Definición de un perfil técnico de OpenID Connect en una directiva personalizada de Azure Active Directory B2C
Nota:
En Azure Active Directory B2C, las directivas personalizadas se han diseñado principalmente para abordar escenarios complejos. Para la mayoría de los escenarios, se recomienda usar flujos de usuario integrados. Si no lo ha hecho, obtenga información sobre el paquete de inicio de directivas personalizadas en Introducción a las directivas personalizadas en Active Directory B2C.
Azure Active Directory B2C (Azure AD B2C) ofrece compatibilidad con el proveedor de identidades del protocolo OpenID Connect. OpenID Connect 1.0 define un nivel de identidad sobre OAuth 2.0 y representa la tecnología más avanzada en los protocolos de autenticación moderna. Con un perfil técnico de OpenID Connect, puede federarse con un proveedor de identidades basado en OpenID Connect, como Microsoft Entra ID. Esta federación permite a los usuarios iniciar sesión con sus identidades de redes sociales o de empresa existentes.
Protocolo
El atributo Name del elemento Protocol tiene que establecerse en OpenIdConnect. Por ejemplo, el protocolo del perfil técnico MSA-OIDC es OpenIdConnect:
<TechnicalProfile Id="MSA-OIDC">
<DisplayName>Microsoft Account</DisplayName>
<Protocol Name="OpenIdConnect" />
...
Notificaciones de entrada
Los elementos InputClaims y InputClaimsTransformations no son necesarios. Pero puede que quiera enviar otros parámetros al proveedor de identidades. En el ejemplo siguiente se agrega el parámetro de cadena de consulta domain_hint con el valor de contoso.com a la solicitud de autorización.
<InputClaims>
<InputClaim ClaimTypeReferenceId="domain_hint" DefaultValue="contoso.com" />
</InputClaims>
Notificaciones de salida
El elemento OutputClaims contiene una lista de notificaciones proporcionada por el proveedor de identidades de OpenID Connect. Puede que tenga que asignar el nombre de la notificación definida en la directiva al nombre definido en el proveedor de identidades. También puede incluir notificaciones no especificadas por el proveedor de identidades, siempre que establezca el atributo DefaultValue.
El elemento OutputClaimsTransformations puede contener una colección de elementos OutputClaimsTransformation que se usan para modificar las notificaciones de salida o para generar nuevas.
En el ejemplo siguiente, se muestran las notificaciones proporcionadas por el proveedor de identidades de cuentas Microsoft:
- La notificación sub que se asigna a la notificación issuerUserId.
- La notificación name que se asigna a la notificación displayName.
- El correo electrónico sin asignación de nombre.
El perfil técnico también muestra la notificaciones no proporcionadas por el proveedor de identidades:
- La notificación identityProvider que contiene el nombre del proveedor de identidades.
- La notificación authenticationSource con un valor predeterminado de socialIdpAuthentication.
<OutputClaims>
<OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="live.com" />
<OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
<OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub" />
<OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
<OutputClaim ClaimTypeReferenceId="email" />
</OutputClaims>
Metadatos
| Atributo | Obligatorio | Descripción |
|---|---|---|
| client_id | Sí | El identificador de la aplicación del proveedor de identidades. |
| IdTokenAudience | No | El público de id_token. Si se especifica, Azure AD B2C comprueba si la notificación aud de un token proporcionada por el proveedor de identidades es igual a la especificada en los metadatos de IdTokenAudience. |
| METADATOS | Sí | Una dirección URL que apunta a un documento de configuración del proveedor de identidades de OpenID Connect, que es un punto de conexión de configuración conocido de OpenID. La dirección URL puede contener la expresión {tenant}, que se reemplaza por el nombre del inquilino. |
| authorization_endpoint | No | Una dirección URL que apunta a un punto de conexión de autorización de configuración del proveedor de identidades de OpenID Connect. El valor de los metadatos de authorization_endpoint tiene prioridad sobre el elemento authorization_endpoint especificado en el punto de conexión de configuración conocido de OpenID. La dirección URL puede contener la expresión {tenant}, que se reemplaza por el nombre del inquilino. |
| end_session_endpoint | No | Dirección URL del último punto de conexión de la sesión. El valor de los metadatos de end_session_endpoint tiene prioridad sobre el elemento especificado end_session_endpoint en el punto de conexión de configuración conocido de OpenID. |
| issuer | No | El identificador único de un proveedor de identidades de OpenID Connect. El valor de los metadatos de issuer tiene prioridad sobre el elemento issuer especificado en el punto de conexión de configuración conocido de OpenID. Si se especifica, Azure AD B2C comprueba si la notificación iss de un token proporcionada por el proveedor de identidades es igual a la especificada en los metadatos de issuer. |
| ProviderName | No | Nombre del proveedor de identidades. |
| response_types | No | Tipo de respuesta según la especificación OpenID Connect Core 1.0. Valores posibles: id_token, code o token. |
| response_mode | No | Método que usará el proveedor de identidades para enviar de vuelta el resultado Azure AD B2C. Valores posibles: query, form_post (predeterminado) o fragment. |
| scope | No | Ámbito de la solicitud definida según la especificación OpenID Connect Core 1.0. Por ejemplo, openid, profile y email. |
| HttpBinding | No | Enlace HTTP esperado al token de acceso y los puntos de conexión del token de notificaciones. Valores posibles: GET o POST. |
| ValidTokenIssuerPrefixes | No | Clave que se puede usar para iniciar sesión en cada uno de los inquilinos cuando se usa un proveedor de identidades multiinquilino, como el id. de Microsoft Entra. |
| UsePolicyInRedirectUri | No | Indica si se usará una directiva al crear el URI de redireccionamiento. Al configurar la aplicación en el proveedor de identidades, necesita especificar el URI de redireccionamiento. El URI de redireccionamiento apunta a Azure AD B2C, https://{your-tenant-name}.b2clogin.com/{your-tenant-name}.onmicrosoft.com/oauth2/authresp. Si especifica true, tendrá que agregar un URI de redireccionamiento por cada directiva que use. Por ejemplo: https://{your-tenant-name}.b2clogin.com/{your-tenant-name}.onmicrosoft.com/{policy-name}/oauth2/authresp. |
| MarkAsFailureOnStatusCode5xx | No | Indica si una solicitud a un servicio externo tiene que marcarse como un error si el código de estado HTTP se encuentra en el intervalo 5xx. El valor predeterminado es false. |
| DiscoverMetadataByTokenIssuer | No | Indica si se deben detectar los metadatos de OIDC mediante el emisor del token JWT. Si necesita crear la dirección URL del punto de conexión de metadatos según el emisor, establézcalo en true. |
| IncludeClaimResolvingInClaimsHandling | No | En el caso de las notificaciones de entrada y salida, especifica si se incluye la resolución de notificaciones en el perfil técnico. Valores posibles: true o false (valor predeterminado). Si desea utilizar un solucionador de notificaciones en el perfil técnico, establézcalo en true. |
| token_endpoint_auth_method | No | Especifica cómo Azure AD B2C envía el encabezado de autenticación al punto de conexión del token. Valores posibles: client_secret_post (valor predeterminado) y client_secret_basic, private_key_jwt. Para obtener más información, consulte la sección Autenticación de cliente de OpenID Connect. |
| token_signing_algorithm | No | Especifica el algoritmo de firma que se va a usar cuando token_endpoint_auth_method se establece en private_key_jwt. Valores posibles: RS256 (predeterminado) o RS512. |
| SingleLogoutEnabled | No | Indica si, durante el inicio de sesión, el perfil técnico intenta cerrar sesión desde los proveedores de identidades federados. Para obtener más información, consulte Cierre de sesión de Azure AD B2C. Valores posibles: true (opción predeterminada) o false. |
| ReadBodyClaimsOnIdpRedirect | No | Establézcalo en true para leer notificaciones del cuerpo de la respuesta en la redirección del proveedor de identidades. Estos metadatos se usan con el identificador de Apple, donde las notificaciones devuelven la carga de respuesta. |
<Metadata>
<Item Key="ProviderName">https://login.live.com</Item>
<Item Key="METADATA">https://login.live.com/.well-known/openid-configuration</Item>
<Item Key="response_types">code</Item>
<Item Key="response_mode">form_post</Item>
<Item Key="scope">openid profile email</Item>
<Item Key="HttpBinding">POST</Item>
<Item Key="UsePolicyInRedirectUri">false</Item>
<Item Key="client_id">Your Microsoft application client ID</Item>
</Metadata>
Elementos de interfaz de usuario
La configuración siguiente se puede usar para establecer el mensaje de error que se muestra cuando se produce un error. Los metadatos se deben configurar en el perfil técnico de OpenID Connect. Los mensajes de error se pueden localizar.
| Atributo | Obligatorio | Descripción |
|---|---|---|
| UserMessageIfClaimsPrincipalDoesNotExist | No | Mensaje que se mostrará al usuario si una cuenta con el nombre de usuario proporcionado no está en el directorio |
| UserMessageIfInvalidPassword | No | Mensaje que se mostrará al usuario si la contraseña es incorrecta |
| UserMessageIfOldPasswordUsed | No | Mensaje que se mostrará al usuario si se usa una contraseña antigua |
Claves de cifrado
El elemento CryptographicKeys contiene el atributo siguiente:
| Atributo | Obligatorio | Descripción |
|---|---|---|
| client_secret | Sí | Secreto de cliente de la aplicación del proveedor de identidades. La clave criptográfica es necesaria solo si los metadatos de response_types se establecen en code y token_endpoint_auth_method se establece en client_secret_post o client_secret_basic. En este caso, Azure AD B2C realiza otra llamada para cambiar el código de autorización por un token de acceso. Si los metadatos se establecen en id_token, puede omitir la clave criptográfica. |
| assertion_signing_key | Sí | Clave privada RSA que se utilizará para firmar la aserción del cliente. Esta clave criptográfica solo es necesaria si los metadatos de token_endpoint_auth_method se establecen en private_key_jwt. |
URI de redireccionamiento
Al configurar el URI de redireccionamiento del proveedor de identidades, escriba https://{your-tenant-name}.b2clogin.com/{your-tenant-name}.onmicrosoft.com/oauth2/authresp. Asegúrese de reemplazar {your-tenant-name} por el nombre del inquilino. El URI de redireccionamiento necesita estar escrito todo en minúsculas.
Ejemplos: