Настройка входа для организации Microsoft Entra - Azure AD B2C

Статья
09/22/2023

В этой статье показано, как включить вход для пользователей из определенной организации Microsoft Entra с помощью потока пользователя в Azure AD B2C.

Для начала с помощью селектора Choose a policy type (Выбрать тип политики) выберите тип пользовательской политики. Azure Active Directory B2C предлагает два метода определения способа взаимодействия пользователей с вашими приложениями: с помощью предопределенных потоков пользователей или полностью настраиваемых пользовательских политик. Действия, которые необходимо выполнить, отличаются для каждого метода.

Примечание.

В Azure Active Directory B2C пользовательские политики преимущественно предназначены для выполнения сложных сценариев. В большинстве случаев рекомендуется использовать встроенные потоки пользователей. Ознакомьтесь со статьей Начало работы с настраиваемыми политиками в Azure Active Directory B2C, чтобы узнать о базовом пакете настраиваемых политик, если еще не сделали этого.

Необходимые компоненты

Создайте поток пользователя, чтобы пользователи могли зарегистрироваться и входить в ваше приложение.
Зарегистрируйте веб-приложение.

Выполните шаги, описанные в статье Начало работы с настраиваемыми политиками в Azure Active Directory B2C.
Зарегистрируйте веб-приложение.

Проверка домена издателя приложения

По состоянию на ноябрь 2020 года новые регистрации приложений отображаются как непроверенные в запросе на согласие пользователя, пока домен издателя приложения не будет проверени удостоверения компании не будут проверены с использованием Microsoft Partner Network и сопоставлены с приложением. (Дополнительные сведения об этом изменении.) Обратите внимание, что для потоков пользователей Azure AD B2C домен издателя отображается только при использовании учетной записи Майкрософт или другого клиента Microsoft Entra в качестве поставщика удостоверений. Чтобы удовлетворить эти новые требования, выполните следующие действия:

Проверьте удостоверение компании, используя учетную запись Microsoft Partner Network (MPN). Этот процесс используется для проверки сведений о вашей компании и основном контактном лице компании.
Выполните процесс проверки издателя, чтобы связать учетную запись MPN с регистрацией приложения с помощью одного из следующих параметров:
- Если регистрация приложения для поставщика удостоверений учетной записи Майкрософт находится в клиенте Microsoft Entra, проверьте приложение на портале регистрации приложений.
- Если регистрация приложения для поставщика удостоверений учетных записей Майкрософт находится в клиенте Azure AD B2C, пометьте приложение как проверенное издателем с помощью интерфейсов API Microsoft Graph (например, с помощью песочницы Graph). Пользовательский интерфейс для настройки проверенного издателя приложения в настоящее время отключен для арендаторов Azure AD B2C.

Регистрация приложения Microsoft Entra

Чтобы включить вход для пользователей с учетной записью Microsoft Entra из определенной организации Microsoft Entra, в Azure Active Directory B2C (Azure AD B2C), необходимо создать приложение в портал Azure. Подробнее см. статью о регистрации приложения на платформе удостоверений Майкрософт.

Войдите на портал Azure.
Если у вас есть доступ к нескольким клиентам, выберите значок Параметры в верхнем меню, чтобы переключиться на клиент Идентификатора Microsoft Entra из меню каталогов и подписок.
В портал Azure найдите и выберите идентификатор Microsoft Entra.
В меню слева в разделе Управление выберите Регистрация приложений.
Выберите + Создать регистрацию.
Введите значение Name (Имя) для приложения. Например, Azure AD B2C App.
Подтвердите выбор параметра по умолчанию Учетные записи только в этом каталоге организации (только каталог по умолчанию — один клиент) для этого приложения.
В поле URI перенаправления выберите значение Интернет и введите строчными буквами указанный ниже URL-адрес, заменив your-B2C-tenant-name реальным именем клиента Azure AD B2C.
```
https://your-B2C-tenant-name.b2clogin.com/your-B2C-tenant-name.onmicrosoft.com/oauth2/authresp
```
Например, https://fabrikam.b2clogin.com/fabrikam.onmicrosoft.com/oauth2/authresp.

Если используется личный домен, введите https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp. Замените your-domain-name вашим личным доменом, а вместо your-tenant-name укажите имя вашего клиента.
Выберите Зарегистрировать. Запишите значение параметра Идентификатор приложения (клиент). Оно вам потребуется в дальнейшем.
Выберите Сертификаты и секреты, затем выберите Новый секрет клиента.
Введите Описание секрета, выберите срок действия, а затем нажмите кнопку Добавить. Запишите Значение секрета, чтобы использовать его на следующем этапе.

Настройка идентификатора Microsoft Entra в качестве поставщика удостоверений

Если у вас есть доступ к нескольким клиентам, выберите значок Параметры в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню каталогов и подписок.
Выберите Все службы в левом верхнем углу окна портала Azure, а затем найдите и выберите Azure AD B2C.
Щелкните элемент Поставщики удостоверений, а затем выберите Новый поставщик OpenID Connect.
Введите Имя. Например, введите идентификатор Microsoft Entra Contoso.
Для URL-адреса метаданных введите следующий URL-адрес, заменяющий {tenant} доменное имя клиента Microsoft Entra:
```
https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid-configuration
```

Например, https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0/.well-known/openid-configuration. Если вы используете личный домен, укажите имя этого домена вместо contoso.com в https://login.microsoftonline.com/contoso.com/v2.0/.well-known/openid-configuration.

В поле Идентификатор клиента введите ранее записанное значение идентификатора приложения.
В поле Секрет клиента введите ранее записанное значение секрета клиента.
Для параметра Область, введите openid profile.
Сохраните значения по умолчанию для параметров Тип ответа и Режим ответа.
(Необязательно) В поле Указание домена Введите contoso.com. Дополнительные сведения см. в статье Настройка прямого входа в систему с помощью Azure Active Directory B2C.
В разделе Сопоставление утверждений поставщика удостоверений выберите следующие утверждения:
- User ID: oid;
- Display name: name;
- Given name: given_name;
- Surname: family_name;
- Электронная почта: электронная почта.
Выберите Сохранить.

Добавление поставщика удостоверений Microsoft Entra в поток пользователя

На этом этапе поставщик удостоверений Microsoft Entra настроен, но он еще не доступен на любой из страниц входа. Чтобы добавить поставщика удостоверений Microsoft Entra в поток пользователя:

В клиенте Azure AD B2C выберите Потоки пользователей.
Щелкните поток пользователя, который требуется добавить поставщик удостоверений Microsoft Entra.
В разделе Параметры выберите Поставщики удостоверений.
В разделе "Пользовательские поставщики удостоверений" выберите contoso Microsoft Entra ID.
Выберите Сохранить.
Чтобы проверить политику, выберите Выполнить поток пользователя.
В разделе Приложение выберите зарегистрированное ранее веб-приложение. В поле URL-адрес ответа должно содержаться значение https://jwt.ms.
Нажмите кнопку Выполнить поток пользователя.
На странице регистрации или входа выберите contoso Entra ID , чтобы войти с помощью учетной записи Microsoft Entra Contoso.

Если вход выполнен успешно, в браузере откроется страница https://jwt.ms с содержимым маркера, возвращенного Azure AD B2C.

Создание ключа политики

Вам необходимо сохранить ключ приложения, который вы создали в клиенте Azure AD B2C.

Если у вас есть доступ к нескольким клиентам, выберите значок Параметры в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню каталогов и подписок.
Выберите Все службы в левом верхнем углу окна портала Azure, а затем найдите и выберите Azure AD B2C.
В разделе Политики выберите Identity Experience Framework.
Выберите Ключи политики, а затем щелкните Добавить.
Для пункта Параметры выберите Manual.
Введите имя ключа политики. Например, ContosoAppSecret. Префикс B2C_1A_ автоматически добавляется к имени ключа при создании, поэтому ссылка в XML-файле в следующем разделе ведет к B2C_1A_ContosoAppSecret.
В поле Секрет введите ранее записанное значение секрета клиента.
Для параметра Использование ключа выберите Signature.
Выберите Создать.

Настройка идентификатора Microsoft Entra в качестве поставщика удостоверений

Чтобы пользователи могли войти с помощью учетной записи Microsoft Entra, необходимо определить идентификатор Microsoft Entra в качестве поставщика утверждений, с которым Azure AD B2C может взаимодействовать через конечную точку. Конечная точка предоставляет набор утверждений, используемых Azure AD B2C, чтобы проверить, была ли выполнена проверка подлинности определенного пользователя.

Идентификатор Microsoft Entra можно определить в качестве поставщика утверждений, добавив идентификатор Microsoft Entra в элемент ClaimsProvider в файл расширения политики.

Откройте файл TrustFrameworkExtensions.xml.
Найдите элемент ClaimsProviders. Если он не существует, добавьте его в корневой элемент.

Добавьте новый элемент ClaimsProvider следующим образом.

<ClaimsProvider>
  <Domain>Contoso</Domain>
  <DisplayName>Login using Contoso</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="AADContoso-OpenIdConnect">
      <DisplayName>Contoso Employee</DisplayName>
      <Description>Login with your Contoso account</Description>
      <Protocol Name="OpenIdConnect"/>
      <Metadata>
        <Item Key="METADATA">https://login.microsoftonline.com/tenant-name.onmicrosoft.com/v2.0/.well-known/openid-configuration</Item>
        <Item Key="client_id">00000000-0000-0000-0000-000000000000</Item>
        <Item Key="response_types">code</Item>
        <Item Key="scope">openid profile</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_ContosoAppSecret"/>
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid"/>
        <OutputClaim ClaimTypeReferenceId="tenantId" PartnerClaimType="tid"/>
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName"/>
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName"/>
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId"/>
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId"/>
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin"/>
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

В элементе ClaimsProvider укажите для Domain уникальное значение, позволяющее отличить этот поставщик удостоверений от других. Например Contoso. Не помещайте .com в конец этого параметра домена.
В элементе ClaimsProvider обновите значение DisplayName, указав понятное имя поставщика утверждений. В настоящее время это значение не используется.

Обновление технического профиля

Чтобы получить маркер из конечной точки Microsoft Entra, необходимо определить протоколы, которые Azure AD B2C должен использовать для взаимодействия с идентификатором Microsoft Entra. Этот выполняется в элементе TechnicalProfile в ClaimsProvider.

Обновите идентификатор элемента TechnicalProfile. Этот идентификатор используется для ссылки на технический профиль из других частей политики, например AADContoso-OpenIdConnect.
Обновите значение DisplayName. Это значение будет отображаться на кнопке входа на экране входа в систему.
Обновите значение Description.
Идентификатор Microsoft Entra использует протокол OpenID Подключение, поэтому убедитесь, что значение протокола равно OpenIdConnectпротоколу.
Задайте для параметра METADATAhttps://login.microsoftonline.com/tenant-name.onmicrosoft.com/v2.0/.well-known/openid-configurationзначение , где tenant-name является имя клиента Microsoft Entra. Например https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0/.well-known/openid-configuration.
Задайте для параметра client_id значение идентификатора приложения из регистрации приложения.
В поле CryptographicKeys измените значение StorageReferenceId, указав имя ключа политики, который был создан ранее. Например, B2C_1A_ContosoAppSecret.

Добавление пути взаимодействия пользователя

На этом этапе поставщик удостоверений уже настроен, но еще не отображается на страницах входа. Если у вас нет собственного пути взаимодействия пользователя, создайте дубликат существующего шаблона. В противном случае перейдите к следующему шагу.

Откройте файл TrustFrameworkBase.xml из начального пакета.
Найдите и скопируйте все содержимое элемента UserJourney, в котором присутствует запись Id="SignUpOrSignIn".
Откройте файл TrustFrameworkExtensions.xml и найдите элемент UserJourneys. Если элемент не существует, добавьте его.
Вставьте все скопированное содержимое элемента UserJourney в качестве дочернего элемента в элемент UserJourneys.
Переименуйте идентификатор этого пути взаимодействия пользователя. Например, Id="CustomSignUpSignIn".

Добавление поставщика удостоверений в путь взаимодействия пользователя

Теперь, когда у вас есть путь взаимодействия пользователя, добавьте в него новый поставщик удостоверений. Сначала добавьте кнопку входа, а затем свяжите кнопку с действием. Это действие является техническим профилем, который вы создали ранее.

В пути взаимодействия пользователя найдите элемент шага оркестрации, включающий Type="CombinedSignInAndSignUp" или Type="ClaimsProviderSelection". Обычно это первый шаг оркестрации. Элемент ClaimsProviderSelections содержит список поставщиков удостоверений, которые пользователь может использовать для входа. Порядок элементов управляет порядком кнопок входа, представленных пользователем. Добавьте XML-элемент ClaimsProviderSelection. Присвойте значению TargetClaimsExchangeId понятное имя.
На следующем шаге оркестрации добавьте элемент ClaimsExchange. Задайте в качестве Id значение идентификатора обмена утверждениями целевого объекта. Замените значение TechnicalProfileReferenceId идентификатором технического профиля, созданным ранее.

В следующем коде XML показаны первые два этапа оркестрации пути взаимодействия пользователя с поставщиком удостоверений:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="AzureADContosoExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="AzureADContosoExchange" TechnicalProfileReferenceId="AADContoso-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Настройка политики проверяющей стороны

Политика проверяющей стороны, например SignUpSignIn.xml, указывает путь взаимодействия пользователя, который будет исполнять Azure AD B2C. Найдите элемент DefaultUserJourney в элементе проверяющей стороны. Обновите ReferenceId в соответствии с идентификатором пути взаимодействия пользователя, в который добавлен поставщик удостоверений.

В следующем примере в качестве значения параметра ReferenceId пути взаимодействия пользователя CustomSignUpSignIn задано CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Передача настраиваемой политики

Войдите на портал Azure.
Выберите значок Каталог и подписка в верхней панели инструментов портала, а затем выберите каталог, содержащий клиент Azure AD B2C.
В портале Azure найдите и выберите Azure AD B2C.
В разделе Политики выберите Identity Experience Framework.
Выберите Отправить пользовательскую политику, а затем отправьте два измененных файла политики в следующем порядке: политика расширения, например TrustFrameworkExtensions.xml, а затем политика проверяющей стороны, например SignUpSignIn.xml.

Тестирование настраиваемой политики

Выберите политику проверяющей стороны, например B2C_1A_signup_signin.
В разделе Приложение выберите зарегистрированное ранее веб-приложение. В поле URL-адрес ответа должно содержаться значение https://jwt.ms.
Нажмите кнопку Выполнить.
На странице регистрации или входа выберите Contoso Employee для входа с помощью учетной записи Microsoft Entra Contoso.

[Необязательно] Настройка необязательных утверждений

Если вы хотите получить family_namegiven_name утверждения из идентификатора Microsoft Entra, можно настроить необязательные утверждения для приложения в манифесте портал Azure пользовательского интерфейса или приложения. Дополнительные сведения см. в разделе "Как предоставить необязательные утверждения для приложения Microsoft Entra".

Войдите в портал Azure с помощью клиента Microsoft Entra организации. Или если вы уже выполнили вход, убедитесь, что вы используете каталог, содержащий клиент Microsoft Entra организации (например, Contoso):
1. На панели инструментов портала выберите значок Каталоги и подписки.
2. Параметры портала | На странице каталогов и подписок найдите каталог Microsoft Entra в списке имен каталогов, а затем выберите переключатель.
В портал Azure найдите и выберите идентификатор Microsoft Entra.
В меню слева в разделе Управление выберите Регистрация приложений.
Выберите приложение, для которого нужно настроить необязательные утверждения в списке, например Azure AD B2C App.
В разделе Управление выберите Конфигурация токена.
Выберите пункт Добавить необязательное утверждение.
Для параметра Тип токена выберите значение ИД.
Выберите необязательные утверждения для добавления, family_name и given_name.
Выберите Добавить. Если появится разрешение профиля Microsoft Graph (необходимо для отображения утверждений в маркере), включите его и нажмите кнопку "Добавить еще раз".

(Необязательно) Подтверждение подлинности своего приложения

Проверка издателя помогает пользователям определить подлинность зарегистрированного приложения. Проверенное приложение означает, что его издатель подтвердил свою личность с помощью Microsoft Partner Network (MPN). Узнайте, как пометить приложение меткой "Проверенный издатель".

Следующие шаги

Узнайте, как передать маркер Microsoft Entra в приложение.

Настройка входа для определенной организации Microsoft Entra в Azure Active Directory B2C

Необходимые компоненты

Проверка домена издателя приложения

Регистрация приложения Microsoft Entra

Настройка идентификатора Microsoft Entra в качестве поставщика удостоверений

Добавление поставщика удостоверений Microsoft Entra в поток пользователя

Создание ключа политики

Настройка идентификатора Microsoft Entra в качестве поставщика удостоверений

Обновление технического профиля

Добавление пути взаимодействия пользователя

Добавление поставщика удостоверений в путь взаимодействия пользователя

Настройка политики проверяющей стороны

Передача настраиваемой политики

Тестирование настраиваемой политики

[Необязательно] Настройка необязательных утверждений

(Необязательно) Подтверждение подлинности своего приложения

Следующие шаги

Дополнительные ресурсы