: federeren met sociale providers zoals Facebook, LinkedIn of Twitter.
- Externe id-providers: federeren met standaardidentiteitsprotocollen zoals OAuth 2.0, OpenID Verbinding maken en meer.
- Sleutels: u kunt versleutelingssleutels toevoegen en beheren voor het ondertekenen en valideren van tokens, clientgeheimen, certificaten en wachtwoorden.
Een Azure AD B2C-tenant is de eerste resource die u moet maken om aan de slag te gaan met Azure AD B2C. Leer hoe u het volgende doet:
Accounts in Azure AD B2C
In Azure AD B2C wordt onderscheid gemaakt tussen verschillende typen gebruikersaccounts. Azure Active Directory, Azure Active Directory B2B en Azure Active Directory B2C delen deze accounttypen.
- Werkaccount: gebruikers met werkaccounts kunnen resources in een tenant beheren, en met de rol van beheerder kunnen ze tenants ook beheren. Gebruikers met werkaccounts kunnen nieuwe consumentenaccounts maken, wachtwoorden opnieuw instellen, accountsblokkeren/deblokkeren, en machtigingen instellen of een account toewijzen aan een beveiligingsgroep.
- Gastaccount: externe gebruikers die u als gast uitnodigt voor uw tenant. Een typisch scenario voor het uitnodigen van een gastgebruiker voor uw Azure AD B2C-tenant is voor het delen van beheerderstaken.
- Consumentenaccount: accounts die worden beheerd door Azure AD B2C gebruikersstromen en aangepaste beleidsregels.
Afbeelding: Directory van gebruikers van een Azure Active Directory B2C-tenant in de Azure-portal
Consumentenaccounts
Met een consumentenaccount kunnen gebruikers zich aanmelden bij de toepassingen die u hebt beveiligd met Azure AD B2C. Gebruikers met consumentenaccounts hebben echter geen toegang tot Azure-resources, zoals de Azure-portal.
Een consumentenaccount kan worden gekoppeld aan deze identiteitstypen:
- Lokale identiteit, waarbij de gebruikersnaam en het wachtwoord lokaal worden opgeslagen in de Azure AD B2C-directory. We verwijzen vaak naar deze identiteiten als 'lokale accounts'.
- Sociale of bedrijfsidentiteiten, waarbij de identiteit van de gebruiker wordt beheerd door een federatief id-provider. Bijvoorbeeld Facebook, Google, Microsoft, ADFS of Salesforce.
Een gebruiker met een consumentenaccount kan zich aanmelden met meerdere identiteiten. Bijvoorbeeld gebruikersnaam, e-mailadres, werknemer-id, overheids-id en andere. Eén account kan meerdere identiteiten hebben, zowel lokaal als sociaal.
Afbeelding: Eén consumentenaccount met meerdere identiteiten in Azure AD B2C
Zie Overzicht van gebruikersaccounts in Azure Active Directory B2C voor meer informatie.
Aanmeldingsopties voor lokale account
Azure AD B2C biedt verschillende manieren waarop gebruikers een gebruiker kunnen verifiëren. Gebruikers kunnen zich aanmelden bij een lokaal account met behulp van gebruikersnaam en wachtwoord, telefoonverificatie (ook wel verificatie zonder wachtwoord genoemd). Registreren via e-mail is standaard ingeschakeld in de instellingen van uw lokale account-id-provider.
Meer informatie over aanmeldingsopties of het instellen van de lokale accountidentiteitsprovider.
Kenmerken van gebruikersprofiel
Azure AD B2C kunt u algemene kenmerken van profielen voor consumentenaccounts beheren. Bijvoorbeeld weergavenaam, achternaam, voornaam, plaats en andere.
U kunt ook het Azure AD-schema uitbreiden om aanvullende informatie over uw gebruikers op te slaan. Bijvoorbeeld hun land/regio van de gewenste taal en voorkeuren, zoals of ze zich willen abonneren op een nieuwsbrief of meervoudige verificatie willen inschakelen. Zie voor meer informatie:
Aanmelden met externe id-providers
U kunt deze Azure AD B2C gebruikers zich bij uw toepassing kunnen aanmelden met referenties van id-providers voor sociale netwerken en ondernemingen. Azure AD B2C kunt federeren met id-providers die ondersteuning bieden voor OAuth 1.0-, OAuth 2.0-, OpenID-Verbinding maken- en SAML-protocollen. Bijvoorbeeld Facebook, Microsoft-account, Google, Twitter en AD-FS.
Met federatie van externe id-providers kunt u uw consumenten de mogelijkheid bieden om zich aan te melden met hun bestaande accounts voor sociale netwerken of onderneming, zonder dat u een nieuw account hoeft te maken voor alleen uw toepassing.
Op de registratie- of aanmeldingspagina wordt door Azure AD B2C een lijst weergegeven met externe id-providers waaruit de gebruiker kan kiezen om zich aan te melden. Zodra ze een van de externe id-providers hebben geselecteerd, worden ze omgeleid naar de website van de geselecteerde provider om daar het aanmeldingsproces te voltooien. Nadat de gebruiker zich heeft aangemeld, keert deze terug naar Azure AD B2C voor verificatie van het account in uw toepassing.
Zie Id-providers toevoegen aan uw toepassingen in Azure AD B2C B2C voor informatie over het toevoegen van id-providers in Azure Active Directory B2C.
Identiteitservaringen: gebruikersstromen of aangepaste beleidsregels
In Azure AD B2C kunt u de bedrijfslogica definiëren die gebruikers volgen om toegang te krijgen tot uw toepassing. U kunt bijvoorbeeld de volgorde van de stappen bepalen die gebruikers volgen wanneer ze zich aanmelden, registreren, een profiel bewerken of een wachtwoord opnieuw instellen. Nadat de reeks is uitgevoerd, verkrijgt de gebruiker een token en krijgt deze toegang tot uw toepassing.
In Azure AD B2C zijn er twee manieren om gebruikerservaringen voor identiteiten te bieden:
Gebruikersstromen zijn vooraf gedefinieerde, ingebouwde, configureerbare beleidsregels die we aanbieden, zodat u binnen een paar minuten ervaringen kunt maken voor registratie, aanmelden en profielbewerking.
Via aangepaste beleidsregels kunt u uw eigen gebruikersbelevingen samenstellen voor scenario's met complexe identiteitservaringen.
In de volgende schermopname ziet u de gebruikersinterface voor gebruikersstroominstellingen en aangepaste beleidsconfiguratiebestanden.
Lees het artikel Overzicht van gebruikersstromen en aangepaste beleidsregels. Het biedt een overzicht van gebruikersstromen en aangepaste beleidsregels en helpt u te bepalen welke methode het beste werkt voor uw bedrijfsbehoeften.
Gebruikersinterface
In Azure AD B2C kunt u de identiteitservaringen van uw gebruikers maken, zodat de pagina's die worden weergegeven naadloos aansluiten op het uiterlijk van uw merk. U krijgt bijna volledige controle over de HTML- en CSS-inhoud die aan gebruikers wordt gepresenteerd wanneer ze de identiteitstrajecten van uw toepassing doorlopen. Deze flexibiliteit zorgt ervoor dat u consistentie voor uw merk en visuele consistentie kunt garanderen tussen uw toepassing en Azure AD B2C.
Zie voor meer informatie over het aanpassen van de gebruikersinterface:
- De gebruikersinterface aanpassen
- De gebruikersinterface aanpassen met HTML-sjablonen
- JavaScript inschakelen en een pagina-indelingsversie selecteren
Aangepast domein
U kunt uw Azure AD B2C aanpassen in de omleidings-URL's voor Azure AD B2C. Met aangepast domein kunt u een naadloze ervaring maken, zodat de pagina's die worden weergegeven naadloos worden gecombineerd met de domeinnaam van uw toepassing.
Vanuit het perspectief van de gebruiker blijven ze in uw domein tijdens het aanmeldingsproces in plaats van om te leiden naar de Azure AD B2C .b2clogin.com. Zie Aangepaste domeinen inschakelen voor meer informatie.
Lokalisatie
Taalaanpassing in Azure AD B2C maakt het mogelijk om verschillende talen aan te bieden, zodat u klanten in hun eigen taal kunt bereiken. Microsoft biedt de vertalingen voor 36 talen, maar u kunt ook uw eigen vertalingen gebruiken voor elke taal. Zelfs als uw ervaring is bedoeld voor slechts één taal, kunt u tekst op de pagina's aanpassen.
Meer informatie over lokalisatie vindt u in Language customization in Azure Active Directory B2C (Taalaanpassing in Azure Active Directory B2C).
E-mailverificatie
Azure AD B2C zorgt voor geldige e-mailadressen door te vereisen dat klanten deze controleren tijdens de aanmelding en de stromen voor wachtwoord opnieuw instellen. Het voorkomt ook dat kwaadwillende actoren geautomatiseerde processen gebruiken om frauduleuze accounts in uw toepassingen te genereren.
U kunt het e-mailbericht aanpassen aan gebruikers die zich registreren om uw toepassingen te gebruiken. Met behulp van de e-mailprovider van derden kunt u uw eigen e-mailsjabloon en Van: adres en onderwerp gebruiken, evenals ondersteuning voor lokalisatie en aangepaste OTP-instellingen (one-time password). Zie voor meer informatie:
Uw eigen bedrijfslogica toevoegen en DE RESTful-API aanroepen
U kunt integreren met een RESTful-API in zowel gebruikersstromen als aangepaste beleidsregels. Het verschil is dat u in gebruikersstromen aanroepen maakt op opgegeven plaatsen, terwijl u in aangepaste beleidsregels uw eigen bedrijfslogica toevoegt aan het traject. Met deze functie kunt u gegevens ophalen en gebruiken uit externe identiteitsbronnen. Azure AD B2C kunt gegevens uitwisselen met een RESTful-service om:
- Aangepaste, gebruikersvriendelijke foutberichten weergeven.
- Gebruikersinvoer valideren om te voorkomen dat onjuist opgemaakte gegevens worden opgeslagen in uw adreslijst van gebruikers. U kunt bijvoorbeeld de gegevens wijzigen die door gebruikers worden ingevoerd, zodat de voornaam een hoofdletter krijgt als deze met allemaal kleine letters wordt ingevoerd.
- Gegevens van gebruikers verrijken door verder integratie met uw zakelijke LOB-toepassing.
- Met behulp van RESTful-aanroepen kunt u bijvoorbeeld pushmeldingen verzenden, bedrijfsdatabases bijwerken, een proces voor gebruikersmigratie uitvoeren, machtigingen beheren en databases controleren.
Loyaliteitsprogramma's zijn een ander scenario dat kan worden gerealiseerd door de ondersteuning van Azure AD B2C voor het aanroepen van REST-API's. Uw RESTful-service kan bijvoorbeeld het e-mailadres van een gebruiker ontvangen, een query uitvoeren op de klantendatabase en vervolgens het loyaliteitsnummer van de gebruiker retourneren aan Azure AD B2C.
De retourgegevens kunnen worden opgeslagen in het directoryaccount van de gebruiker in Azure AD B2C. De gegevens kunnen vervolgens verder worden geëvalueerd in de volgende stappen in het beleid of worden opgenomen in het toegangsken.
U kunt aan elke stap in de gebruikersbeleving die is gedefinieerd door een aangepast beleid, een aanroep van een REST-API toevoegen. U kunt bijvoorbeeld een REST-API aanroepen:
- Tijdens het aanmelden, net voordat Azure AD B2C de referenties valideert
- Direct na het aanmelden
- Voordat Azure AD B2C een nieuw account in de directory maakt
- Nadat Azure AD B2C een nieuw account in de directory maakt
- Voordat Azure AD B2C een toegangstoken uitgeeft
Als u wilt zien hoe u aangepaste beleidsregels gebruikt voor de integratie van een RESTful-API in Azure AD B2C, raadpleegt u Integrate REST API claims exchanges in your Azure AD B2C custom policy (Uitwisseling van REST API-claims integreren in aangepast beleid van Azure AD B2C).
Protocollen en tokens
Voor toepassing ondersteunt Azure AD B2C de OAuth 2.0, OpenID Connect en SAML-protocollen voor gebruikersbelevingen. De gebruikerservaring wordt via de toepassing gestart door verificatieaanvragen te verzenden naar Azure AD B2C. Het resultaat van een aanvraag bij Azure AD B2C is een beveiligingstoken, zoals een id-token of toegangstoken of SAML-token. Met dit beveiligingstoken wordt de identiteit van de gebruiker gedefinieerd binnen de toepassing.
Voor externe identiteiten ondersteunt Azure AD B2C federatie met elke id-provider op basis van OAuth 1.0, OAuth 2.0-, OpenID Connect en SAML.
In het volgende diagram ziet u hoe Azure AD B2C kunt communiceren met behulp van verschillende protocollen binnen dezelfde verificatiestroom:
- De relying party-toepassing start een autorisatieaanvraag voor Azure AD B2C met behulp van OpenID Verbinding maken.
- Wanneer een gebruiker van de toepassing zich wil aanmelden met een externe id-provider die het SAML-protocol gebruikt, roept Azure AD B2C het SAML-protocol aan om te communiceren met die id-provider.
- Nadat de gebruiker de aanmelding met de externe id-provider heeft voltooid, retourneert Azure AD B2C het token naar de Relying Party-toepassing met behulp van OpenID Connect.
Integratie van toepassingen
Wanneer een gebruiker zich wil aanmelden bij uw toepassing, initieert de toepassing een autorisatieaanvraag voor een door een gebruikersstroom of aangepast door beleid opgegeven eindpunt. De gebruikersstroom of het aangepaste beleid definieert en bepaalt de gebruikerservaring. Wanneer de gebruikersstroom is voltooid, bijvoorbeeld de stroom voor registratie of aanmelding, wordt er door Azure AD B2C een token gegenereerd en wordt de gebruiker teruggeleid naar uw toepassing.
Meerdere toepassingen kunnen dezelfde gebruikersstroom of hetzelfde aangepaste beleid gebruiken. Meerdere toepassingen kunnen dezelfde gebruikersstroom of hetzelfde aangepaste beleid gebruiken.
Als u zich bijvoorbeeld wilt aanmelden bij een toepassing, gebruikt de toepassing de gebruikersstroom registreren of aanmelden. Nadat de gebruiker zich heeft aangemeld, wil deze misschien zijn profiel bewerken, zodat de toepassing een andere autorisatieaanvraag initieert, deze keer met behulp van de gebruikersstroom profiel bewerken.
Meervoudige verificatie (MFA)
Azure AD B2C Multi-Factor Authentication (MFA) helpt de toegang tot gegevens en toepassingen te beveiligen met behoud van de eenvoud voor uw gebruikers. Het biedt extra beveiliging door een tweede vorm van verificatie te vereisen en biedt sterke verificatie door een reeks eenvoudig te gebruiken verificatiemethoden aan te bieden.
Afhankelijk van de configuratiebeslissingen die u als beheerder neemt, moeten uw gebruikers al dan niet reageren op een verzoek van de functie voor meervoudige verificatie.
Zie MFA inschakelen in gebruikersstromen in Meervoudige verificatie inschakelen in Azure Active Directory B2C.
Voorwaardelijke toegang
Azure AD Identity Protection functies voor risicodetectie, waaronder riskante gebruikers en riskante aanmeldingen, worden automatisch gedetecteerd en weergegeven in uw Azure AD B2C tenant. U kunt beleidsregels voor voorwaardelijke toegang maken die gebruikmaken van deze risicodetecties om herstelacties te bepalen en organisatiebeleid af te dwingen.
Azure AD B2C elke aanmeldingsgebeurtenis evalueert en ervoor zorgt dat aan alle beleidsvereisten wordt voldaan voordat de gebruiker toegang wordt verlenen. Riskante gebruikers of aanmeldingen kunnen worden geblokkeerd of worden op de proef gesteld met een specifiek herstel, zoals meervoudige verificatie (MFA). Zie Identiteitsbeveiliging en voorwaardelijke toegang voor meer informatie.
Wachtwoordcomplexiteit
Tijdens registratie of het opnieuw instellen van het wachtwoord, moeten uw gebruikers een wachtwoord opgeven dat voldoet aan de complexiteitsregels. Azure AD B2C dwingt standaard een sterk wachtwoordbeleid af. Azure AD B2C biedt ook configuratieopties voor het opgeven van de complexiteitsvereisten waaraan de wachtwoorden van uw klanten moeten voldoen.
Zie Complexiteitsvereisten voor wachtwoorden configureren in Azure AD B2C.
Wachtwoord opnieuw instellen forceer
Als Azure AD B2C tenantbeheerder kunt u het wachtwoord van een gebruiker opnieuw instellen als de gebruiker het wachtwoord vergeet. Of u wilt hen dwingen het wachtwoord periodiek opnieuw in te stellen. Zie Set up a force password reset flow (Een stroom voor het opnieuw instellen van het wachtwoord instellen) voor meer informatie.
Slimme accountvergrendeling
Om te voorkomen dat via brute-force aanvallen wachtwoorden worden geraden, maakt Azure AD B2C gebruik van een geavanceerde strategie om accounts te vergrendelen op basis van het IP-adres van de aanvraag, de ingevoerde wachtwoorden en verschillende andere factoren. De duur van de vergrendeling wordt automatisch verlengd op basis van het risico en het aantal pogingen.
Zie Referentieaanvallen beperken in Azure AD B2C voor meer informatie over het beheren van instellingen voor wachtwoordbeveiliging.
Resources en klantidentiteiten beveiligen
Azure AD B2C voldoet aan de vereisten voor beveiliging, privacy en andere verplichtingen die worden beschreven in het Vertrouwenscentrum van Microsoft Azure.
Sessies worden gemodelleerd als versleutelde gegevens, waarbij de ontsleutelingssleutel alleen bekend is bij de beveiligingstokenservice van Azure AD B2C. Er wordt een sterk versleutelingsalgoritme, AES-192, gebruikt. Alle communicatiepaden worden beveiligd met TLS voor vertrouwelijkheid en integriteit. Onze beveiligingstokenservice maakt gebruik van een EV-certificaat (Extended Validation) voor TLS. Over het algemeen beperkt de beveiligingstokenservice de risico's van cross-site scriptingaanvallen (XSS) door niet-vertrouwde invoer niet weer te geven.
Toegang tot gebruikersgegevens
Azure AD B2C-tenants hebben een groot aantal kenmerken gemeen met Azure Active Directory-tenants van bedrijven die worden gebruikt voor werknemers en partners. Voorbeelden van gemeenschappelijke aspecten zijn mechanismen voor het weergeven van beheerdersrollen, het toewijzen van rollen en het controleren van activiteiten.
U kunt rollen toewijzen om te bepalen wie bepaalde beheeracties kan uitvoeren in Azure AD B2C, waaronder:
- Alle aspecten van gebruikersstromen maken en beheren
- Het kenmerkschema dat beschikbaar is voor alle gebruikersstromen, maken en beheren
- Id-providers voor gebruik in directe federatie configureren
- Beleidsregels voor het vertrouwensframework in het Identity Experience Framework (aangepaste beleidsregels) maken en beheren
- Geheimen voor federatie en versleuteling in het Identity Experience Framework (aangepaste beleidsregels) beheren
Zie Administrator role permissions in Azure Active Directory (Machtigingen voor beheerdersrol in Azure Active Directory) voor meer informatie over Azure AD-rollen, waaronder ondersteuning voor de Azure AD B2C-beheerdersrol.
Controle en logboeken
Azure AD B2C stelt auditlogboeken beschikbaar met activiteitsgegevens voor resources, uitgegeven tokens en beheerderstoegang. U kunt de auditlogboeken gebruiken om inzicht te krijgen in platformactiviteit en om problemen vast te stellen. Kort nadat de activiteit heeft plaatsgevonden die de gebeurtenis heeft gegenereerd, zijn er vermeldingen beschikbaar in auditlogboeken.
In een auditlogboek dat beschikbaar is voor uw Azure AD B2C-tenant of voor een bepaalde gebruiker kunt u gegevens vinden zoals:
- Activiteiten met betrekking tot de autorisatie van een gebruiker om toegang te krijgen tot B2C-resources (bijvoorbeeld een beheerder die een lijst met B2C-beleidsregels raadpleegt)
- Activiteiten met betrekking tot adreslijstkenmerken die worden opgehaald op het moment dat een beheerder zich aanmeldt via de Azure-portal
- CRUD-bewerkingen (maken, lezen, bijwerken en verwijderen) op B2C-toepassingen
- CRUD-bewerkingen op sleutels die zijn opgeslagen in een B2C-sleutelcontainer
- CRUD-bewerkingen op B2C-resources (zoals beleidsregels en id-providers)
- Validatie van gebruikersreferenties en uitgifte van tokens
Gebruiksanalyse
Azure AD B2C kunt u ontdekken wanneer mensen zich registreren of aanmelden bij uw app, waar de gebruikers zich bevinden en welke browsers en besturingssystemen ze gebruiken.
Door de integratie Azure-toepassing Insights in Azure AD B2C aangepast beleid, krijgt u inzicht in hoe gebruikers zich registreren, zich aanmelden, hun wachtwoord opnieuw instellen of hun profiel bewerken. Aan de hand van dergelijke kennis kunt u gegevensgestuurde beslissingen nemen voor toekomstige ontwikkelcycli.
Zie Gebruikersgedrag bijhouden in Azure Active Directory B2Cmet Application Insights voor meer Insights.
Regiobeschikbaarheid en gegevenslocatie
Azure AD B2C-service is algemeen beschikbaar wereldwijd met de optie voor gegevensstatus in regio's zoals opgegeven in Producten beschikbaar per regio. De gegevensstatus wordt bepaald door het land/de regio die u selecteert wanneer u uw tenant maakt.
Meer informatie over Azure Active Directory beschikbaarheid van B2C-serviceregio's & gegevensstatus en Service Level Agreement (SLA) voor Azure Active Directory B2C.
Automatisering met behulp van microsoft Graph API
Gebruik de MS Graph API om uw Azure AD B2C beheren. U kunt ook de map Azure AD B2C maken. U kunt gebruikers, id-providers, gebruikersstromen, aangepaste beleidsregels en nog veel meer beheren.
Meer informatie over het beheren van Azure AD B2C met Microsoft Graph.
Azure AD B2C servicelimieten en -beperkingen instellen
Meer informatie over Azure AD B2C servicelimieten en -beperkingen
Volgende stappen
Nu u meer inzicht hebt in de functies en technische aspecten van Azure Active Directory B2C: