Настройка Azure Active Directory B2C с Deduce для борьбы с мошенничеством с удостоверениями и создания доверенного взаимодействия с пользователем

Статья
01/26/2024

В этой статье, приведенной в качестве пример, представлены инструкции по интеграции проверки подлинности Azure Active Directory B2C (Azure AD B2C) с Deduce. Deduce используется в основном для того, чтобы не допустить захвата учетной записи и мошенничества с регистрацией — это сейчас самый быстро растущий вид мошенничества в Интернете. Сеть удостоверений Deduce работает на основе союза из более чем 150 000 веб-сайтов и приложений, которые совместно используют имена входа, регистрации и оформление заказов с помощью Deduce более 1,4 млрд раз в день.

Результирующая аналитика удостоверений позволяет остановить атаки, прежде чем они становятся финансовой проблемой и влекут за собой последствия для корпорации. В ней используется исторический анализ реакций на события для прогноза доверия, чтобы организации могли обеспечить беспроблемное взаимодействие для своих ценных клиентов. Полный спектр сигналов риска и доверия может информировать каждое решение проверки подлинности в экземпляре Azure AD B2C. Благодаря этой интеграции организации могут расширить возможности Azure AD B2C во время регистрации или входа, чтобы получить дополнительные сведения о пользователе из API Deduce Insights. Ниже приведены некоторые атрибуты, принимаемые API Deduce:

Адрес электронной почты
IP-адрес
User agent

Необходимые компоненты

Чтобы приступить к работе, потребуется следующее.

Подписка Azure. Если у вас ее нет, получите бесплатную пробную учетную запись.
Клиент Azure AD B2C, связанный с вашей подпиской Azure.
Регистрация приложения
Чтобы настроить тестовую или рабочую среду, обратитесь к Deduce.
Возможность применения пользовательских политик Azure AD B2C. Если это невозможно, выполните действия, описанные в статье Приступая к работе с пользовательскими политиками в Azure AD B2C, чтобы узнать, как применять пользовательские политики.

Описание сценария

Интеграция включает в себя следующие компоненты:

Azure AD B2C — сервер авторизации, отвечающий за проверку учетных данных пользователя, также известный как поставщик удостоверений.
Deduce — служба Deduce принимает входные данные, предоставленные пользователем, и предоставляет аналитические сведения о цифровой активности с использованием удостоверения пользователя.
Пользовательский API-интерфейс REST — этот программный интерфейс реализует интеграцию между Azure AD B2C и API Deduce Insights.

На следующей схеме архитектуры показана реализация: image shows the architecture diagram.

Шаги	Description
1.	Пользователь открывает страницу входа Azure AD B2C, а затем входит в систему или регистрируется, указывая свое имя пользователя.
2.	Azure Active Directory B2C вызывает API среднего уровня и передает атрибуты пользователя.
3.	API среднего слоя собирает пользовательские атрибуты и преобразует их в формат, совместимый с API Deduce, а затем отправляет в Deduce.
4.	Deduce получает эту информацию и обрабатывает ее для проверки идентификации пользователя, выполняя анализ рисков. Затем результат возвращается в API среднего слоя.
5.	API среднего слоя обрабатывает данные и отправляет сигналы рисков, доверия и информации обратно в Azure AD B2C в правильном формате JSON.
6.	Azure Active Directory B2C получает возвращенные данные от API среднего слоя. При получении ответа о сбое для пользователя выводится сообщение об ошибке. Полученный ответ об успехе означает, что пользователь прошел проверку подлинности и зарегистрирован в каталоге.

Подключение с помощью Deduce

Чтобы создать учетную запись Deduce, обратитесь в службу поддержки Deduce. После создания учетной записи вы получите идентификатор сайта и ключ API, необходимый для настройки API.

Процесс интеграции описан в следующих разделах.

Шаг 1. Настройка политики Azure AD B2C

Следуйте инструкциям в разделе Получение начального пакета, чтобы узнать, как настроить клиент Azure AD B2C и политики. Пример в статье основан на начальном пакете "Локальные учетные записи".

Шаг 2. Настройка пользовательского интерфейса Azure AD B2C

Чтобы собрать user_agent с клиентской стороны, создайте собственный **ContentDefinition** с произвольным идентификатором, чтобы включить связанный код JavaScript. Определите строку user_agent браузера конечного пользователя и сохраните ее как утверждение в Azure AD B2C.

Скачайте api.selfasserted, selfAsserted.cshtml локально.
Измените файл selfAsserted.cshtml, чтобы включить приведенный ниже код JavaScript перед закрытием тега </head>, который определяет дополнительный элемент стиля, чтобы скрыть панель по умолчанию.
```
<style>
 .panel-default   {
 margin: 0 auto;
 width: 60%;
 height: 0px;
 background-color: #296ec6;
 opacity: 1;
 border-radius: .5rem;
 border: none;
 color: #fff;
 font-size: 1em;
 box-shadow: 0 0 30px 0 #dae1f7;
 visibility: hidden;
} 

</style>
```
Добавьте приведенный ниже код JavaScript перед закрытием тега </body>. Этот код считывает user_agent из браузера пользователя, а ContentDefinition используется в сочетании с самоподтверждаемым техническим профилем для возврата user_agent в качестве выходного утверждения на следующий шаг оркестрации.
```
<script>
     $("#user_agent").hide().val(window.navigator.userAgent);
     var img = new Image();
     img.onload = function() {
     document.getElementById("continue").click();
  };
     img.src = "https://login.microsoftonline.com/static/tenant/templates/images/logo.svg";
</script>
```

Шаг 3. Настройте расположение хранилища

Настройте контейнер хранилища BLOB-объектов в учетной записи хранения и отправьте ранее измененный файл **selfAsserted.cshtml** в контейнер BLOB-объектов.
Предоставьте доступ CORS к созданному контейнеру хранилища, выполнив следующие инструкции.
1. Выберите Параметры>Разрешенный источник, введите https://your_tenant_name.b2clogin.com. Замените your-tenant- name именем клиента Azure AD B2C, например fabrikam. Используйте только строчные буквы в имени своего клиента.
2. В качестве допустимых методов выберите GET и PUT.
3. Выберите Сохранить.

Шаг 4. Настройка определения содержимого

Чтобы настроить пользовательский интерфейс, укажите URL-адрес в элементе ContentDefinition с настраиваемым HTML-содержимым. В самоподтверждаемом техническом профиле или на этапе оркестрации нужно указать этот идентификатор определения содержимого (ContentDefinition).

Откройте TrustFrameworksExtension.xml и определите новый идентификатор ContentDefinition для настройки самоподтверждаемого технического профиля.

Найдите элемент BuildingBlocks и добавьте ContentDefinition **api.selfassertedDeduce**:

 <BuildingBlocks>
 ...
 <ContentDefinitions>
   <ContentDefinition Id="api.selfassertedDeduce">
     <LoadUri>https://<STORAGE-ACCOUNT-NAME>.blob.core.windows.net/<CONTAINER>/selfAsserted.cshtml</LoadUri>
     <RecoveryUri>~/common/default_page_error.html</RecoveryUri>
     <DataUri>urn:com:microsoft:aad:b2c:elements:contract:selfasserted:2.1.7</DataUri>
     <Metadata>
       <Item Key="DisplayName">Signin and Signup Deduce</Item>
     </Metadata>
   </ContentDefinition>
 </ContentDefinitions>
   ...
</BuildingBlocks>

Замените LoadUri URL-адресом, указывающим на файл selfAsserted.cshtml, созданный на шаге 1.

Шаг 5. Добавление дополнительного ClaimType Deduce

Элемент ClaimsSchema определяет типы утверждений, на которые можно ссылаться в рамках политики. Существуют дополнительные утверждения, которые можно добавить в Deduce.

Откройте TrustFrameworksExtension.xml.

В элементе **BuildingBlocks** можно добавить дополнительные утверждения удостоверений, поддерживаемые Deduce.

  <BuildingBlocks>
...
 <ClaimsSchema>
  <!-- Claims for Deduce API request body -->
   <ClaimType Id="site">
     <DisplayName>Site ID</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Deduce Insight API site id</AdminHelpText>
   </ClaimType>

   <ClaimType Id="ip">
     <DisplayName>IP Address</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>

   <ClaimType Id="apikey">
     <DisplayName>API Key</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>

   <ClaimType Id="action">
     <DisplayName>Contextual action</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>

   <!-- End of Claims for Deduce API request body -->

   <!-- Rest API call request body to deduce insight API -->
   <ClaimType Id="deduce_requestbody">
     <DisplayName>Request body for insight api</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Request body for insight api</AdminHelpText>
   </ClaimType>

   <ClaimType Id="deduce_trust_response">
     <DisplayName>Response body for insight api</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Response body for insight api</AdminHelpText>
   </ClaimType>
   <!-- End of Rest API call request body to deduce insight API -->

   <!-- Response claims from Deduce Insight  API -->

   <ClaimType Id="data.signals.trust">
     <DisplayName>Trust collection</DisplayName>
     <DataType>stringCollection</DataType>
     <AdminHelpText>List of asserted trust</AdminHelpText>
   </ClaimType>

   <ClaimType Id="data.signals.info">
     <DisplayName>Trust collection</DisplayName>
     <DataType>stringCollection</DataType>
     <AdminHelpText>List of asserted info</AdminHelpText>
   </ClaimType>

   <ClaimType Id="data.signals.risk">
     <DisplayName>Trust collection</DisplayName>
     <DataType>stringCollection</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>

   <ClaimType Id="data.network.company_name">
     <DisplayName>data.network.company_name</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.crawler_name">
     <DisplayName>data.network.crawler_name</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_corporate">
     <DisplayName>data.network.is_corporate</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_education">
     <DisplayName>data.network.is_education</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_hosting">
     <DisplayName>data.network.is_hosting</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_mobile">
     <DisplayName>data.network.is_mobile</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_proxy">
     <DisplayName>data.network.is_proxy"</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_tor">
     <DisplayName>data.network.is_tor</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_vpn_capable">
     <DisplayName>data.network.is_vpn_capable</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_vpn_confirmed">
     <DisplayName>data.network.is_vpn_confirmed</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.is_vpn_suspect">
     <DisplayName>data.network.is_vpn_suspect</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.isp_name">
     <DisplayName>data.network.isp_name</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.network.vpn_name">
     <DisplayName>data.network.vpn_name</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.geo.city">
     <DisplayName>data.geo.city</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.geo.country">
     <DisplayName>data.geo.country</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.geo.lat">
     <DisplayName>data.geo.lat</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.geo.long">
     <DisplayName>data.geo.long</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.geo.state">
     <DisplayName>data.geo.state</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_brand">
     <DisplayName>data.device.ua_brand</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_browser">
     <DisplayName>data.device.ua_browser</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_device_type">
     <DisplayName>data.device.ua_device_type</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_name">
     <DisplayName>data.device.ua_name</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_os">
     <DisplayName>data.device.ua_os</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_type">
     <DisplayName>data.device.ua_type</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.device.ua_version">
     <DisplayName>data.device.ua_version</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>List of asserted risk</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.email.ip_count">
     <DisplayName>data.activity.email.ip_count</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.email.lastseen">
     <DisplayName>data.activity.email.lastseen</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.email.frequency">
     <DisplayName>data.activity.email.frequency</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.emailip.frequency">
     <DisplayName>data.activity.emailip.frequency</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.emailip.lastseen">
     <DisplayName>data.activity.emailip.lastseen</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.emailip.match">
     <DisplayName>data.activity.emailip.match</DisplayName>
     <DataType>boolean</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.emailip.rank_email">
     <DisplayName>data.activity.emailip.rank_email</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.emailip.rank_ip">
     <DisplayName>data.activity.emailip.rank_ip</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.ip.email_count">
     <DisplayName>data.activity.ip.email_count</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>
   <ClaimType Id="data.activity.ip.lastseen">
     <DisplayName>data.activity.ip.lastseen</DisplayName>
     <DataType>string</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>

   <ClaimType Id="data.activity.ip.frequency">
     <DisplayName>data.activity.ip.frequency</DisplayName>
     <DataType>int</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>

   <ClaimType Id="data.sent_timestamp">
     <DisplayName>datasent_timestamp</DisplayName>
     <DataType>long</DataType>
     <AdminHelpText>Add help text here</AdminHelpText>
   </ClaimType>

   <ClaimType Id="user_agent">
     <DisplayName>User Agent</DisplayName>
     <DataType>string</DataType>
     <UserHelpText>Add help text here</UserHelpText>
     <UserInputType>TextBox</UserInputType>
   </ClaimType>

   <ClaimType Id="correlationId">
     <DisplayName>correlation ID</DisplayName>
     <DataType>string</DataType>
   </ClaimType>
 <!-- End Response claims from Deduce Insight API -->
 ...
 </ClaimsSchema>
 ...
 </BuildingBlocks>

Шаг 6. Добавление Deduce ClaimsProvider

Поставщик утверждений предоставляет интерфейс для взаимодействия с разными типами сторон с помощью технических профилей.

Самоподтверждаемый технический профиль SelfAsserted-UserAgent используется для сбора user_agent с клиентской стороны.
Технический профиль deduce_insight_api отправляет данные в службу REST Deduce в виде коллекции входящих утверждений и получает ответы в виде коллекции исходящих утверждений. Дополнительные сведения см. в статье Интеграция обмена утверждениями REST API в настраиваемую политику Azure AD B2C.

Вы можете выбрать Deduce в качестве поставщика утверждений, добавив его к элементу ClaimsProvider в файле расширения вашей политики.

Откройте TrustFrameworkExtensions.xml.

Найдите элемент ClaimsProvider. Если он не существует, добавьте новый ClaimsProvider следующим образом:

 <ClaimsProvider>
   <DisplayName>Deduce REST API</DisplayName>
   <TechnicalProfiles>
     <TechnicalProfile Id="SelfAsserted-UserAgent">
       <DisplayName>Pre-login</DisplayName>
       <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.SelfAssertedAttributeProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral,         PublicKeyToken=null" />
       <Metadata>
         <Item Key="ContentDefinitionReferenceId">api.selfassertedDeduce</Item>
         <Item Key="setting.showCancelButton">false</Item>
         <Item Key="language.button_continue">Continue</Item>
       </Metadata>
       <OutputClaims>
         <OutputClaim ClaimTypeReferenceId="user_agent" />
       </OutputClaims>
     </TechnicalProfile>
     <TechnicalProfile Id="deduce_insight_api">
       <DisplayName>Get customer insight data from deduce api</DisplayName>
       <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
       <Metadata>
         <Item Key="ServiceUrl">https://deduceproxyapi.azurewebsites.net/api/Deduce/DeduceInsights</Item>
         <Item Key="AuthenticationType">None</Item>
         <Item Key="SendClaimsIn">Body</Item>
         <Item Key="ResolveJsonPathsInJsonTokens">true</Item>
         <Item Key="AllowInsecureAuthInProduction">true</Item>
         <Item Key="DebugMode">true</Item>
         <Item Key="IncludeClaimResolvingInClaimsHandling">true</Item>
       </Metadata>
       <InputClaims>
         <InputClaim ClaimTypeReferenceId="user_agent" />
         <InputClaim ClaimTypeReferenceId="signInNames.emailAddress" PartnerClaimType="email" />
         <InputClaim ClaimTypeReferenceId="ip" DefaultValue="{Context:IPAddress}" AlwaysUseDefaultValue="true" />
         <InputClaim ClaimTypeReferenceId="apikey" DefaultValue="<DEDUCE API KEY>" />
         <InputClaim ClaimTypeReferenceId="action" DefaultValue="auth.success.password" />
         <InputClaim ClaimTypeReferenceId="site" DefaultValue="<SITE>" />
       </InputClaims>
       <OutputClaims>
         <OutputClaim ClaimTypeReferenceId="data.sent_timestamp" PartnerClaimType="data.sent_timestamp" />
         <OutputClaim ClaimTypeReferenceId="data.activity.ip.frequency" PartnerClaimType="data.activity.ip.frequency" />
         <OutputClaim ClaimTypeReferenceId="data.activity.ip.lastseen" PartnerClaimType="data.activity.ip.lastseen" />
         <OutputClaim ClaimTypeReferenceId="data.activity.ip.email_count" PartnerClaimType="data.activity.ip.email_count" />
         <OutputClaim ClaimTypeReferenceId="data.activity.email.ip_count" PartnerClaimType="data.activity.email.ip_count" />
         <OutputClaim ClaimTypeReferenceId="data.activity.email.lastseen" PartnerClaimType="data.activity.email.lastseen" />
         <OutputClaim ClaimTypeReferenceId="data.activity.email.frequency" PartnerClaimType="data.activity.email.frequency" />
         <OutputClaim ClaimTypeReferenceId="data.activity.emailip.frequency" PartnerClaimType="data.activity.emailip.frequency" />
         <OutputClaim ClaimTypeReferenceId="data.activity.emailip.lastseen" PartnerClaimType="data.activity.emailip.lastseen" />
         <OutputClaim ClaimTypeReferenceId="data.activity.emailip.match" PartnerClaimType="data.activity.emailip.match" />
         <OutputClaim ClaimTypeReferenceId="data.activity.emailip.rank_email" PartnerClaimType="data.activity.emailip.rank_email" />
         <OutputClaim ClaimTypeReferenceId="data.activity.emailip.rank_ip" PartnerClaimType="data.activity.emailip.rank_ip" />
         <OutputClaim ClaimTypeReferenceId="data.signals.trust" PartnerClaimType="data.signals.trust" />
         <OutputClaim ClaimTypeReferenceId="data.signals.info" PartnerClaimType="data.signals.info" />
         <OutputClaim ClaimTypeReferenceId="data.signals.risk" PartnerClaimType="data.signals.risk" />
         <OutputClaim ClaimTypeReferenceId="data.network.company_name" PartnerClaimType="data.network.company_name" />
         <OutputClaim ClaimTypeReferenceId="data.network.crawler_name" PartnerClaimType="data.network.crawler_name" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_corporate" PartnerClaimType="data.network.is_corporate" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_education" PartnerClaimType="data.network.is_education" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_hosting" PartnerClaimType="data.network.is_hosting" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_mobile" PartnerClaimType="data.network.is_mobile" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_proxy" PartnerClaimType="data.network.is_proxy" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_tor" PartnerClaimType="data.network.is_tor" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_vpn_capable" PartnerClaimType="data.network.is_vpn_capable" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_vpn_confirmed" PartnerClaimType="data.network.is_vpn_confirmed" />
         <OutputClaim ClaimTypeReferenceId="data.network.is_vpn_suspect" PartnerClaimType="data.network.is_vpn_suspect" />
         <OutputClaim ClaimTypeReferenceId="data.network.isp_name" PartnerClaimType="data.network.isp_name" />
         <OutputClaim ClaimTypeReferenceId="data.network.vpn_name" PartnerClaimType="data.network.vpn_name" />
         <OutputClaim ClaimTypeReferenceId="data.geo.city" PartnerClaimType="data.geo.city" />
         <OutputClaim ClaimTypeReferenceId="data.geo.country" PartnerClaimType="data.geo.country" />
         <OutputClaim ClaimTypeReferenceId="data.geo.lat" PartnerClaimType="data.geo.lat" />
         <OutputClaim ClaimTypeReferenceId="data.geo.long" PartnerClaimType="data.geo.long" />
         <OutputClaim ClaimTypeReferenceId="data.geo.state" PartnerClaimType="data.geo.state" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_brand" PartnerClaimType="data.device.ua_brand" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_browser" PartnerClaimType="data.device.ua_browser" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_device_type" PartnerClaimType="data.device.ua_device_type" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_name" PartnerClaimType="data.device.ua_name" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_os" PartnerClaimType="data.device.ua_os" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_type" PartnerClaimType="data.device.ua_type" />
         <OutputClaim ClaimTypeReferenceId="data.device.ua_version" PartnerClaimType="data.device.ua_version" />
       </OutputClaims>
     </TechnicalProfile>
   </TechnicalProfiles>
 </ClaimsProvider>

Замените apikey и site на сведения, предоставленные Deduce во время первоначального подключения.

Шаг 7. Добавление пути взаимодействия пользователя

На этом этапе REST API Deduce уже настроен, но еще не отображается на страницах входа и регистрации. Если у вас нет собственного пути взаимодействия пользователя, создайте дубликат существующего шаблона. В противном случае перейдите к следующему шагу.

Откройте файл TrustFrameworkBase.xml из стартового пакета.
Найдите и скопируйте все содержимое элемента UserJourneys, в котором присутствует Id=SignUpOrSignIn.
Откройте TrustFrameworkExtensions.xml и найдите элемент UserJourneys. Если элемент не существует, добавьте его.
Вставьте все скопированное содержимое элемента UserJourney в качестве дочернего элемента в элемент UserJourneys.
Переименуйте Id пути взаимодействия пользователя. Например Id=CustomSignUpSignIn.

Шаг 8. Добавление API Deduce в путь взаимодействия пользователя

После настройки пути взаимодействия с пользователем добавьте шаги оркестрации для вызова Deduce.

В пути взаимодействия пользователя найдите элемент шага оркестрации, включающий Type=CombinedSignInAndSignUp или Type=ClaimsProviderSelection. Обычно это первый шаг оркестрации.
Добавьте новый шаг оркестрации для вызова технического профиля SelfAsserted-UserAgent.

Добавьте новый шаг оркестрации для вызова технического профиля **deduce_insight_api**.

В приведенном ниже примере UserJourney используется начальный пакет локальных учетных записей:

 <UserJourneys>
  <UserJourney Id="CustomSignUpOrSignIn">
   <OrchestrationSteps>
     <OrchestrationStep Order="1" Type="ClaimsExchange">
       <ClaimsExchanges>
         <ClaimsExchange Id="Browser-UserAgent" TechnicalProfileReferenceId="SelfAsserted-UserAgent" />
       </ClaimsExchanges>
     </OrchestrationStep>
     <OrchestrationStep Order="2" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
       <ClaimsProviderSelections>
         <ClaimsProviderSelection ValidationClaimsExchangeId="LocalAccountSigninEmailExchange" />
       </ClaimsProviderSelections>
       <ClaimsExchanges>
         <ClaimsExchange Id="LocalAccountSigninEmailExchange" TechnicalProfileReferenceId="SelfAsserted-LocalAccountSignin-Email" />
       </ClaimsExchanges>
     </OrchestrationStep>

     <OrchestrationStep Order="3" Type="ClaimsExchange">
       <Preconditions>
         <Precondition Type="ClaimsExist" ExecuteActionsIf="true">
           <Value>objectId</Value>
           <Action>SkipThisOrchestrationStep</Action>
         </Precondition>
       </Preconditions>
       <ClaimsExchanges>
         <ClaimsExchange Id="SignUpWithLogonEmailExchange" TechnicalProfileReferenceId="LocalAccountSignUpWithLogonEmail" />
       </ClaimsExchanges>
     </OrchestrationStep>

     <!-- This step reads any user attributes that we may not have received when in the token. -->
     <OrchestrationStep Order="4" Type="ClaimsExchange">
       <ClaimsExchanges>
         <ClaimsExchange Id="AADUserReadWithObjectId" TechnicalProfileReferenceId="AAD-UserReadUsingObjectId" />
       </ClaimsExchanges>
     </OrchestrationStep>
     <OrchestrationStep Order="5" Type="ClaimsExchange">
       <ClaimsExchanges>
         <ClaimsExchange Id="DecideInsights" TechnicalProfileReferenceId="deduce_insight_api" />
       </ClaimsExchanges>
     </OrchestrationStep>
     <OrchestrationStep Order="6" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />

   </OrchestrationSteps>
   <ClientDefinition ReferenceId="DefaultWeb" />
 </UserJourney>
</UserJourneys>

Шаг 9. Настройка политики проверяющей стороны

Политика проверяющей стороны определяет путь взаимодействия пользователя, который будет исполнять Azure AD B2C. Также можно выбрать утверждения, которые будут передаваться в приложение. Для этого измените элемент OutputClaims элемента TechnicalProfile SignUpOrSignIn_WithDeduce. В этом примере приложение получит сведения обратно из API среднего уровня:

    <RelyingParty>
        <DefaultUserJourney ReferenceId="CustomSignUpOrSignIn" />
        <UserJourneyBehaviors>
            <ScriptExecution>Allow</ScriptExecution>
        </UserJourneyBehaviors>
        <TechnicalProfile Id="PolicyProfile">
            <DisplayName>PolicyProfile</DisplayName>
            <Protocol Name="OpenIdConnect" />
            <OutputClaims>
                <!-- <OutputClaim ClaimTypeReferenceId="user_agent"   /> -->
                <OutputClaim ClaimTypeReferenceId="displayName" />
                <OutputClaim ClaimTypeReferenceId="givenName" />
                <OutputClaim ClaimTypeReferenceId="surname" />
                <OutputClaim ClaimTypeReferenceId="email" />
                <OutputClaim ClaimTypeReferenceId="correlationId" DefaultValue="{Context:CorrelationId}" />
                <OutputClaim ClaimTypeReferenceId="data.sent_timestamp" PartnerClaimType="data.sent_timestamp" />
                <OutputClaim ClaimTypeReferenceId="data.activity.ip.frequency" PartnerClaimType="data.activity.ip.frequency" />
                <OutputClaim ClaimTypeReferenceId="data.activity.ip.lastseen" PartnerClaimType="data.activity.ip.lastseen" />
                <OutputClaim ClaimTypeReferenceId="data.activity.ip.email_count" PartnerClaimType="data.activity.ip.email_count" />
                <OutputClaim ClaimTypeReferenceId="data.activity.email.ip_count" PartnerClaimType="data.activity.email.ip_count" />
                <OutputClaim ClaimTypeReferenceId="data.activity.email.lastseen" PartnerClaimType="data.activity.email.lastseen" />
                <OutputClaim ClaimTypeReferenceId="data.activity.email.frequency" PartnerClaimType="data.activity.email.frequency" />
                <OutputClaim ClaimTypeReferenceId="data.activity.emailip.frequency" PartnerClaimType="data.activity.emailip.frequency" />
                <OutputClaim ClaimTypeReferenceId="data.activity.emailip.lastseen" PartnerClaimType="data.activity.emailip.lastseen" />
                <OutputClaim ClaimTypeReferenceId="data.activity.emailip.match" PartnerClaimType="data.activity.emailip.match" />
                <OutputClaim ClaimTypeReferenceId="data.activity.emailip.rank_email" PartnerClaimType="data.activity.emailip.rank_email" />
                <OutputClaim ClaimTypeReferenceId="data.activity.emailip.rank_ip" PartnerClaimType="data.activity.emailip.rank_ip" />
                <OutputClaim ClaimTypeReferenceId="data.signals.trust" PartnerClaimType="data.signals.trust" />
                <OutputClaim ClaimTypeReferenceId="data.signals.info" PartnerClaimType="data.signals.info" />
                <OutputClaim ClaimTypeReferenceId="data.signals.risk" PartnerClaimType="data.signals.risk" />
                <OutputClaim ClaimTypeReferenceId="data.network.company_name" PartnerClaimType="data.network.company_name" />
                <OutputClaim ClaimTypeReferenceId="data.network.crawler_name" PartnerClaimType="data.network.crawler_name" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_corporate" PartnerClaimType="data.network.is_corporate" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_education" PartnerClaimType="data.network.is_education" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_hosting" PartnerClaimType="data.network.is_hosting" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_mobile" PartnerClaimType="data.network.is_mobile" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_proxy" PartnerClaimType="data.network.is_proxy" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_tor" PartnerClaimType="data.network.is_tor" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_vpn_capable" PartnerClaimType="data.network.is_vpn_capable" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_vpn_confirmed" PartnerClaimType="data.network.is_vpn_confirmed" />
                <OutputClaim ClaimTypeReferenceId="data.network.is_vpn_suspect" PartnerClaimType="data.network.is_vpn_suspect" />
                <OutputClaim ClaimTypeReferenceId="data.network.isp_name" PartnerClaimType="data.network.isp_name" />
                <OutputClaim ClaimTypeReferenceId="data.network.vpn_name" PartnerClaimType="data.network.vpn_name" />
                <OutputClaim ClaimTypeReferenceId="data.geo.city" PartnerClaimType="data.geo.city" />
                <OutputClaim ClaimTypeReferenceId="data.geo.country" PartnerClaimType="data.geo.country" />
                <OutputClaim ClaimTypeReferenceId="data.geo.lat" PartnerClaimType="data.geo.lat" />
                <OutputClaim ClaimTypeReferenceId="data.geo.long" PartnerClaimType="data.geo.long" />
                <OutputClaim ClaimTypeReferenceId="data.geo.state" PartnerClaimType="data.geo.state" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_brand" PartnerClaimType="data.device.ua_brand" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_browser" PartnerClaimType="data.device.ua_browser" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_device_type" PartnerClaimType="data.device.ua_device_type" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_name" PartnerClaimType="data.device.ua_name" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_os" PartnerClaimType="data.device.ua_os" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_type" PartnerClaimType="data.device.ua_type" />
                <OutputClaim ClaimTypeReferenceId="data.device.ua_version" PartnerClaimType="data.device.ua_version" />
                <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
                <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
            </OutputClaims>
            <SubjectNamingInfo ClaimType="sub" />
        </TechnicalProfile>
    </RelyingParty>

Шаг 10. Отправка настраиваемой политики

Войдите на портал Azure.
Если у вас есть доступ к нескольким клиентам, выберите значок Параметры в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню каталогов и подписок.
На портале Azure найдите и выберите Azure AD B2C.
В разделе "Политики" выберите Identity Experience Framework.
Выберите Отправить пользовательскую политику, а затем отправьте два измененных файла политики в следующем порядке: политика расширения, например TrustFrameworkBase.xml, а затем политика проверяющей стороны, например B2C_1A_signup.

Шаг 11. Проверка настраиваемой политики

Выберите политику проверяющей стороны, например B2C_1A_signup.
В разделе Приложение выберите зарегистрированное ранее веб-приложение. В поле URL-адрес ответа должно содержаться значение https://jwt.ms.
Нажмите кнопку Выполнить.
Политика регистрации должна немедленно вызвать Deduce. Если используется вход, выберите Deduce для входа с помощью Deduce.

Если вход выполнен успешно, в браузере откроется страница https://jwt.ms с содержимым маркера, возвращенного Azure AD B2C.

Следующие шаги

Дополнительные сведения см. в следующих статьях:

Поделиться через