Einrichten der Registrierung und Anmeldung mit einem Salesforce-Konto - Azure AD B2C

Artikel
11/16/2023

Vorbereitung: Wählen Sie mithilfe des Selektors Richtlinientyp auswählen den Typ der einzurichtenden Richtlinie aus. Azure Active Directory B2C bietet zwei Methoden zum Definieren der Benutzerinteraktion mit Ihren Anwendungen: vordefinierte Benutzerflows oder vollständig konfigurierbare benutzerdefinierte Richtlinien. Die Schritte, die in diesem Artikel erforderlich sind, unterscheiden sich für jede Methode.

Hinweis

In Azure Active Directory B2C sind benutzerdefinierte Richtlinien in erster Linie für komplexe Szenarien konzipiert. Für die meisten Szenarien empfehlen wir die Verwendung von integrierten Benutzerflows. Informieren Sie sich, sofern noch nicht geschehen, unter Tutorial: Erstellen von Benutzerflows und benutzerdefinierten Richtlinien in Azure Active Directory B2C über das Starter Pack für benutzerdefinierte Richtlinien.

Voraussetzungen

Erstellen Sie einen Benutzerflow, damit sich Benutzer bei Ihrer Anwendung registrieren und anmelden können.
Registrieren Sie eine Webanwendung.

Führen Sie die unter Erste Schritte mit benutzerdefinierten Richtlinien in Active Directory B2C beschriebenen Schritte aus.
Registrieren Sie eine Webanwendung.

Erstellen einer Salesforce-Anwendung

Damit Sie die Anmeldung für Benutzer mit einem Salesforce-Konto in Azure Active Directory B2C (Azure AD B2C) aktivieren können, müssen Sie in Ihrem Anwendungs-Manager in Salesforce eine Anwendung erstellen. Weitere Informationen finden Sie unter Konfigurieren der grundlegenden Einstellungen für verbundene Anwendungen und Aktivieren von OAuth-Einstellungen für die API-Integration.

Anmelden Sie sich bei Salesforce an.
Klicken Sie im Menü auf Setup.
Erweitern Sie Anwendungen, und wählen Sie dann Anwendungs-Manager aus.
Klicken Sie auf Neue verbundene Anwendung.
Geben Sie unter Basic Information (Grundlegende Informationen) Folgendes ein:
1. Connected App Name (Name der verbundenen Anwendung): Der Name der verbundenen Anwendung wird im Anwendungs-Manager und auf der zugehörigen App Launcher-Kachel angezeigt. Der Name muss innerhalb Ihrer Organisation eindeutig sein.
2. API-Name
3. Contact Email (Kontakt-E-Mail-Adresse): Geben Sie hier die Kontakt-E-Mail-Adresse für Salesforce an.
Wählen Sie unter API (OAuth-Einstellungen aktivieren) die Option OAuth-Einstellungen aktivieren aus.
1. Geben Sie https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp in Callback URL ein. Bei Verwendung einer benutzerdefinierten Domäne geben Sie https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp ein. Ersetzen Sie your-tenant-name durch den Namen Ihres Mandanten und your-domain-name durch Ihre benutzerdefinierte Domäne. Bei der Eingabe Ihres Mandantennamens dürfen Sie nur Kleinbuchstaben verwenden, auch wenn der Mandant in Azure AD B2C Großbuchstaben enthält.
2. Wählen Sie unter Ausgewählte OAuth-Bereiche die Option Zugriff auf den Identitäts-URL-Dienst (id, profile, email, address, phone) und Zugriff auf Ihre eindeutige Kennung zulassen (openid) aus.
3. Wählen Sie Geheimnis für Webserver-Flow erforderlich aus.
Wählen Sie Configure ID Token (ID-Token konfigurieren) aus.
1. Legen Sie für Token Valid for (Token gültig für) 5 Minuten fest.
2. Wählen Sie Include Standard Claims (Standardansprüche einschließen) aus.
Klicken Sie auf Speichern.
Kopieren Sie die Werte für Consumer Key (Consumerschlüssel) und Consumer Secret (Consumergeheimnis). Diese beiden Angaben benötigen Sie, um Salesforce als Identitätsanbieter in Ihrem Mandanten zu konfigurieren. Das Clientgeheimnis ist eine wichtige Anmeldeinformation.

Konfigurieren von Salesforce als Identitätsanbieter

Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben aus, um über das Menü Verzeichnisse + Abonnements zu Ihrem Azure AD B2C-Mandanten zu wechseln.
Wählen Sie links oben im Azure-Portal die Option Alle Dienste aus, suchen Sie nach Azure AD B2C, und wählen Sie dann diese Option aus.
Wählen Sie Identitätsanbieter und dann Neuer OpenID Connect-Anbieter aus.
Geben Sie einen Namen ein. Geben Sie z. B. Salesforce ein.
Geben Sie für Metadaten-URL die URL des Salesforce OpenID Connect Configuration-Dokuments ein. Bei einer Sandbox wird „login.salesforce.com“ durch „test.salesforce.com“ ersetzt. Für eine Community wird „login.salesforce.com“ durch die Community-URL ersetzt, z. B. „username.force.com/.well-known/openid-configuration“. Die URL muss eine HTTPS-URL sein.
```
https://login.salesforce.com/.well-known/openid-configuration
```
Geben Sie für Client-ID die zuvor notierte Anwendungs-ID ein.
Geben Sie im Feld Geheimer Clientschlüssel den zuvor notierten geheimen Clientschlüssel ein.
Geben Sie für den Bereich das openid id profile email ein.
Übernehmen Sie die Standardwerte für Antworttyp und Antwortmodus.
(Optional) Geben Sie als Domänenhinweis die Zeichenfolge contoso.com ein. Weitere Informationen finden Sie unter Einrichten einer direkten Anmeldung mit Azure Active Directory B2C.
Wählen Sie unter Zuordnung von Identitätsanbieteransprüchen die folgenden Ansprüche aus:
- Benutzer-ID: Abonnement
- Anzeigename: name
- Vorname: given_name
- Nachname: family_name
- E-Mail: email
Wählen Sie Speichern aus.

Hinzufügen des Salesforce-Identitätsanbieters zu einem Benutzerflow

Der Salesforce-Identitätsanbieter wurde nun eingerichtet, aber er ist noch auf keiner der Anmeldeseiten verfügbar. Hinzufügen des Salesforce-Identitätsanbieters zu einem Benutzerflow:

Wählen Sie in Ihrem Azure AD B2C-Mandanten die Option Benutzerflows aus.
Klicken Sie auf den Benutzerflow, dem Sie den Salesforce-Identitätsanbieter hinzufügen möchten.
Wählen Sie unter Social identity providers (Soziales Netzwerk als Identitätsanbieter) die Option Salesforce aus.
Wählen Sie Speichern aus.
Um die Richtlinie zu testen, wählen Sie Benutzerflow ausführen aus.
Wählen Sie für Anwendung die Webanwendung testapp1 aus, die Sie zuvor registriert haben. Als Antwort-URL sollte https://jwt.ms angezeigt werden.
Wählen Sie die Schaltfläche Benutzerflow ausführen aus.
Wählen Sie auf der Registrierungs- oder Anmeldeseite die Option Salesforce aus, um sich mit dem Salesforce-Konto anzumelden.

Wenn der Anmeldevorgang erfolgreich verlaufen ist, wird der Browser an https://jwt.ms umgeleitet und dadurch der Inhalt des von Azure AD B2C zurückgegebenen Tokens angezeigt.

Erstellen eines Richtlinienschlüssels

Sie müssen den geheimen Clientschlüssel speichern, den Sie zuvor in Ihrem Azure AD B2C-Mandanten notiert haben.

Melden Sie sich beim Azure-Portal an.
Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben aus, um über das Menü Verzeichnisse + Abonnements zu Ihrem Azure AD B2C-Mandanten zu wechseln.
Wählen Sie links oben im Azure-Portal die Option Alle Dienste aus, suchen Sie nach Azure AD B2C, und wählen Sie dann diese Option aus.
Wählen Sie auf der Seite „Übersicht“ die Option Framework für die Identitätsfunktion aus.
Klicken Sie erst auf Richtlinienschlüssel und anschließend auf Hinzufügen.
Klicken Sie unter Optionen auf Manual.
Geben Sie einen Namen für den Richtlinienschlüssel ein. Beispiel: SalesforceSecret. Dem Namen Ihres Schlüssels wird automatisch das Präfix B2C_1A_ hinzugefügt.
Geben Sie im Feld Geheimnis den geheimen Clientschlüssel ein, den Sie zuvor notiert haben.
Wählen Sie für Schlüsselverwendung die Option Signature aus.
Klicken Sie auf Erstellen.

Konfigurieren von Salesforce als Identitätsanbieter

Wenn Sie Benutzern die Anmeldung mit einem Salesforce-Konto ermöglichen möchten, müssen Sie das Konto als Anspruchsanbieter definieren, mit dem Azure AD B2C über einen Endpunkt kommunizieren kann. Der Endpunkt bietet eine Reihe von Ansprüchen, mit denen Azure AD B2C überprüft, ob ein bestimmter Benutzer authentifiziert wurde.

Sie können ein Salesforce-Konto als Anspruchsanbieter definieren, indem Sie es in der Erweiterungsdatei Ihrer Richtlinie dem ClaimsProviders-Element hinzufügen.

Öffnen Sie die Datei TrustFrameworkExtensions.xml.
Suchen Sie nach dem Element ClaimsProviders. Falls das Element nicht vorhanden sein sollte, fügen Sie es unter dem Stammelement hinzu.

Fügen Sie ein neues ClaimsProvider-Element wie folgt hinzu:

<ClaimsProvider>
  <Domain>salesforce.com</Domain>
  <DisplayName>Salesforce</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="Salesforce-OpenIdConnect">
      <DisplayName>Salesforce</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="METADATA">https://login.salesforce.com/.well-known/openid-configuration</Item>
        <Item Key="response_types">code</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="scope">openid id profile email</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">0</Item>
        <!-- Update the Client ID below to the Application ID -->
        <Item Key="client_id">Your Salesforce application ID</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_SalesforceSecret"/>
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="salesforce.com" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Für METADATA ist die URL des Salesforce OpenID Connect Configuration-Dokuments festgelegt. Bei einer Sandbox wird „login.salesforce.com“ durch „test.salesforce.com“ ersetzt. Für eine Community wird „login.salesforce.com“ durch die Community-URL ersetzt, z. B. „username.force.com/.well-known/openid-configuration“. Die URL muss eine HTTPS-URL sein.
Legen Sie client_id auf die Anwendungs-ID aus der Anwendungsregistrierung fest.
Speichern Sie die Datei .

Hinzufügen einer User Journey

Der Identitätsanbieter wurde nun eingerichtet, aber er ist noch auf keiner der Anmeldeseiten verfügbar. Wenn Sie nicht über eine eigene benutzerdefinierte User Journey verfügen, erstellen Sie ein Duplikat einer vorhandenen User Journey-Vorlage, und fahren Sie andernfalls mit dem nächsten Schritt fort.

Öffnen Sie die Datei TrustFrameworkBase.xml aus dem Starter Pack.
Suchen und kopieren Sie den gesamten Inhalt des UserJourney-Elements, das Id="SignUpOrSignIn" enthält.
Öffnen Sie die Datei TrustFrameworkExtensions.xml, und suchen Sie nach dem UserJourneys-Element. Wenn das Element nicht vorhanden ist, fügen Sie ein solches hinzu.
Fügen Sie den gesamten Inhalt des kopierten UserJourney-Element als untergeordnetes Element des UserJourneys-Elements ein.
Benennen Sie die ID der User Journey um. Beispiel: Id="CustomSignUpSignIn".

Hinzufügen des Identitätsanbieters zu einer User Journey

Nachdem Sie nun über eine User Journey verfügen, fügen Sie den neuen Identitätsanbieter der User Journey hinzu. Fügen Sie zunächst eine Anmeldeschaltfläche hinzu, und verknüpfen Sie dann die Schaltfläche mit einer Aktion. Die Aktion ist das technische Profil, das Sie zuvor erstellt haben.

Suchen Sie nach dem Orchestrierungsschrittelement, das Type="CombinedSignInAndSignUp" enthält, oder Type="ClaimsProviderSelection" in der User Journey. Dies ist in der Regel der erste Orchestrierungsschritt. Das ClaimsProviderSelections-Element enthält eine Liste mit Identitätsanbietern, mit denen sich ein Benutzer anmelden kann. Die Reihenfolge der Elemente gibt die Reihenfolge der Anmeldeschaltflächen vor, die dem Benutzer angezeigt werden. Fügen Sie ein ClaimsProviderSelection-XML-Element hinzu. Legen Sie für TargetClaimsExchangeId einen Anzeigenamen fest.
Fügen Sie im nächsten Orchestrierungsschritt ein ClaimsExchange-Element hinzu. Legen Sie die ID auf den Wert der Zielanspruchs-Austausch-ID fest. Ändern Sie den Wert von TechnicalProfileReferenceId in die ID des technischen Profils, das Sie zuvor erstellt haben.

Der folgende XML-Code veranschaulicht die ersten beiden Orchestrierungsschritte einer User Journey mit dem Identitätsanbieter:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="SalesforceExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="SalesforceExchange" TechnicalProfileReferenceId="Salesforce-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Konfigurieren einer Richtlinie für die vertrauende Seite

Die Richtlinie für die vertrauende Seite (z. B. SignUpSignIn.xml) gibt die User Journey an, die Azure AD B2C ausführt. Suchen Sie das DefaultUserJourney-Element in Vertrauende Seite. Aktualisieren Sie ReferenceId auf die ID der User Journey, in der Sie den Identitätsanbieter hinzugefügt haben.

Im folgenden Beispiel wird die ReferenceId für die User Journey CustomSignUpSignIn auf CustomSignUpSignIn festgelegt:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Hochladen der benutzerdefinierten Richtlinie

Melden Sie sich beim Azure-Portal an.
Wählen Sie auf der Symbolleiste des Portals das Symbol Verzeichnis und Abonnement aus, und wählen Sie dann das Verzeichnis aus, das Ihren Azure AD B2C-Mandanten enthält.
Suchen Sie im Azure-Portal nach Azure AD B2C, und wählen Sie diese Option dann aus.
Wählen Sie unter Richtlinien die Option Identity Experience Framework aus.
Wählen Sie Benutzerdefinierte Richtlinie hochladen aus, und laden Sie dann die beiden geänderten Richtliniendateien in der folgenden Reihenfolge hoch: zuerst die Erweiterungsrichtlinie (z. B. TrustFrameworkExtensions.xml) und dann die Richtlinie für die vertrauende Seite (z. B. SignUpSignIn.xml).

Testen der benutzerdefinierten Richtlinie

Wählen Sie die Richtliniendatei für die vertrauende Seite aus, z. B. B2C_1A_signup_signin.
Wählen Sie für Anwendung eine Webanwendung aus, die Sie zuvor registriert haben. Als Antwort-URL sollte https://jwt.ms angezeigt werden.
Wählen Sie die Schaltfläche Jetzt ausführen aus.
Wählen Sie auf der Registrierungs- oder Anmeldeseite die Option Salesforce aus, um sich mit dem Salesforce-Konto anzumelden.

Wenn der Anmeldevorgang erfolgreich verlaufen ist, wird der Browser an https://jwt.ms umgeleitet und dadurch der Inhalt des von Azure AD B2C zurückgegebenen Tokens angezeigt.

Nächste Schritte

Informieren Sie sich darüber, wie Sie das Salesforce-Token an Ihre Anwendung übergeben.

Freigeben über

Voraussetzungen

Erstellen einer Salesforce-Anwendung

Konfigurieren von Salesforce als Identitätsanbieter

Hinzufügen des Salesforce-Identitätsanbieters zu einem Benutzerflow

Erstellen eines Richtlinienschlüssels

Konfigurieren von Salesforce als Identitätsanbieter

Hinzufügen einer User Journey

Hinzufügen des Identitätsanbieters zu einer User Journey

Konfigurieren einer Richtlinie für die vertrauende Seite

Hochladen der benutzerdefinierten Richtlinie

Testen der benutzerdefinierten Richtlinie

Nächste Schritte

Feedback

Zusätzliche Ressourcen

Freigeben über

Einrichten der Registrierung und Anmeldung mit einem Salesforce-Konto mithilfe von Azure Active Directory B2C

Voraussetzungen

Erstellen einer Salesforce-Anwendung

Konfigurieren von Salesforce als Identitätsanbieter

Hinzufügen des Salesforce-Identitätsanbieters zu einem Benutzerflow

Erstellen eines Richtlinienschlüssels

Konfigurieren von Salesforce als Identitätsanbieter

Hinzufügen einer User Journey

Hinzufügen des Identitätsanbieters zu einer User Journey

Konfigurieren einer Richtlinie für die vertrauende Seite

Hochladen der benutzerdefinierten Richtlinie

Testen der benutzerdefinierten Richtlinie

Nächste Schritte

Feedback

Zusätzliche Ressourcen