Adicionar o AD FS como um provedor de identidade OpenID Connect usando políticas personalizadas no Azure Ative Directory B2C

Artigo
11/08/2023

Antes de começar, use o seletor Escolha um tipo de política para escolher o tipo de política que você está configurando. O Azure Ative Directory B2C oferece dois métodos para definir como os usuários interagem com seus aplicativos: por meio de fluxos de usuário predefinidos ou por meio de políticas personalizadas totalmente configuráveis. As etapas necessárias neste artigo são diferentes para cada método.

Pré-requisitos

Crie um fluxo de usuários para que os usuários possam se inscrever e entrar em seu aplicativo.
Registe uma aplicação Web.

Conclua as etapas em Introdução às políticas personalizadas no Ative Directory B2C
Registe uma aplicação Web.

Criar um aplicativo AD FS

Para habilitar a entrada para usuários com uma conta do AD FS no Azure Ative Directory B2C (Azure AD B2C), crie um Grupo de Aplicativos no AD FS. Para obter mais informações, consulte Criar um aplicativo Web usando o OpenID Connect com o AD FS 2016 e posterior

Para criar um grupo de aplicativos, siga estas etapas:

No Gestor de Servidor, selecione Ferramentas e, em seguida, selecione Gestão do AD FS.
No Gerenciamento do AD FS, clique com o botão direito do mouse em Grupos de Aplicativos e selecione Adicionar Grupo de Aplicativos.
Na tela de boas-vindas do Assistente de Grupo de Aplicativos:
1. Introduza o Nome da sua candidatura. Por exemplo, o aplicativo Azure AD B2C.
2. Em Aplicativos cliente-servidor, selecione o navegador da Web acessando um modelo de aplicativo Web.
3. Selecione Seguinte.
Na tela Application Native Application do Assistente de Grupo de Aplicativos:
1. Copie o valor do identificador do cliente . O identificador do cliente é a ID do Aplicativo do AD FS. Você precisará do ID do aplicativo mais adiante neste artigo.
2. Em Redirecionar URI, digite https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authrespe Adicionar. Se utilizar um domínio personalizado, introduza https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp. Substitua your-tenant-name pelo nome do locatário e your-domain-name pelo domínio personalizado.
3. Selecione Seguinte e, em seguida, Seguinte e, em seguida, Seguinte novamente para concluir o assistente de registo da aplicação.
4. Selecione Fechar.

Configurar as declarações do aplicativo

Nesta etapa, configure as declarações que o aplicativo AD FS retorna ao Azure AD B2C.

Nos Grupos de Aplicativos, selecione o aplicativo criado.
Na janela de propriedades do aplicativo, em Aplicativos, selecione o Aplicativo Web. Em seguida, selecione Editar.
Selecione a guia Regras de Transformação de Emissão. Em seguida, selecione Adicionar regra.
Em Modelo de regra de declaração, selecione Enviar atributos LDAP como declarações e, em seguida , Avançar.
Forneça um nome de regra de declaração. Para o repositório de atributos, selecione Ative Directory, adicione as seguintes declarações.

Atributo LDAP Tipo de sinistro de saída

Nome do Usuário-Principal upn

Apelido family_name

Nome próprio given_name

Nome de exibição nome

Observe que alguns dos nomes não serão exibidos na lista suspensa do tipo de declaração de saída. Você precisa digitá-los manualmente (a lista suspensa é editável).
Selecione Concluir.
Selecione Aplicar e, em seguida, OK.
Selecione OK novamente para concluir.

Atributo LDAP	Tipo de sinistro de saída
Nome do Usuário-Principal	upn
Apelido	family_name
Nome próprio	given_name
Nome de exibição	nome

Configurar o AD FS como um provedor de identidade

Inicie sessão no portal do Azure como administrador global do inquilino do Azure AD B2C.
Se você tiver acesso a vários locatários, selecione o ícone Configurações no menu superior para alternar para seu locatário do Azure AD B2C no menu Diretórios + assinaturas .
Escolha Todos os serviços no canto superior esquerdo do portal do Azure e, em seguida, procure e selecione Azure AD B2C.
Selecione Provedores de identidade e, em seguida, selecione Novo provedor OpenID Connect.
Insira um Nome. Por exemplo, Contoso.
Para URL de metadados, insira a URL do documento Configuração do AD FS OpenID Connect. Por exemplo:
```
https://adfs.contoso.com/adfs/.well-known/openid-configuration 
```
Em ID do cliente, insira a ID do aplicativo que você registrou anteriormente.
Para o Escopo, insira o openidarquivo .
Em Tipo de resposta, selecione id_token. Portanto, o valor secreto do cliente não é necessário. Saiba mais sobre o uso da ID do Cliente e do segredo ao adicionar um provedor de identidade OpenID Connect genérico.
(Opcional) Para a dica de domínio, digite contoso.com. Para obter mais informações, consulte Configurar o logon direto usando o Azure Ative Directory B2C.
Em Mapeamento de declarações do provedor de identidade, selecione as seguintes declarações:
- ID de utilizador: upn
- Nome para exibição: unique_name
- Nome próprio: given_name
- Apelido: family_name
Selecione Guardar.

Adicionar o provedor de identidade do AD FS a um fluxo de usuário

Neste ponto, o provedor de identidade do AD FS (Contoso) foi configurado, mas ainda não está disponível em nenhuma das páginas de entrada. Para adicionar o provedor de identidade do AD FS a um fluxo de usuário:

Em seu locatário do Azure AD B2C, selecione Fluxos de usuário.
Selecione o fluxo de usuário ao qual você deseja adicionar o provedor de identidade do AD FS (Contoso).
Em Provedores de identidade social, selecione Contoso.
Selecione Guardar.
Para testar sua política, selecione Executar fluxo de usuário.
Em Application, selecione o aplicativo Web chamado testapp1 que você registrou anteriormente. O URL de resposta deve mostrar https://jwt.ms.
Selecione o botão Executar fluxo de usuário.
Na página de inscrição ou entrada, selecione Contoso para entrar com a conta da Contoso .

Se o processo de entrada for bem-sucedido, seu navegador será redirecionado para https://jwt.ms, que exibe o conteúdo do token retornado pelo Azure AD B2C.

Configurar o AD FS como um provedor de identidade

Para permitir que os usuários entrem usando uma conta do AD FS, você precisa definir o AD FS como um provedor de declarações com o qual o Azure AD B2C pode se comunicar por meio de um ponto de extremidade.

Abra o TrustFrameworkExtensions.xml.
Encontre o elemento ClaimsProviders . Se não existir, adicione-o sob o elemento raiz.

Adicione um novo ClaimsProvider da seguinte maneira:

<ClaimsProvider>
  <Domain>contoso.com</Domain>
  <DisplayName>Contoso</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="Contoso-OpenIdConnect">
      <DisplayName>Contoso</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="METADATA">https://your-adfs-domain/adfs/.well-known/openid-configuration</Item>
        <Item Key="response_types">id_token</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="scope">openid</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">0</Item>
        <!-- Update the Client ID below to the Application ID -->
        <Item Key="client_id">Your AD FS application ID</Item>
      </Metadata>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="upn" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="unique_name" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss"  />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Para a URL de Metadados, insira a URL do documento Configuração do AD FS OpenID Connect. Por exemplo:
```
https://adfs.contoso.com/adfs/.well-known/openid-configuration 
```
Defina client_id para o ID do aplicativo a partir do registro do aplicativo.
Guarde o ficheiro.

Adicionar uma jornada do usuário

Neste ponto, o provedor de identidade foi configurado, mas ainda não está disponível em nenhuma das páginas de login. Se você não tiver sua própria jornada de usuário personalizada, crie uma duplicata de uma jornada de usuário de modelo existente, caso contrário, continue para a próxima etapa.

Abra o arquivo TrustFrameworkBase.xml do pacote inicial.
Localize e copie todo o conteúdo do elemento UserJourney que inclui Id="SignUpOrSignIn"o .
Abra o TrustFrameworkExtensions.xml e localize o elemento UserJourneys. Se o elemento não existir, adicione um.
Cole todo o conteúdo do elemento UserJourney que você copiou como filho do elemento UserJourneys .
Renomeie o ID da jornada do usuário. Por exemplo, Id="CustomSignUpSignIn".

Adicionar o provedor de identidade a uma jornada do usuário

Agora que você tem uma jornada do usuário, adicione o novo provedor de identidade à jornada do usuário. Primeiro, adicione um botão de início de sessão e, em seguida, associe o botão a uma ação. A ação é o perfil técnico que você criou anteriormente.

Encontre o elemento da etapa de orquestração que inclui Type="CombinedSignInAndSignUp"o , ou Type="ClaimsProviderSelection" na jornada do usuário. Geralmente é o primeiro passo da orquestração. O elemento ClaimsProviderSelections contém uma lista de provedores de identidade com os quais um usuário pode entrar. A ordem dos elementos controla a ordem dos botões de entrada apresentados ao usuário. Adicione um elemento XML ClaimsProviderSelection . Defina o valor de TargetClaimsExchangeId como um nome amigável.
Na próxima etapa de orquestração, adicione um elemento ClaimsExchange . Defina o Id como o valor do ID de troca de declarações de destino. Atualize o valor de TechnicalProfileReferenceId para o Id do perfil técnico criado anteriormente.

O XML a seguir demonstra as duas primeiras etapas de orquestração de uma jornada do usuário com o provedor de identidade:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="ContosoExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="ContosoExchange" TechnicalProfileReferenceId="Contoso-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Configurar a política de terceira parte confiável

A política de terceira parte confiável, por exemplo SignUpSignIn.xml, especifica a jornada do usuário que o Azure AD B2C executará. Encontre o elemento DefaultUserJourney na terceira parte confiável. Atualize o ReferenceId para corresponder ao ID de jornada do usuário, no qual você adicionou o provedor de identidade.

No exemplo a seguir, para a jornada do CustomSignUpSignIn usuário, o ReferenceId é definido como CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Carregar a política personalizada

Inicie sessão no portal do Azure.
Selecione o ícone Diretório + Assinatura na barra de ferramentas do portal e selecione o diretório que contém seu locatário do Azure AD B2C.
No portal do Azure, procure e selecione Azure AD B2C.
Em Políticas, selecione Identity Experience Framework.
Selecione Carregar Política Personalizada e, em seguida, carregue os dois ficheiros de política que alterou, pela seguinte ordem: a política de extensão, por exemplo TrustFrameworkExtensions.xml, e, em seguida, a política de entidade confiadora, como SignUpSignIn.xml.

Testar sua política personalizada

Selecione sua política de terceira parte confiável, por exemplo B2C_1A_signup_signin.
Em Aplicativo, selecione um aplicativo Web que você registrou anteriormente. O URL de resposta deve mostrar https://jwt.ms.
Selecione o botão Executar agora .
Na página de inscrição ou entrada, selecione Contoso para entrar com a conta da Contoso .

Se o processo de entrada for bem-sucedido, seu navegador será redirecionado para https://jwt.ms, que exibe o conteúdo do token retornado pelo Azure AD B2C.

Próximos passos

Saiba como passar o token AD-FS para o seu aplicativo.

Partilhar via

Adicionar o AD FS como um provedor de identidade OpenID Connect usando políticas personalizadas no Azure Ative Directory B2C

Pré-requisitos

Criar um aplicativo AD FS

Configurar as declarações do aplicativo

Configurar o AD FS como um provedor de identidade

Adicionar o provedor de identidade do AD FS a um fluxo de usuário

Configurar o AD FS como um provedor de identidade

Adicionar uma jornada do usuário

Adicionar o provedor de identidade a uma jornada do usuário

Configurar a política de terceira parte confiável

Carregar a política personalizada

Testar sua política personalizada

Próximos passos

Comentários

Recursos adicionais