Azure Active Directory B2C を使用して TypingDNA を構成するためのチュートリアル

[アーティクル]
01/26/2024

このチュートリアルでは、Azure Active Directory B2C のサンプルオンライン決済アプリを TypingDNA アプリと統合する方法について説明します。 Azure AD B2C をお使いのお客様は、TypingDNA アプリを使用すると、キーストロークダイナミクスと強力な顧客認証を介して、決済サービス指令 2 (PSD2) のトランザクション要件に準拠することができます。 TypingDNA の詳細についてはこちらを参照してください。

Azure AD B2C では、TypingDNA のテクノロジを使用して、ユーザーの入力の特性をキャプチャし、各認証について熟知するために記録および分析しています。これにより、認証のリスクに関連する保護レイヤーが追加され、リスクレベルが評価されます。 Azure AD B2C から他のメカニズムを呼び出すと、Microsoft Entra 多要素認証、メール検証の強制、またはシナリオに適したその他のカスタムロジックによって、ユーザーの本人確認の信頼性を高めることができます。

Note

このサンプルポリシーは SocialAndLocalAccountsWithMfa スターターパックに基づいています。

シナリオの説明

TypingDNA アーキテクチャ図のスクリーンショット

Azure AD B2C ページでは、TypingDNA の JavaScript ライブラリを使用してユーザーの入力パターンが記録されます。たとえば、ユーザー名とパスワードは最初の登録のサインアップ時に記録され、その後、確認のためにサインインのたびに記録されます。
ユーザーがページを送信すると、TypingDNA ライブラリによってユーザーの入力の特性が計算されます。その後、Azure AD B2C によってレンダリングされた非表示のテキストフィールドに情報が挿入されます。このフィールドは CSS を使用して非表示にされています。

このサンプルには、JavaScript と CSS の変更を含む HTML ファイルが含まれており、api.selfasserted.tdnasignin および api.selfasserted.tdnasignup のコンテンツ定義から参照されます。 HTML ファイルをホストするには、「ページコンテンツのホスト」を参照してください。
Azure AD B2C では、ユーザーが資格情報を送信したときに、要求バッグ内に入力パターンが含まれるようになりました。このデータを TypingDNA REST API エンドポイントに渡すには、(ご自分の) API を呼び出す必要があります。この API はサンプル (typingDNA-API-Interface) に含まれています。
次に、中間層 API から入力パターンデータが TypingDNA REST API に渡されます。サインアップ時に、check user endpoint が呼び出されてユーザーが存在しないことが確認され、次に save pattern エンドポイントが呼び出されてユーザーの最初の入力パターンが保存されます。

注意

TypingDNA REST API エンドポイントへのすべての呼び出しでは、UserId が送信されます。これは常にハッシュ値です。 Azure AD B2C では、HashObjectIdWithEmail 要求変換が使用され、ランダムなソルトとシークレットを使ってメールがハッシュされます。

REST API の呼び出しは LocalAccountSignUpWithLogonEmail-TDNA 内の validationTechnicalProfiles でモデル化されています。


<ValidationTechnicalProfiles>

    <ValidationTechnicalProfile ReferenceId="AAD-UserWriteUsingLogonEmail-TDNA" />
    <ValidationTechnicalProfile ReferenceId="REST-TDNA-CheckUser" ContinueOnError="true"/>

    <ValidationTechnicalProfile ReferenceId="REST-TDNA-SaveUser"/>

</ValidationTechnicalProfiles>

その後のサインインでは、ユーザーの入力パターンは、カスタムの HTML を使用したサインアップ時と同じ方法で計算されます。入力プロファイルが Azure AD B2C 要求バッグ内に入ると、Azure AD B2C から、TypingDNA の REST API エンドポイントを呼び出す API が呼び出されます。 check user エンドポイントが呼び出され、ユーザーが存在することが確認されます。次に、verify pattern エンドポイントが呼び出され、net_score が返されます。この net_score は、サインアップ時に入力パターンが元とどれだけ近いかを示しています。

この入力パターンは、SelfAsserted-LocalAccountSignin-Email-TDNA 内の validationTechnicalProfiles でモデル化されています。


<ValidationTechnicalProfiles>

    <ValidationTechnicalProfile ReferenceId="login-NonInteractive"/>

    <ValidationTechnicalProfile ReferenceId="REST-TDNA-CheckUser" ContinueOnError="false"/>

    <ValidationTechnicalProfile ReferenceId="REST-TDNA-VerifyUser"/>

    <ValidationTechnicalProfile ReferenceId="REST-TDNA-SaveUser">

        <Preconditions>

            <Precondition Type="ClaimEquals" ExecuteActionsIf="true">

            <Value>saveTypingPattern</Value>

            <Value>False</Value>

            <Action>SkipThisValidationTechnicalProfile</Action>

            </Precondition>

        </Preconditions>

    </ValidationTechnicalProfile>

</ValidationTechnicalProfiles>

net_score が高い入力パターンをユーザーが取得した場合、TypingDNA の save typing pattern エンドポイントを使用してこれを保存できます。

TypingDNA の save typing pattern エンドポイントを Azure AD B2C から (API 経由で) 呼び出す場合は、お客様の API から要求 saveTypingPattern を返す必要があります。

リポジトリの例には、次のプロパティで構成された API (TypingDNA-API-Interface) が含まれています。

トレーニングモード - ユーザーが保存したパターンが 2 つ未満の場合は、常に MFA のプロンプトを表示します。
ユーザーが 2 個から 5 個のパターンを保存していて、net_score が 50 未満の場合は、MFA のプロンプトを表示します。
ユーザーが 5 個以上のパターンを保存していて、net_score が 65 未満の場合は、MFA のプロンプトを表示します。

これらのしきい値は、ユースケースに合わせて調整する必要があります。

API によって net_score が評価された後は、ブール要求が B2C (promptMFA) に返されます。
promptMFA 要求は、Microsoft Entra 多要素認証を条件付きで実行するために前提条件内で使用されます。


<OrchestrationStep Order="3" Type="ClaimsExchange">

    <Preconditions>

        <Precondition Type="ClaimsExist" ExecuteActionsIf="true">

            <Value>isActiveMFASession</Value>

            <Action>SkipThisOrchestrationStep</Action>

        </Precondition>

        <Precondition Type="ClaimEquals" ExecuteActionsIf="true">

            <Value>promptMFA</Value>

            <Value>False</Value>

            <Action>SkipThisOrchestrationStep</Action>

        </Precondition>

    </Preconditions>

    <ClaimsExchanges>

        <ClaimsExchange Id="PhoneFactor-Verify" TechnicalProfileReferenceId="PhoneFactor-InputOrVerify" />

    </ClaimsExchanges>

</OrchestrationStep>

TypingDNA によるオンボード

ここで TypingDNA にサインアップします
TypingDNA ダッシュボードにログインし、API キーと API シークレットを取得します。これは、後で API インターフェイスの設定で必要になります

TypingDNA を Azure AD B2C と統合する

選択したホスティングプロバイダーで TypingDNA-API-Interface をホストする
TypingDNA-API-Interface ソリューションの apiKey および apiSecret のすべてのインスタンスを TypingDNA ダッシュボードの資格情報に置き換えます
ここの CORS の要件に従って、選択したプロバイダーで HTML ファイルをホストします
TrustFrameworkExtensions.xml ファイルの api.selfasserted.tdnasignup および api.selfasserted.tdnasignin コンテンツ定義の LoadURI 要素を、ホストされている HTML ファイルの URI にそれぞれ置き換えます。
Azure portal の Microsoft Entra ブレードの ID エクスペリエンスフレームワークの下に B2C ポリシーキーを作成します。 Generate オプションを使用して、このキーに tdnaHashedId という名前を付けます。
ポリシーファイルの TenantId を置き換えます
すべての TypingDNA REST API 技術プロファイル (REST-TDNA-VerifyUser、REST-TDNA-SaveUser、REST-TDNA-CheckUser) の ServiceURL を TypingDNA-API-Interface API のエンドポイントに置き換えます。
ポリシーファイルをテナントにアップロードします。

ユーザーフローをテストする

B2C テナントを開き、ID エクスペリエンスフレームワークを選択します。
以前に作成したユーザーフローを選択します。
[ユーザーフローを実行します] を選択します。

a. [アプリケーション] : 登録済みのアプリを選択します (サンプルは JWT)

b. [応答 URL] : リダイレクト URL を選択します

c. [ユーザーフローを実行します] を選択します。
サインアップフローを実行し、アカウントを作成します
サインアウトする
サインインフローを実行します
結果の JWT 結果には、TypingDNA の結果が表示されます

ライブバージョン

• このテストバージョンでは MFA が無効になっていますが、認証後に要求 promptMFA によって MFA のプロンプトが表示されたかどうかの結果を確認できます。

• サインアップはこちら、サインインはこちらを使用してください

次のステップ

追加情報については、次の記事を参照してください。

次の方法で共有

Azure Active Directory B2C を使用して TypingDNA を構成するためのチュートリアル

シナリオの説明

TypingDNA によるオンボード

TypingDNA を Azure AD B2C と統合する

ユーザーフローをテストする

ライブバージョン

次のステップ

フィードバック

その他のリソース

次の方法で共有

Azure Active Directory B2C を使用して TypingDNA を構成するためのチュートリアル

シナリオの説明

サインアップ

サインイン

TypingDNA によるオンボード

TypingDNA を Azure AD B2C と統合する

ユーザー フローをテストする

ライブ バージョン

次のステップ

フィードバック

その他のリソース

ユーザーフローをテストする

ライブバージョン