Azure AD B2C: часто задаваемые вопросы

Мы объявили о начале предварительной версии нашего решения Внешняя идентификация Microsoft Entra следующего поколения. Эта ранняя предварительная версия представляет собой эволюционный этап объединения безопасных и привлекательных интерфейсов во всех внешних удостоверениях, включая партнеров, клиентов, граждан, пациентов и других в рамках единой интегрированной платформы. Дополнительные сведения о предварительной версии см. в статье "Что такое Внешняя идентификация Microsoft Entra для клиентов?".

В настоящее время никаких действий не требуется. Платформа следующего поколения в настоящее время доступна только в ранней предварительной версии. Мы полностью привержены поддержке текущего решения Azure AD B2C. В настоящее время нет требований для клиентов Azure AD B2C для миграции, и нет планов прекратить текущую службу Azure AD B2C. Поскольку платформа следующего поколения подходит к общедоступной версии, сведения будут доступны всем нашим ценным клиентам B2C по доступным параметрам, включая миграцию на новую платформу.

Поскольку платформа следующего поколения представляет наше будущее для управления удостоверениями клиентов и доступом (CIAM), мы приветствуем и поощряем ваше участие и отзывы во время ранней предварительной версии. Если вы хотите присоединиться к ранней предварительной версии, обратитесь к вашей группе продаж за подробными сведениями.

Существует две распространенные причины, по которым расширение Microsoft Entra не работает для вас. Azure AD B2C требует, чтобы роль пользователя в каталоге была глобальным администратором. Обратитесь к администратору, если вы считаете, что у вас должен быть доступ. Если у вас есть права глобального администратора, убедитесь, что вы находитесь в каталоге Azure AD B2C, а не в каталоге Microsoft Entra. См. инструкции по созданию клиента Azure AD B2C.

Идентификатор Microsoft Entra и Azure AD B2C — это отдельные предложения продуктов. Чтобы использовать функции Azure AD B2C, создайте отдельный клиент Azure AD B2C из существующего клиента Microsoft Entra на основе сотрудников. Клиент Microsoft Entra представляет организацию. Клиент Azure AD B2C представляет коллекцию удостоверений для использования с приложениями проверяющей стороны. Добавив новый поставщик openID Подключение в рамках поставщиков удостоверений Azure AD B2C > или с настраиваемыми политиками, Azure AD B2C может федеративный идентификатор Microsoft Entra, разрешающий проверку подлинности сотрудников в организации.

Azure AD B2C нельзя использовать для проверки подлинности пользователей Microsoft 365. Идентификатор Microsoft Entra — это решение Майкрософт для управления доступом сотрудников к приложениям SaaS, и он имеет функции, предназначенные для этой цели, такие как лицензирование и условный доступ. Azure AD B2C предоставляет платформу управления удостоверениями и доступом для создания веб-и мобильных приложений. Когда Azure AD B2C настроена на федеративную федерацию с клиентом Microsoft Entra, клиент Microsoft Entra управляет доступом сотрудников к приложениям, которые используют Azure AD B2C.

В клиенте Microsoft Entra пользователи, принадлежащие клиенту, входят в систему с адресом электронной почты формы <xyz>@<tenant domain>. <tenant domain> — один из проверенных доменов в клиенте или начальный домен <...>.onmicrosoft.com. Тип этой учетной записи — рабочая или учебная учетная запись.

В клиенте Azure AD B2C большинство приложений поддерживают вход с использованием любого электронного адреса (например, joe@comcast.net, bob@gmail.com, sarah@contoso.com или jim@live.com). Учетная запись такого типа называется локальной учетной записью. В качестве локальных учетных записей мы также поддерживаем произвольные имена пользователей (например, vitaly, victor, marya или dmitry). Вы можете выбрать один из этих двух типов локальных учетных записей при настройке поставщиков удостоверений для Azure AD B2C на портале Azure. В клиенте Azure AD B2C щелкните Поставщики удостоверений и выберите Локальная учетная запись, а затем — Имя пользователя.

Учетные записи пользователей для приложений можно создавать с помощью потока пользователя регистрации, регистрации или входа в систему, API Microsoft Graph или портал Azure.

• По умолчанию каждый клиент может разместить в общей сложности 1,25 миллиона объектов (учетные записи пользователей и приложения), но это ограничение можно увеличить до 5,25 миллионов объектов при добавлении и проверке личного домена. Если вы хотите увеличить это ограничение, обратитесь к служба поддержки Майкрософт. Однако если вы создали клиент до сентября 2022 года, это ограничение не повлияет на вас, и ваш клиент сохранит размер, выделенный для него при создании, это 50 миллионов объектов.

Сейчас мы поддерживаем несколько поставщиков удостоверений социальных сетей, включая Amazon, Facebook, GitHub (предварительная версия), Google, LinkedIn, учетную запись Майкрософт (MSA), QQ (предварительная версия), Twitter, WeChat (предварительная версия) и Weibo (предварительная версия). Мы анализируем добавление поддержки других популярных поставщиков удостоверений социальных сетей с учетом запросов клиентов.

Azure AD B2C также поддерживает пользовательские политики. Пользовательские политики позволяют создавать собственные политики для любого поставщика удостоверений, поддерживающего OpenID Connect или SAML. Начните работу с пользовательскими политиками, ознакомившись с начальным пакетом пользовательской политики.

Нет. Области по умолчанию, используемые для поддерживаемых поставщиков удостоверений социальных сетей:

• Facebook: адрес электронной почты;
• Google+: адрес электронной почты;
• Учетная запись Майкрософт: профиль электронной почты OpenID
• Amazon: профиль;
• LinkedIn: r_emailaddress, r_basicprofile

На сервере ADFS выполните следующую команду: Set-AdfsProperties -SignedSamlRequestsRequired $true Это приведет к принудительному подписи всех запросов к ADFS в Azure AD B2C.

Нет, приложение можно разместить где угодно (в облаке или локально). Для взаимодействия с Azure AD B2C необходима только возможность отправки и получения HTTP-запросов в общедоступных конечных точках.

Перед открытием службы Azure AD B2C в портал Azure необходимо переключиться в каталог, который требуется управлять. Щелкните значок Параметры в верхнем меню, чтобы переключиться в каталог, которым вы хотите управлять из меню каталогов и подписок.

Возможно, у вас нет разрешения на создание клиента Azure AD B2C. Только пользователи с ролями глобального администратора или создателя клиентов могут создавать клиент. Вам нужно обратиться к глобальному администратору.

Вы можете использовать функцию фирменной символики , чтобы настроить содержимое проверочных электронных сообщений. В частности, можно настроить следующие два элемента электронного сообщения:

• Баннер с логотипом: отображается в правом нижнем углу;

• цвет фона: отображается вверху.

  

Подпись электронного сообщения содержит имя клиента Azure AD B2C, которое было указано при создании клиента Azure AD B2C. Это имя можно изменить, выполнив приведенные ниже инструкции.

1. Войдите на портал Azure как глобальный администратор.
2. Откройте колонку Идентификатора Microsoft Entra.
3. Выберите вкладку Свойства.
4. Измените поле Имя.
5. Выберите Сохранить в верхней части страницы.

В настоящее время вы не можете изменить поле "From:" в сообщении электронной почты.

Средство миграции можно создать с помощью API Microsoft Graph. Дополнительные сведения см. в руководстве по переносу пользователей.

Поток пользователя паролей Azure AD B2C для локальных учетных записей основан на политике идентификатора Microsoft Entra. В потоках пользователей для регистрации, входа и сброса пароля в Azure AD B2C предусмотрено использование надежного пароля, срок действия которого не истекает. Дополнительные сведения см. в разделе "Политики паролей и ограничения" в идентификаторе Microsoft Entra.

Сведения о блокировках учетных записей и паролях см. в разделе Устранение рисков, связанных с атаками на учетные данные, в Azure AD B2C.

Нет, Microsoft Entra Подключение не предназначен для работы с Azure AD B2C. Вы можете использовать API Microsoft Graph для перемещения пользователя. Дополнительные сведения см. в руководстве по переносу пользователей.

Эта функция предоставляется в общедоступной предварительной версии. Дополнительные сведения см. в статье Встроенный интерфейс входа.

Сейчас реализована интеграция с порталом Microsoft Dynamics 365. Дополнительные сведения см. в статье Параметры поставщика Azure AD B2C для порталов.

Azure AD B2C не предназначен для сценария совместного использования внешних партнеров SharePoint; Вместо этого см . раздел Microsoft Entra B2B .

Прочтите статью Сравнение решений для внешних удостоверений, чтобы узнать, как применять соответствующие функции в сценариях с использованием внешних удостоверений.

Нет, Azure AD B2C не поддерживает тот же набор отчетов, что и Microsoft Entra ID P1 или P2. Однако существует множество общих особенностей:

• В отчетах о входе в систему представлены записи и краткие сведения о каждом входе.
• Отчеты аудита включают как действия администратора, так и действия приложения.
• Отчеты об использовании содержат сведения о количестве пользователей, числе входов в систему и количестве событий MFA.

Да. Конечным пользователям необходимо скачать любое приложение структуры проверки подлинности, которое поддерживает проверку TOTP, например приложение Microsoft Authenticator (рекомендуется). Дополнительные сведения см. в описании методов проверки.

Если коды приложения структуры проверки подлинности TOTP не работают с мобильным телефоном или устройством Android или iPhone, возможно, на устройстве неправильно задано время. В параметрах устройства выберите параметр, при котором используется заданное сетью время или же время задается автоматически.

При создании клиента Azure AD B2C, если надстройка Go-Local доступна в вашей стране или регионе, вам будет предложено включить ее, если это необходимо.

Нет. 50 000 бесплатных maus в месяц не применяется при включении надстройки Go-Local. Вы будете взимать плату за надстройку Go-Local из первого MAU. Однако вы будете продолжать наслаждаться бесплатными 50 000 MAUs в месяц на другие функции, доступные в ценах на Azure AD B2C Premium P1 или P2.

Выполните действия, описанные в разделе "Активировать локальную рекламу Go-Local" , чтобы активировать надстройку Azure AD B2C Go-Local.

Да, см. настройку языка. Мы предоставляем переводы для 36 языков, и вы можете переопределить любую строку в соответствии со своими потребностями.

Да, можно использовать свой домен. Дополнительные сведения см. в статье о личных доменах в Azure AD B2C.

Для удаления клиента Azure AD B2C выполните следующие действия.

Можно использовать новый унифицированный интерфейс Регистрация приложений или устаревший интерфейс Приложения (прежняя версия). См. дополнительные сведения о новом интерфейсе.

Нет, Azure AD B2C — это служба Azure с оплатой по мере использования и не является частью Enterprise Mobility Suite.

Нет, клиенты Azure AD B2C не используют лицензирование Microsoft Entra ID P1 или Microsoft Entra ID P2. Azure AD B2C использует лицензии Azure AD B2C Premium P1 или P2 , отличные от лицензий Microsoft Entra ID P1 или P2 для клиента Microsoft Entra Standard. Клиенты Azure AD B2C изначально поддерживают некоторые функции, аналогичные функциям Microsoft Entra ID P1 или P2, как описано в поддерживаемых функциях идентификатора Microsoft Entra.

Нет, клиенты Azure AD B2C не поддерживают назначение на основе групп для корпоративных приложений Microsoft Entra Enterprise.

В настоящее время в Microsoft Azure для государственных организаций недоступны следующие функции AD B2C:

• Соединители API
• Условный доступ

В Azure AD B2C, если разница между временем между refreshTokensValidFromDateTime и refreshTokenIssuedTime менее чем или равно 5 минутам, маркер обновления по-прежнему считается допустимым. Однако если значение refreshTokenIssuedTime больше refreshTokensValidFromDateTime, маркер обновления отзывается. Чтобы проверить, является ли маркер обновления допустимым или он отозван, выполните следующие действия:

1. Получите RefreshToken и AccessToken, активировав authorization_code.

2. Подождите 7 минут.

3. Чтобы выполнить команду, используйте командлет Microsoft Graph PowerShell Revoke-MgUserSignInSession или API Microsoft Graph invalidateAllRefreshTokens.RevokeAllRefreshToken

4. Подождите 10 минут.

5. Получите RefreshToken еще раз.

В настоящее время Azure AD B2C не поддерживает единый выход для этого конкретного сценария. Это вызвано спором файлов cookie, так как все приложения работают одновременно с тем же файлом cookie.

Ознакомьтесь со статьей Azure Active Directory B2C: регистрация запросов в службу поддержки.

В настоящее время Azure AD B2C не поддерживает отзыв сеанса пользователя из портал Azure. Однако эту задачу можно достичь с помощью Microsoft Graph PowerShell или API Microsoft Graph.