Konfigurera registrering och inloggning med ett Microsoft-konto - Azure AD B2C

Artikel
11/08/2023

Innan du börjar använder du väljaren Välj en principtyp för att välja den typ av princip som du konfigurerar. Azure Active Directory B2C erbjuder två metoder för att definiera hur användare interagerar med dina program: via fördefinierade användarflöden eller genom fullständigt konfigurerbara anpassade principer. De steg som krävs i den här artikeln skiljer sig åt för varje metod.

Kommentar

I Azure Active Directory B2C är anpassade principer främst utformade för att hantera komplexa scenarier. I de flesta scenarier rekommenderar vi att du använder inbyggda användarflöden. Om du inte har gjort det kan du läsa mer om startpaketet för anpassad princip i Kom igång med anpassade principer i Active Directory B2C.

Förutsättningar

Skapa ett användarflöde så att användare kan registrera sig och logga in på ditt program.
Registrera ett webbprogram.

Slutför stegen i Kom igång med anpassade principer i Active Directory B2C
Registrera ett webbprogram.

Skapa ett Microsoft-kontoprogram

Om du vill aktivera inloggning för användare med ett Microsoft-konto i Azure Active Directory B2C (Azure AD B2C) måste du skapa ett program i Azure-portalen. Mer information finns i Registrera ett program med Microsofts identitetsplattform. Om du inte redan har ett Microsoft-konto kan du få ett på https://www.live.com/.

Logga in på Azure-portalen.
Om du har åtkomst till flera klienter väljer du ikonen Inställningar på den översta menyn för att växla till din Microsoft Entra-ID-klient från menyn Kataloger + prenumerationer.
Välj Alla tjänster i det övre vänstra hörnet i Azure-portalen och sök sedan efter och välj Appregistreringar.
Välj Ny registrering.
Ange ett namn för ditt program. Till exempel MSAapp1.
Under Kontotyper som stöds väljer du personliga Microsoft-konton (t.ex. Skype, Xbox).

Mer information om olika val av kontotyp finns i Snabbstart: Registrera ett program med Microsofts identitetsplattform.
Under Omdirigerings-URI (valfritt) väljer du Webb och anger https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp. Om du använder en anpassad domän anger du https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp. Ersätt your-tenant-name med namnet på din Azure AD B2C-klientorganisation och your-domain-name med din anpassade domän.
Välj Registrera
Registrera program-ID:t (klient) som visas på programöversiktssidan. Du behöver klient-ID:t när du konfigurerar identitetsprovidern i nästa avsnitt.
Välj Certifikathemligheter &
Klicka på Ny klienthemlighet
Ange en Beskrivning för hemligheten, till exempel Programlösenord 1, och klicka sedan på Lägg till.
Registrera programlösenordet som visas i kolumnen Värde . Du behöver klienthemligheten när du konfigurerar identitetsprovidern i nästa avsnitt.

Konfigurera Microsoft som en identitetsprovider

Logga in på Azure Portal som global administratör för din Azure AD B2C-klientorganisationen.
Om du har åtkomst till flera klienter väljer du ikonen Inställningar på den översta menyn för att växla till din Azure AD B2C-klient från menyn Kataloger + prenumerationer.
Välj Alla tjänster på menyn högst upp till vänster i Azure-portalen och sök efter och välj Azure AD B2C.
Välj Identitetsprovidrar och sedan Microsoft-konto.
Ange ett Namn. Till exempel MSA.
För klient-ID anger du program-ID (klient)-ID för Microsoft Entra-programmet som du skapade tidigare.
För klienthemligheten anger du den klienthemlighet som du har registrerat.
Välj Spara.

Lägga till Microsoft-identitetsprovider i ett användarflöde

Nu har Microsofts identitetsprovider konfigurerats, men den är ännu inte tillgänglig på någon av inloggningssidorna. Så här lägger du till Microsoft-identitetsprovidern i ett användarflöde:

I din Azure AD B2C-klient väljer du Användarflöden.
Klicka på det användarflöde som du vill lägga till Microsoft-identitetsprovidern.
Under Sociala identitetsprovidrar väljer du Microsoft-konto.
Välj Spara.
Om du vill testa principen väljer du Kör användarflöde.
För Program väljer du webbprogrammet med namnet testapp1 som du registrerade tidigare. Svars-URL :en ska visa https://jwt.ms.
Välj knappen Kör användarflöde.
På registrerings- eller inloggningssidan väljer du Microsoft för att logga in med Microsoft-kontot.

Om inloggningsprocessen lyckas omdirigeras webbläsaren till https://jwt.ms, som visar innehållet i token som returneras av Azure AD B2C.

Konfigurera valfria anspråk

Om du vill hämta anspråken family_name och given_name från Microsoft Entra-ID:t kan du konfigurera valfria anspråk för ditt program i azure-portalens användargränssnitt eller programmanifest. Mer information finns i Så här tillhandahåller du valfria anspråk till din Microsoft Entra-app.

Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.
I avsnittet Hantera väljer du Appregistreringar.
Välj det program som du vill konfigurera valfria anspråk för i listan.
I avsnittet Hantera väljer du Tokenkonfiguration (förhandsversion).
Välj Lägg till ytterligare anspråk.
Välj den tokentyp som du vill konfigurera.
Välj de valfria anspråk som ska läggas till.
Klicka på Lägg till.

Skapa en principnyckel

Nu när du har skapat programmet i din Microsoft Entra-klientorganisation måste du lagra programmets klienthemlighet i din Azure AD B2C-klientorganisation.

Logga in på Azure-portalen.
Om du har åtkomst till flera klienter väljer du ikonen Inställningar på den översta menyn för att växla till din Azure AD B2C-klient från menyn Kataloger + prenumerationer.
Välj Alla tjänster på menyn högst upp till vänster i Azure-portalen och sök efter och välj Azure AD B2C.
På sidan Översikt väljer du Identity Experience Framework.
Välj Principnycklar och välj sedan Lägg till.
För Alternativ väljer du Manual.
Ange ett Namn för principnyckeln. Exempel: MSASecret Prefixet B2C_1A_ läggs automatiskt till i namnet på din nyckel.
I Hemlighet anger du den klienthemlighet som du registrerade i föregående avsnitt.
För Nyckelanvändning väljer du Signature.
Klicka på Skapa.

Konfigurera Microsoft som en identitetsprovider

För att göra det möjligt för användare att logga in med ett Microsoft-konto måste du definiera kontot som en anspråksprovider som Azure AD B2C kan kommunicera med via en slutpunkt. Slutpunkten innehåller en uppsättning anspråk som används av Azure AD B2C för att verifiera att en viss användare har autentiserats.

Du kan definiera Microsoft Entra-ID som en anspråksprovider genom att lägga till elementet ClaimsProvider i tilläggsfilen för principen.

Öppna principfilen TrustFrameworkExtensions.xml.
Hitta elementet ClaimsProviders . Om den inte finns lägger du till den under rotelementet.

Lägg till en ny ClaimsProvider på följande sätt:

<ClaimsProvider>
  <Domain>live.com</Domain>
  <DisplayName>Microsoft Account</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="MSA-MicrosoftAccount-OpenIdConnect">
      <DisplayName>Microsoft Account</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="ProviderName">https://login.live.com</Item>
        <Item Key="METADATA">https://login.live.com/.well-known/openid-configuration</Item>
        <Item Key="response_types">code</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="scope">openid profile email</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
        <Item Key="client_id">Your Microsoft application client ID</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_MSASecret" />
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
        <OutputClaim ClaimTypeReferenceId="email" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Ersätt värdet för client_id med Microsoft Entra-programmets program-ID (klient)-ID som du registrerade tidigare.
Spara filen.

Nu har du konfigurerat din princip så att Azure AD B2C vet hur du kommunicerar med ditt Microsoft-kontoprogram i Microsoft Entra-ID.

Lägga till en användarresa

I det här läget har identitetsprovidern konfigurerats, men den är ännu inte tillgänglig på någon av inloggningssidorna. Om du inte har en egen anpassad användarresa skapar du en dubblett av en befintlig mallanvändarresa, annars fortsätter du till nästa steg.

Öppna filen TrustFrameworkBase.xml från startpaketet.
Hitta och kopiera hela innehållet i elementet UserJourney som innehåller Id="SignUpOrSignIn".
Öppna TrustFrameworkExtensions.xml och leta upp elementet UserJourneys. Om elementet inte finns lägger du till ett.
Klistra in hela innehållet i elementet UserJourney som du kopierade som underordnat elementet UserJourneys .
Byt namn på ID:t för användarresan. Exempel: Id="CustomSignUpSignIn"

Lägga till identitetsprovidern i en användarresa

Nu när du har en användarresa lägger du till den nya identitetsprovidern i användarresan. Du lägger först till en inloggningsknapp och länkar sedan knappen till en åtgärd. Åtgärden är den tekniska profil som du skapade tidigare.

Leta reda på orkestreringsstegelementet som innehåller Type="CombinedSignInAndSignUp", eller Type="ClaimsProviderSelection" i användarresan. Det är vanligtvis det första orkestreringssteget. Elementet ClaimsProviderSelections innehåller en lista över identitetsprovidrar som en användare kan logga in med. Ordningen på elementen styr ordningen på de inloggningsknappar som visas för användaren. Lägg till ett ClaimsProviderSelection XML-element. Ange värdet för TargetClaimsExchangeId till ett eget namn.
I nästa orkestreringssteg lägger du till ett ClaimsExchange-element . Ange ID:t till värdet för målanspråkets utbytes-ID. Uppdatera värdet för TechnicalProfileReferenceId till ID:t för den tekniska profil som du skapade tidigare.

Följande XML visar de två första orkestreringsstegen för en användarresa med identitetsprovidern:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="MicrosoftAccountExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="MicrosoftAccountExchange" TechnicalProfileReferenceId="MSA-MicrosoftAccount-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Konfigurera principen för förlitande part

Principen för förlitande part, till exempel SignUpSignIn.xml, anger den användarresa som Azure AD B2C ska köra. Hitta elementet DefaultUserJourney i den förlitande parten. Uppdatera ReferenceId så att det matchar användarens rese-ID, där du lade till identitetsprovidern.

I följande exempel CustomSignUpSignIn för användarresan är ReferenceId inställt på CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Ladda upp den anpassade principen

Logga in på Azure-portalen.
Välj ikonen Katalog + prenumeration i portalens verktygsfält och välj sedan den katalog som innehåller din Azure AD B2C-klientorganisation.
I Azure-portalen söker du efter och väljer Azure AD B2C.
Under Principer väljer du Identity Experience Framework.
Välj Överför anpassad princip och ladda sedan upp de två principfilerna som du ändrade i följande ordning: tilläggsprincipen, till exempel TrustFrameworkExtensions.xml, och sedan den förlitande partprincipen, till exempel SignUpSignIn.xml.

Testa din anpassade princip

Välj din princip för förlitande part, till exempel B2C_1A_signup_signin.
För Program väljer du ett webbprogram som du registrerade tidigare. Svars-URL :en ska visa https://jwt.ms.
Välj knappen Kör nu.
På registrerings- eller inloggningssidan väljer du Microsoft för att logga in med Microsoft-kontot.

Om inloggningsprocessen lyckas omdirigeras webbläsaren till https://jwt.ms, som visar innehållet i token som returneras av Azure AD B2C.

Konfigurera registrering och inloggning med ett Microsoft-konto med hjälp av Azure Active Directory B2C

Förutsättningar

Skapa ett Microsoft-kontoprogram

Konfigurera Microsoft som en identitetsprovider

Lägga till Microsoft-identitetsprovider i ett användarflöde

Konfigurera valfria anspråk

Skapa en principnyckel

Konfigurera Microsoft som en identitetsprovider

Lägga till en användarresa

Lägga till identitetsprovidern i en användarresa

Konfigurera principen för förlitande part

Ladda upp den anpassade principen

Testa din anpassade princip

Ytterligare resurser