Partager via

Preuve de concept de l’infrastructure d’identité globale Azure Active Directory B2C pour la configuration basée sur la synthèse

  • Article

La section suivante explique comment créer des implémentations de preuve de concept pour l’orchestration basée sur la synthèse. Les stratégies personnalisées Azure Active Directory B2C (Azure AD B2C) terminées sont disponibles ici.

Approche basée sur la synthèse

Le diagramme de blocs suivant montre la preuve de concept. Les instructions montrent comment configurer les locataires Azure AD B2C. La couche d’API externe et la table de recherche géo-distribuée ne sont pas incluses dans ce guide.

Capture d’écran montrant le diagramme de blocs d’approche basée sur la synthèse.

Locataire en synthèse

  1. Créer un locataire.

  2. Configurer des fédérations pour chaque combinaison client/stratégie Azure AD B2C

  3. Configurez client_id mappage à la région : utilisez la transformation de revendication de recherche pour émuler.

    <ClaimsTransformation Id="ClientIdToRegion" TransformationMethod="LookupValue">
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="regionFromURL" TransformationClaimType="inputParameterId" />
  </InputClaims>
  <InputParameters>
    <InputParameter Id="0dd7579e-fb90-4178-bc36-77a3fe658683" DataType="string" Value="APAC" />
    <InputParameter Id="7e7f5403-b3d7-41cc-85fc-130ab6fd9361" DataType="string" Value="NOAM" />
    <InputParameter Id="4ea5d578-9c51-4091-96d1-58e15e98e9b9" DataType="string" Value="EMEA" />
    <InputParameter Id="errorOnFailedLookup" DataType="boolean" Value="false" />
  </InputParameters>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="sendToRegion" TransformationClaimType="outputClaim" />
  </OutputClaims>
</ClaimsTransformation>

  4. Configurez les fédérations à activer en fonction du mappage client_id - région.

    <TechnicalProfile Id="HRDLogic">
  <DisplayName>ParseDomainHint</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ClaimsTransformationProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="IncludeClaimResolvingInClaimsHandling">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="regionFromURL" DefaultValue="{OIDC:ClientId}" AlwaysUseDefaultValue="true" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="sendToRegion" />
    <OutputClaim ClaimTypeReferenceId="identityProviders" />
  </OutputClaims>
  <OutputClaimsTransformations>
    <OutputClaimsTransformation ReferenceId="ClientIdToRegion" />
    <OutputClaimsTransformation ReferenceId="CreateidentityProvidersCollection" />
  </OutputClaimsTransformations>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

Locataire régional

  1. Créer un locataire.

  2. Créez une inscription d’application pour établir la fédération avec le locataire de synthèse.

Se connecter

  1. Configurez l’identificateur pour la recherche de région via la table de recherche globale, utilisez la transformation de revendication de recherche pour émuler.

    <ClaimsTransformation Id="UserIdToRegion" TransformationMethod="LookupValue">
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="inputParameterId" />
  </InputClaims>
  <InputParameters>
    <InputParameter Id="bob@noam.com" DataType="string" Value="NOAM" />
    <InputParameter Id="bob@noam1.com" DataType="string" Value="NOAM" />
    <InputParameter Id="john@emea.com" DataType="string" Value="EMEA" />
    <InputParameter Id="john@emea1.com" DataType="string" Value="EMEA" />
    <InputParameter Id="alice@apac.com" DataType="string" Value="APAC" />
    <InputParameter Id="alice@apac1.com" DataType="string" Value="APAC" />
    <InputParameter Id="errorOnFailedLookup" DataType="boolean" Value="false" />
  </InputParameters>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="userLookupRegion" TransformationClaimType="outputClaim" />
  </OutputClaims>
</ClaimsTransformation>

  2. Configurez l’authentification basée sur l’API pour les utilisateurs itinérants et MS API Graph appel pour extraire le profil des utilisateurs.

    1. Vérifiez les informations d’identification et obtenez ms API Graph jeton auprès du locataire respectif. Inscrire l’inscription d’application native dans chaque locataire régional avec des autorisations sur MS API Graph pour l’autorisation déléguée : user.read.

      <TechnicalProfile Id="REST-login-NonInteractive-APAC">
  <DisplayName>non interactive authentication to APAC</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="ServiceUrl">https://login.microsoftonline.com/b2capac.onmicrosoft.com/oauth2/v2.0/token</Item>
    <Item Key="AuthenticationType">None</Item>
    <Item Key="SendClaimsIn">Form</Item>
    <Item Key="AllowInsecureAuthInProduction">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="apac_client_id" PartnerClaimType="client_id" DefaultValue="00001111-aaaa-2222-bbbb-3333cccc4444" />
    <InputClaim ClaimTypeReferenceId="ropc_grant_type" PartnerClaimType="grant_type" DefaultValue="password" />
    <InputClaim ClaimTypeReferenceId="signInName" PartnerClaimType="username" />
    <InputClaim ClaimTypeReferenceId="password" />
    <InputClaim ClaimTypeReferenceId="scope" DefaultValue="https://graph.microsoft.com/.default" AlwaysUseDefaultValue="true" />
    <InputClaim ClaimTypeReferenceId="nca" PartnerClaimType="nca" DefaultValue="1" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="bearerToken" PartnerClaimType="access_token" />
  </OutputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

    2. Lire le profil via MS API Graph pour l’utilisateur itinérant.

      <TechnicalProfile Id="Azure AD-Read-User-MSGraph">
  <DisplayName>revoke my refresh token</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="ServiceUrl">https://graph.microsoft.com/beta/me</Item>
    <Item Key="AuthenticationType">Bearer</Item>
    <Item Key="UseClaimAsBearerToken">bearerToken</Item>
    <Item Key="SendClaimsIn">Url</Item>
    <Item Key="DebugMode">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="bearerToken" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="id" />
    <OutputClaim ClaimTypeReferenceId="givenName" />
    <OutputClaim ClaimTypeReferenceId="surName" />
    <OutputClaim ClaimTypeReferenceId="displayName" />
    <OutputClaim ClaimTypeReferenceId="userPrincipalName" PartnerClaimType="upn" />
    <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="localAccountAuthentication" />
  </OutputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

Inscription

Écrire la région des utilisateurs dans la table de recherche globale.

Notes

Aucune configuration en raison d’une table de recherche codée en dur.

Réinitialisation du mot de passe

  1. Configurez l’identificateur pour la recherche de région via une table de recherche globale.

    Notes

    Aucune configuration en raison d’une table de recherche codée en dur.

  2. Configurez la réinitialisation du mot de passe entre locataires via un appel d’API REST.

    Notes

    Nécessite l’API de répartiteur à l’aide de l’authentification client_credential et du rôle Administration utilisateur appliqué au principal de service.

Étapes suivantes