属性コレクションの開始および送信イベントのカスタム認証拡張機能を作成する (プレビュー)

[アーティクル]
11/25/2024

適用対象: 灰色の X 記号がある白い円。従業員テナント内側に白いチェックマーク記号がある緑の円。外部テナント (詳細情報)

この記事では、Microsoft Entra 外部 ID のユーザーサインアップエクスペリエンスを顧客向けに拡張する方法について説明します。顧客サインアップユーザーフローでは、イベントリスナーを使用して、属性コレクションの前かつ属性の送信時に、属性コレクションプロセスを拡張できます。

OnAttributeCollectionStart イベントは、属性コレクションステップの開始時、かつ属性コレクションページがレンダリングされる前に発生します。値の事前入力やブロックエラーの表示などのアクションを追加できます。

ヒント

この機能を試すには、Woodgrove Groceries のデモにアクセスし、「サインアップ属性の事前入力」ユースケースを開始します。
OnAttributeCollectionSubmit イベントは、ユーザーが属性を入力して送信した後に発生します。ユーザーのエントリを検証したり変更したりするアクションを追加できます。

ヒント

この機能を試すには、Woodgrove Groceries のデモにアクセスし、「サインアップ属性の検証」ユースケースまたは「ユーザーがサインアッププロセスを続行できないようにする」ユースケースを開始します。

属性コレクションの開始イベントと送信イベントのカスタム認証拡張機能を作成するだけでなく、イベントごとに実行するワークフローアクションを定義する REST API を作成する必要があります。任意のプログラミング言語、フレームワーク、ホスティング環境を使用して、REST API を作成およびホストできます。この記事では、C# の Azure 関数の使用を簡単に開始する方法について説明します。 Azure Functions を使用すると、最初に仮想マシン (VM) を作成したり、Web アプリケーションを発行したりしなくても、サーバーレス環境でコードを実行できます。

前提条件

Azure Functions などの Azure サービスを使うには、Azure サブスクリプションが必要です。既存の Azure アカウントをお持ちでない場合は、アカウントを作成するときに、無料試用版にサインアップするか、Visual Studio Subscription のベネフィットを利用できます。
サインアップとサインインのユーザーフロー。

手順 1: カスタム認証拡張機能 REST API を作成する (Azure 関数アプリ)

ヒント

この記事の手順は、開始するポータルに応じて若干異なる場合があります。

この手順では、Azure Functions を使用して HTTP トリガー関数 API を作成します。関数 API は、ユーザーフローのビジネスロジックのソースです。トリガー関数を作成した後、それを次のいずれかのイベント用に構成できます。

OnAttributeCollectionStart
OnAttributeCollectionSubmit

管理者アカウントで Azure Portal にサインインします。
Azure portal のメニューまたは [ホーム] ページから [リソースの作成] を選択します。
[関数アプリ] を検索して選択し、[作成] を選択します。

[基本] ページで、下の表に指定されている関数アプリの設定を使用します。

設定	提案された値	説明
サブスクリプション	該当するサブスクリプション	新しい関数アプリを作成するサブスクリプション。
リソースグループ	myResourceGroup	関数アプリを作成する、既存のリソースグループを選ぶか、新しいリソースグループの名前を選びます。
関数アプリ名	グローバルに一意の名前	新しい関数アプリを識別する名前。有効な文字は、`a-z` (大文字と小文字の区別をしない)、`0-9`、および `-`です。
発行	コード	コードファイルまたは Docker コンテナーの発行オプション。このチュートリアルでは、[コード] を選びます。
ランタイムスタック	.NET	好みのプログラミング言語。このチュートリアルでは、[.NET] を選びます。
Version	"6 (LTS) インプロセス"	.NET ランタイムのバージョン。インプロセスは、ポータルで関数の作成と変更ができることを意味します。このガイドでは、これが推奨されます
リージョン	優先リージョン	自分の近く、または関数がアクセスできる他のサービスの近くのリージョンを選択します。
オペレーティングシステム	Windows	オペレーティングシステムは、ランタイムスタックの選択に基づいて、事前に自動的に選択されます。
プランの種類	"従量課金 (サーバーレス)"	Function App にどのようにリソースが割り当てられるかを定義するホスティングプラン。

[確認および作成] を選んでアプリの構成の選択を確認した後、[作成] を選びます。デプロイには、数分かかります。
デプロイされたら、[リソースに移動] を選択して、新しい関数アプリを確認します。

1.1 HTTP トリガー関数を作成する

これで Azure 関数アプリが作成されました。次は、HTTP 要求を使用して呼び出すアクションの HTTP トリガー関数を作成します。 HTTP トリガーは、Microsoft Entra カスタム認証拡張機能によって参照されて呼び出されます。

関数アプリの [概要] ページで、[関数] ペインを選択し、[Azure portal で作成] の下にある [関数の作成] を選択します。
[関数の作成] ウィンドウで、[開発環境] プロパティは [Develop in portal] (ポータルで開発) のままにします。 [テンプレート] の下にある [HTTP トリガー] を選択します。
[テンプレートの詳細] で、[新しい関数] プロパティに「CustomAuthenticationExtensionsAPI」と入力します。
[認証レベル] で [関数] を選びます。
［作成］ を選択します

1.2 OnAttributeCollectionStart の HTTP トリガーを構成する

メニューから [Code + Test] (コードとテスト) を選択します。
実装するシナリオに合わせて、以下の [続行]、[ブロック]、または [SetPrefillValues] の各タブの中から選択します。コードを指定されたコードスニペットに置き換えます。
コードを置き換えたら、上部のメニューから [関数の URL の取得] を選んで、URL をコピーします。この URL は、手順 2 のターゲット URL の「カスタム認証拡張機能を作成して登録する」で使用します。

この HTTP トリガーを使用して、追加のアクションが必要ない場合にユーザーがサインアップフローを続行できるようにします。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");

    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    dynamic request = JsonConvert.DeserializeObject(requestBody);


    var actions = new List<ContinueWithDefaultBehavior>{
        new ContinueWithDefaultBehavior { type = "microsoft.graph.attributeCollectionStart.continueWithDefaultBehavior"}
    };

    var dataObject = new Data {
        type = "microsoft.graph.onAttributeCollectionStartResponseData",
        actions= actions
    };

    dynamic response = new ResponseObject {
        data = dataObject
    };

    // Send the response
    return response;
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<ContinueWithDefaultBehavior> actions { get; set; }
}

[JsonObject]
public class ContinueWithDefaultBehavior {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
}

この HTTP トリガーを使用して、ユーザーがサインアッププロセスを続行できないようにします。たとえば、本人確認サービスや外部の ID データソースを使用して、ユーザーのメールアドレスを確認できます。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");

    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    
    dynamic request = JsonConvert.DeserializeObject(requestBody);       

    var actions = new List<BlockedActions>{
        new BlockedActions { 
            type = "microsoft.graph.attributeCollectionStart.showBlockPage", 
            message = "AttributeCollectionStart Custom Extension message: Sorry, your access request has been blocked. Try reaching an admin at admin@contoso.com."
        }
    };

    var dataObject = new Data {
        type = "microsoft.graph.onAttributeCollectionStartResponseData",
        actions= actions
    };

    dynamic response = new ResponseObject {
        data = dataObject
    };

    // Send the response
    return response;
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<BlockedActions> actions { get; set; }
}

[JsonObject]
public class BlockedActions {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public string message { get; set; }
}

この HTTP トリガーを使用して、外部の人事システムやその他のデータソースなどから、ユーザーフローに関連付けられている値を事前入力します。組み込みの属性 (住所など) やカスタムユーザー属性 (ロイヤルティ番号など) の値を事前入力できます。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using Newtonsoft.Json.Linq;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");

    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    dynamic request = JsonConvert.DeserializeObject(requestBody);

    // The form fields will load with these default values
    var inputs = new Dictionary<string, object>()
    {
        { "postalCode", "<your-prefill-value>" },
        { "streetAddress", "<your-prefill-value>" },
        { "city", "<your-prefill-value>" },
        { "extension_appId_mailingList", false },
        { "extension_appId_memberSince", 2023 }      
    };

    var actions = new List<SetPrefillValuesAction>{
        new SetPrefillValuesAction { 
            type = "microsoft.graph.attributeCollectionStart.setPrefillValues", 
            inputs = inputs }
    };

    var dataObject = new Data {
        type = "microsoft.graph.onAttributeCollectionStartResponseData",
        actions= actions
    };

    dynamic response = new ResponseObject {
        data = dataObject
    };

    // Send the response
    return response;
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<SetPrefillValuesAction> actions { get; set; }
}

[JsonObject]
public class SetPrefillValuesAction {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public Dictionary<string, object> inputs { get; set; }
}

1.3 OnAttributeCollectionSubmit の HTTP トリガーを構成する

メニューから [Code + Test] (コードとテスト) を選択します。
実装するシナリオに合わせて、以下の [続行]、[ブロック]、[値の変更]、[検証エラー] の各タブの中から選択します。コードを指定されたコードスニペットに置き換えます。
コードを置き換えたら、上部のメニューから [関数の URL の取得] を選んで、URL をコピーします。この URL は、手順 2 のターゲット URL の「カスタム認証拡張機能を作成して登録する」で使用します。

この HTTP トリガーを使用して、追加のアクションが必要ない場合にユーザーがサインアップフローを続行できるようにします。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");

    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    dynamic request = JsonConvert.DeserializeObject(requestBody);
    
    var actions = new List<ContinueWithDefaultBehavior>{
        new ContinueWithDefaultBehavior { type = "microsoft.graph.attributeCollectionSubmit.continueWithDefaultBehavior"}
    };
						
    var dataObject = new Data {
        type = "microsoft.graph.onAttributeCollectionSubmitResponseData",
        actions= actions
    };
	    
	dynamic response = new ResponseObject {
        data = dataObject
    };

    // Send the response
    return response;
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    
    public List<ContinueWithDefaultBehavior> actions { get; set; }
}

[JsonObject]
public class ContinueWithDefaultBehavior {
    [JsonProperty("@odata.type")]
	public string type { get; set; }
}

この HTTP トリガーを使用して、ユーザーが入力した属性値に基づいて、ユーザーがサインアッププロセスを続行できないようにします。たとえば、リスクの高い電話番号に基づいてサインアップをブロックできます。または、サインアップフローを終了し、アカウントの作成のためにユーザーをカスタム承認システムに送ることもできます。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");

    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    dynamic request = JsonConvert.DeserializeObject(requestBody);
    
    var actions = new List<BlockedActions>{
        new BlockedActions { 
            type = "microsoft.graph.attributeCollectionSubmit.showBlockPage", 
            message = "AttributeCollectionSubmit Custom Extension Message: Thank you for your response. Your access request is processing. You'll be notified when your request has been approved."
        }
    };

    var dataObject = new Data {
        type = "microsoft.graph.onAttributeCollectionSubmitResponseData",
        actions= actions
    };

    dynamic response = new ResponseObject {
        data = dataObject
    };

    // Send the response
    return response;
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<BlockedActions> actions { get; set; }
}

[JsonObject]
public class BlockedActions {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public string message { get; set; }
}

この HTTP トリガーを使用して、ユーザー提供の属性コレクションに変更を加えます。たとえば、ユーザー指定の属性の形式を変更できます。属性が変更された後は、ユーザーへの通知なしにサインアップが続行されます。通知が必要な場合は、検証アクションを使用します。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");

    // User attributes will be saved with these override values
    var attributes = new Dictionary<string, object>()
    {
        { "postalCode", "<your-override-value>" },
        { "streetAddress", "<your-override-value>" },
        { "city", "<your-override-value>" },
        { "extension_appId_mailingList", false }
        { "extension_appId_memberSince", 2010 }
    };

    var actions = new List<ModifiedAttributesAction>{
        new ModifiedAttributesAction { 
            type = "microsoft.graph.attributeCollectionSubmit.modifyAttributeValues", 
            attributes = attributes 
        }
    };

    log.LogInformation("actions: " + actions);

    var dataObject = new Data {
        type = "microsoft.graph.onAttributeCollectionSubmitResponseData",
        actions= actions
    };


    dynamic response = new ResponseObject {
        data = dataObject
    };

    // Send the response
    return response;
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<ModifiedAttributesAction> actions { get; set; }
}

[JsonObject]
public class ModifiedAttributesAction {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public Dictionary<string, object> attributes { get; set; }
}

この HTTP トリガーを使用して、ユーザーが入力した属性を検証します。たとえば、外部データストアに対して属性を検証できます。組み込みの属性 (国など) やカスタムユーザー属性 (ロイヤルティ番号など) を検証できます。

#r "Newtonsoft.Json"

using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
using Newtonsoft.Json.Linq;
using System.Text;

public static async Task<object> Run(HttpRequest req, ILogger log)
{
    log.LogInformation($"C# HTTP trigger function processed a request.");

    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    dynamic request = JsonConvert.DeserializeObject(requestBody);

    // Parse specified attributes
    string cityValue = (JsonConvert.SerializeObject(request?.data?.userSignUpInfo?.attributes?.city?.value)).ToString();

    string postalCodeValue = (JsonConvert.SerializeObject(request?.data?.userSignUpInfo?.attributes?.postalCode?.value)).ToString();

    string streetAddressValue = (JsonConvert.SerializeObject(request?.data?.userSignUpInfo?.attributes?.streetAddress?.value)).ToString();

    // JSON convert makes the length different, so we put 7 here
    if(cityValue.Length < 7 || postalCodeValue.Length < 7 || streetAddressValue.Length < 7){
        var inputs = new Dictionary<string, string>();

        if(cityValue.Length < 7){
            inputs.Add("city", "Length of city string should be of at 5 characters at least");
        }

        if(postalCodeValue.Length < 7){
            inputs.Add("postalCode", "Length of postalCodeValue string should be of at 5 characters at least");
        }

        if(streetAddressValue.Length < 7){
            inputs.Add("streetAddress", "Length of streetAddress string should be of at 5 characters at least");
        }

        string pageMessage = "Please fix below errors to proceed";

        var actions = new List<ValidationErrorActions>{
            new ValidationErrorActions { type = "microsoft.graph.attributeCollectionSubmit.ShowValidationError", message = pageMessage, attributeErrors = inputs }
        };

        
        var dataObject = new Data {
            type = "microsoft.graph.onAttributeCollectionSubmitResponseData",
            actions= actions
        };

        dynamic response = new ResponseObject {
            data = dataObject
        };

        log.LogInformation($"Returning validation error");

        // Send the validation error response
        return response;

    }else{
        var actions = new List<ContinueWithDefaultBehavior>{
            new ContinueWithDefaultBehavior { type = "microsoft.graph.attributeCollectionSubmit.ContinueWithDefaultBehavior"}
            };

        
        var dataObject = new DataContinue {
            type = "microsoft.graph.onAttributeCollectionSubmitResponseData",
            actions= actions
            };

        dynamic response = new ResponseObjectContinue {
            data = dataObject
        };

        log.LogInformation($"Returning continue");
        
        // Send the continue response
        return response;
    }
}

public class ResponseObject
{
    public Data data { get; set; }
}

[JsonObject]
public class Data {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<ValidationErrorActions> actions { get; set; }
}

[JsonObject]
public class ValidationErrorActions {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public string message { get; set; }
    public Dictionary<string, string> attributeErrors {get; set;}
}


public class ResponseObjectContinue
{
    public DataContinue data { get; set; }
}

[JsonObject]
public class DataContinue {
    [JsonProperty("@odata.type")]
    public string type { get; set; }
    public List<ContinueWithDefaultBehavior> actions { get; set; }
}

[JsonObject]
public class ContinueWithDefaultBehavior {
    [JsonProperty("@odata.type")]
	public string type { get; set; }
}

手順 2: カスタム認証拡張機能を作成して登録する

この手順では、Azure 関数を呼び出すために Microsoft Entra ID で使用されるカスタム認証拡張機能を登録します。カスタム認証拡張機能には、REST API エンドポイントに関する情報、REST API から解析する属性コレクションの開始アクションと送信アクション、REST API に対する認証方法が含まれています。

アプリケーション管理者および認証管理者以上の権限で Microsoft Entra 管理センターにサインインします。
[ID]>[外部 ID]>[カスタム認証拡張機能] に移動します。
[カスタム拡張機能の作成] を選びます。
[Basics] (基本) で、AttributeCollectionStart イベントまたは AttributeCollectionSubmit イベントを選択し、[次へ] を選択します。これが前の手順の構成と一致していることを確認してください。
[エンドポイントの構成] で、次のプロパティを入力します。
- [名前] - カスタム認証拡張機能の名前。たとえば、On Attribute Collection Event とします。
- [ターゲット URL] - Azure 関数の URL の {Function_Url}。
- [説明] - カスタム認証拡張機能の説明。
[次へ] を選択します。
[API 認証] で [アプリの登録を新規作成する] オプションを選んで、"関数アプリ" を表すアプリ登録を作成します。
アプリの名前を指定します (例: Azure Functions 認証イベント API)。
[次へ] を選択します。
[作成] を選択すると、カスタム認証拡張機能とそれに関連付けられているアプリケーションの登録が作成されます。

カスタム認証拡張機能が作成された後は、登録済みアプリに管理者の同意を付与します。これにより、カスタム認証拡張機能が API に対する認証を行えるようになります。

[ID]>[外部 ID]>[カスタム認証拡張機能 (プレビュー)] に移動します。
一覧からカスタム認証拡張機能を選択します。
[概要] タブで、[アクセス許可を付与] ボタンを選択して、登録済みアプリに管理者の同意を付与します。カスタム認証拡張機能は、client_credentials を使い、Receive custom authentication extension HTTP requests アクセス許可を使って Azure Function App に対する認証を行います。 [Accept](承認) を選択します。

手順 3: カスタム認証拡張機能をユーザーフローに追加する

カスタム認証拡張機能を 1 つ以上のユーザーフローに関連付けることができるようになりました。

Note

ユーザーフローを作成する必要がある場合は、「顧客向けのサインアップとサインインのユーザーフローを作成する」の手順に従います。

3.1 カスタム認証拡張機能を既存のユーザーフローに追加する

アプリケーション管理者および認証管理者以上の権限で Microsoft Entra 管理センターにサインインします。
複数のテナントにアクセスできる場合は、上部のメニューの [設定] アイコンを使用して、目的の外部テナントに切り替えます。
[ID]>[External Identities]>[ユーザーフロー] に移動します。
一覧からユーザーフローを選択します。
[カスタム認証拡張機能] を選択します。
[カスタム認証拡張機能] ページでは、次の 2 つの異なる手順でカスタム認証拡張機能をユーザーフローに関連付けることができます。
- [Before collecting information from the user] (ユーザーから情報を収集する前) は、OnAttributeCollectionStart イベントに関連付けられています。編集 (鉛筆) を選択します。 OnAttributeCollectionStart イベント用に構成されたカスタム拡張機能のみが表示されます。属性コレクションの開始イベント用に構成したアプリケーションを選択し、[選択] を選びます。
- [When a user submits their information] (ユーザーが自分の情報を送信するとき) は、OnAttributeCollectionSubmit イベントに関連付けられています。 OnAttributeCollectionSubmit イベント用に構成されたカスタム拡張機能のみが表示されます。属性コレクションの送信イベント用に構成したアプリケーションを選択し、[選択] を選びます。
両方の属性コレクションの手順の横に一覧表示されているアプリケーションが正しいことを確認します。
[Save](保存) アイコンを選択します。

ステップ 4: アプリケーションをテストする

トークンを取得してカスタム認証拡張機能をテストするには、https://jwt.ms アプリを使用できます。これは Microsoft 所有の Web アプリケーションであり、トークンのデコードされた内容を表示します (トークンの内容がお使いのブラウザーの外に出ることはありません)。

次の手順のようにして、jwt.ms Web アプリケーションを登録します。

4.1 jwt.ms Web アプリケーションを登録する

アプリケーション管理者以上の権限で Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[Application registrations] (アプリケーションの登録) を参照します。
[新規登録] を選択します。
アプリケーションの名前を入力します。例: マイテストアプリケーション。
[サポートされているアカウントの種類] で、 [この組織のディレクトリ内のアカウントのみ] を選択します。
[リダイレクト URI] の [プラットフォームの選択] ドロップダウンで [Web] を選び、[URL] テキストボックスに「https://jwt.ms」と入力します。
[登録] を選んで、アプリの登録を完了します。

4.2 アプリケーション ID を取得する

アプリの登録の [概要] で、[アプリケーション (クライアント) ID] をコピーします。後の手順では、アプリ ID を <client_id> として参照します。 Microsoft Graph では、appId プロパティによって参照されます。

4.3 暗黙的なフローを有効にする

jwt.ms テストアプリケーションでは、暗黙的なフローを使用します。 My Test application の登録で暗黙的なフローを有効にします。

重要

Microsoft では、使用可能な最も安全な認証フローを使用することをお勧めします。この手順で使用する認証フローでは、アプリケーションで非常に高い信頼度が要求されるため、他のフローには存在しないリスクが伴います。この方法は、運用アプリに対するユーザーの認証には使用しないでください (詳細情報)。

[管理] で、 [認証] を選択します。
[暗黙的な許可およびハイブリッドフロー] で、[ID トークン (暗黙的およびハイブリッドフローに使用)] チェックボックスをオンにします。
[保存] を選択します。

手順 5: Azure 関数を保護する

Microsoft Entra カスタム認証拡張機能は、サーバー間フローを使って、HTTP の Authorization ヘッダーで Azure 関数に送信されるアクセストークンを取得します。関数を Azure に発行するときは、特に運用環境では、Authorization ヘッダーで送信されるトークンを検証する必要があります。

Azure 関数を保護するには、受信したトークンを Azure Functions 認証イベント API アプリケーション登録で検証するため、次の手順のようにして Azure AD 認証を統合します。

Note

Azure 関数アプリが、カスタム認証拡張機能が登録されているテナントとは異なる Azure テナントでホストされている場合は、「5.1 OpenID Connect ID プロバイダーの使用」の手順に進んでください。

5.1 ID プロバイダーを Azure 関数に追加する

Azure portal にサインインします。
前に発行した関数アプリに移動して選択します。
左側のメニューで [認証] を選択します。
[ID プロバイダーの追加] を選びます。
ID プロバイダーとして [Microsoft] を選択します。
テナントの種類として [顧客] を選択します。
[アプリの登録] の下に、カスタムクレームプロバイダーの登録時に前に作成した "Azure Functions 認証イベント API" アプリ登録の client_id を入力します。
[発行者 URL] に、URL https://{domainName}.ciamlogin.com/{tenant_id}/v2.0 を入力します。ここで
- {domainName} は外部テナントのドメイン名です。
- {tenantId} は外部テナントのテナント ID です。カスタム認証拡張機能をここに登録する必要があります。
[Unauthenticated requests] (認証されていない要求) で、ID プロバイダーとして [HTTP 401 認可されていない] を選びます。
[トークンストア] オプションをオフにします。
[追加] を選んで、Azure 関数に認証を追加します。

5.2 OpenID Connect ID プロバイダーの使用

「手順 5: Azure 関数を保護する」が構成済みの場合は、この手順をスキップします。そうではなく、カスタム認証拡張機能が登録されているテナントとは異なるテナントで Azure 関数がホストされている場合は、次の手順のようにして関数を保護します。

Azure portal にサインインしてから、前に発行した関数アプリに移動して選択します。
左側のメニューで [認証] を選択します。
[ID プロバイダーの追加] を選びます。
ID プロバイダーとして [OpenID Connect] を選びます。
Contoso Microsoft Entra ID などの名前を指定します。
[メタデータエントリ] で、[ドキュメントの URL] に次の URL を入力します。 {tenantId} を Microsoft Entra テナント ID に置き換えます。
```
https://login.microsoftonline.com/{tenantId}/v2.0/.well-known/openid-configuration
```
[アプリの登録] で、前に作成した "Azure Functions 認証イベント API" アプリ登録のアプリケーション ID (クライアント ID) を入力します。
Microsoft Entra 管理センターで次の手順を実行します。
1. 前に作成した "Azure Functions 認証イベント API" アプリの登録を選択します。
2. [証明書とシークレット]>[Client secrets]\(クライアントシークレット\)>[新しいクライアントシークレット] の順に選択します。
3. クライアントシークレットの説明を追加します。
4. シークレットの有効期限を選択するか、カスタムの有効期間を指定します。
5. [追加] を選択します。
6. クライアントアプリケーションのコードで使用できるように、シークレットの値を記録しておきます。このページからの移動後は、このシークレットの値は "二度と表示されません"。
Azure 関数に戻り、[アプリの登録] で [クライアントシークレット] を入力します。
[トークンストア] オプションをオフにします。
[追加] を選んで、OpenID Connect ID プロバイダーを追加します。

手順 6: アプリケーションをテストする

次の手順に従って、カスタム認証拡張機能をテストします。

新しいプライベートブラウザーを開き、次の URL に移動します。
```
https://<domainName>.ciamlogin.com/<tenant_id>/oauth2/v2.0/authorize?client_id=<client_id>&response_type=code+id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
```
- <domainName> を外部テナント名に置き換え、<tenant-id> を外部テナント ID に置き換えます。
- <client_id> をユーザーフローに追加したアプリケーションの ID に置き換えます。
サインインすると、https://jwt.ms でデコードされたトークンが表示されます。

次の方法で共有

属性コレクションの開始および送信イベントのカスタム認証拡張機能を作成する (プレビュー)

前提条件

手順 1: カスタム認証拡張機能 REST API を作成する (Azure 関数アプリ)

1.1 HTTP トリガー関数を作成する

1.2 OnAttributeCollectionStart の HTTP トリガーを構成する

1.3 OnAttributeCollectionSubmit の HTTP トリガーを構成する

手順 2: カスタム認証拡張機能を作成して登録する

手順 3: カスタム認証拡張機能をユーザーフローに追加する

3.1 カスタム認証拡張機能を既存のユーザーフローに追加する

ステップ 4: アプリケーションをテストする

4.1 jwt.ms Web アプリケーションを登録する

4.2 アプリケーション ID を取得する

4.3 暗黙的なフローを有効にする

手順 5: Azure 関数を保護する

5.1 ID プロバイダーを Azure 関数に追加する

5.2 OpenID Connect ID プロバイダーの使用

手順 6: アプリケーションをテストする

次のステップ

フィードバック

その他のリソース

次の方法で共有

属性コレクションの開始および送信イベントのカスタム認証拡張機能を作成する (プレビュー)

前提条件

手順 1: カスタム認証拡張機能 REST API を作成する (Azure 関数アプリ)

1.1 HTTP トリガー関数を作成する

1.2 OnAttributeCollectionStart の HTTP トリガーを構成する

1.3 OnAttributeCollectionSubmit の HTTP トリガーを構成する

手順 2: カスタム認証拡張機能を作成して登録する

2.2 管理者の同意を付与する

手順 3: カスタム認証拡張機能をユーザー フローに追加する

3.1 カスタム認証拡張機能を既存のユーザー フローに追加する

ステップ 4: アプリケーションをテストする

4.1 jwt.ms Web アプリケーションを登録する

4.2 アプリケーション ID を取得する

4.3 暗黙的なフローを有効にする

手順 5: Azure 関数を保護する

5.1 ID プロバイダーを Azure 関数に追加する

5.2 OpenID Connect ID プロバイダーの使用

手順 6: アプリケーションをテストする

次のステップ

フィードバック

その他のリソース

手順 3: カスタム認証拡張機能をユーザーフローに追加する

3.1 カスタム認証拡張機能を既存のユーザーフローに追加する