Teilen über

Konfigurieren der Authentifizierung in einer Android-Beispiel-App mithilfe von Azure AD B2C

Von Bedeutung

Ab dem 1. Mai 2025 steht Azure AD B2C nicht mehr für neue Kunden zur Verfügung. Weitere Informationen finden Sie in unseren HÄUFIG gestellten Fragen.

In diesem Artikel wird eine Android-Beispielanwendung (Kotlin und Java) verwendet, um zu veranschaulichen, wie Azure Active Directory B2C (Azure AD B2C)-Authentifizierung zu Ihren mobilen Apps hinzugefügt wird.

Überblick

OpenID Connect (OIDC) ist ein Authentifizierungsprotokoll, das auf OAuth 2.0 basiert. Sie können OIDC verwenden, um Benutzer sicher bei einer Anwendung anzumelden. In diesem Beispiel für mobile Apps wird die Microsoft Authentication Library (MSAL) mit OIDC-Autorisierungscode PKCE-Fluss verwendet. MsAL ist eine von Microsoft bereitgestellte Bibliothek, die das Hinzufügen von Authentifizierungs- und Autorisierungsunterstützung zu mobilen Apps vereinfacht.

Der Anmeldeflow umfasst die folgenden Schritte:

  1. Benutzer öffnen die App und wählen Anmelden aus.
  2. Die App öffnet den Systembrowser des mobilen Geräts und startet eine Authentifizierungsanforderung an Azure AD B2C.
  3. Benutzer registrieren oder sich anmelden, das Kennwort zurücksetzen oder sich mit einem sozialen Konto anmelden.
  4. Nachdem sich Benutzer erfolgreich angemeldet haben, gibt Azure AD B2C einen Autorisierungscode an die App zurück.
  5. Die App führt die folgenden Aktionen aus:
    1. Der Autorisierungscode wird in ein ID-Token, ein Zugriffstoken und ein Aktualisierungstoken umgewandelt.
    2. Sie liest die ID-Tokenansprüche.
    3. Sie speichert die Token in einem Speichercache zur späteren Verwendung.

Übersicht über die App-Registrierung

Registrieren Sie zwei Anwendungen im Azure AD B2C-Verzeichnis, um ihre App bei Azure AD B2C anzumelden und eine Web-API aufzurufen.

  • Die Registrierung mobiler Anwendungen ermöglicht Es Ihrer App, sich mit Azure AD B2C anzumelden. Geben Sie während der App-Registrierung den Umleitungs-URI an. Der Umleitungs-URI ist der Endpunkt, zu dem Benutzer von Azure AD B2C umgeleitet werden, nachdem sie sich bei Azure AD B2C authentifiziert haben. Der App-Registrierungsprozess generiert eine Anwendungs-ID, auch bekannt als Client-ID, die Ihre mobile App eindeutig identifiziert (z. B. App-ID: 1).

  • Mit der Web-API-Registrierung kann Ihre App eine geschützte Web-API aufrufen. Die Registrierung macht die Web-API-Berechtigungen (Bereiche) verfügbar. Der App-Registrierungsprozess generiert eine Anwendungs-ID, die Ihre Web-API eindeutig identifiziert (z. B. App-ID: 2). Erteilen Sie Ihrer mobilen App (App-ID: 1) Berechtigungen für die Web-API-Bereiche (App-ID: 2).

Die App-Registrierung und Anwendungsarchitektur werden in den folgenden Diagrammen veranschaulicht:

Diagramm der mobilen App mit Web-API-Aufrufregistrierungen und Token.

Aufrufen einer Web-API

Nach Abschluss der Authentifizierung interagieren Benutzer mit der App, die eine geschützte Web-API aufruft. Die Web-API verwendet die Authentifizierung per Bearertoken. Das Bearertoken ist das Zugriffstoken, das von Azure AD B2C abgerufen wird. Die App übergibt das Token im Autorisierungsheader der HTTPS-Anforderung.

Authorization: Bearer <access token>

Wenn der Zugriffstokenbereich nicht mit den Web-API-Bereichen übereinstimmt, ruft die Authentifizierungsbibliothek ein neues Zugriffstoken mit den richtigen Bereichen ab.

Der Abmeldeprozess

Der Abmeldeflow umfasst die folgenden Schritte:

  1. In der App melden sich Benutzer ab.
  2. Die App löscht ihre Sitzungsobjekte, und die Authentifizierungsbibliothek leert ihren Tokencache.
  3. Die App leitet den Benutzer zum Azure AD B2C-Abmeldeendpunkt, um die Azure AD B2C-Sitzung zu beenden.
  4. Benutzer werden zurück zur App geleitet.

Voraussetzungen

Ein Computer, auf dem Folgendes ausgeführt wird:

Schritt 1: Konfigurieren Ihres Benutzerflows

Wenn Benutzer versuchen, sich bei Ihrer App anzumelden, startet die App über einen Benutzerflow eine Authentifizierungsanforderung an den Autorisierungsendpunkt. Der Benutzerflow definiert und kontrolliert die Benutzeroberfläche. Nachdem Benutzer den Benutzerflow abgeschlossen haben, generiert Azure AD B2C ein Token und leitet den Benutzer anschließend wieder zurück zu Ihrer Anwendung.

Falls noch nicht geschehen, erstellen Sie einen Benutzerflow oder eine benutzerdefinierte Richtlinie. Wiederholen Sie die Schritte, um drei separate Benutzerflows wie folgt zu erstellen:

  • Kombinierter Benutzerflow für Registrierung und Anmeldung, z. B. susi. Dieser Benutzerflow unterstützt auch die Umgebung Kennwort vergessen.
  • Benutzerflow für die Profilbearbeitung, z. B. edit_profile.
  • Benutzerflow für die Kennwortzurücksetzung, z. B. reset_password.

Azure AD B2C stellt B2C_1_ dem Benutzerflownamen voran. Beispielsweise wird susi zu B2C_1_susi.

Schritt 2: Registrieren mobiler Anwendungen

Erstellen Sie die Registrierung mobiler Apps und Web-API-Anwendungen, und geben Sie die Bereiche Ihrer Web-API an.

Schritt 2.1: Registrieren der Web-API-App

Führen Sie die folgenden Schritte aus, um die Web-API-App-Registrierung (App-ID: 2) zu erstellen:

  1. Melden Sie sich beim Azure-Portal an.

  2. Stellen Sie sicher, dass Sie das Verzeichnis verwenden, das Ihren Azure AD B2C-Mandanten enthält. Wählen Sie auf der Symbolleiste des Portals das Symbol Verzeichnisse und Abonnements aus.

  3. Suchen Sie auf der Seite Portaleinstellungen > Verzeichnisse und Abonnements das Azure AD B2C-Verzeichnis in der Liste Verzeichnisname, und klicken Sie dann auf Wechseln.

  4. Suchen Sie im Azure-Portal nach Azure AD B2C, und wählen Sie diese Option dann aus.

  5. Wählen Sie App-Registrierungen aus, und wählen Sie dann Registrierung einer neuen Anwendung aus.

  6. Geben Sie für Name einen Namen für die Anwendung ein, z. B. my-api1. Behalten Sie die Standardwerte für Umleitungs-URI und Unterstützte Kontotypen bei.

  7. Wählen Sie Registrieren aus.

  8. Wählen Sie nach Abschluss der App-Registrierung Übersichtaus.

  9. Notieren Sie sich die Anwendungs- bzw. Client-ID, die Sie später beim Konfigurieren der Webanwendung verwenden.

    Screenshot: Abrufen einer Web-API-Anwendungs-ID.

Schritt 2.2: Konfigurieren von Web-API-App-Bereichen

  1. Wählen Sie die von Ihnen erstellte Anwendung my-api1 (App-ID: 2) aus, um deren Seite Übersicht zu öffnen.

  2. Wählen Sie unter Verwalten die Option Eine API verfügbar machen aus.

  3. Wählen Sie neben Anwendungs-ID-URI den Link Festlegen aus. Ersetzen Sie den Standardwert (GUID) durch einen eindeutigen Namen, z. B. tasks-api, und wählen Sie dann Speichern aus.

    Wenn Ihre Webanwendung ein Zugriffstoken für die Web-API anfordert, sollte sie diesen URI als Präfix für jeden Bereich hinzufügen, den Sie für die API definieren.

  4. Wählen Sie unter Durch diese API definierte Bereiche die Option Bereich hinzufügen aus.

  5. So erstellen Sie einen Bereich, der Lesezugriff auf die API festlegt:

    1. Geben Sie für Bereichsnametasks.read ein.
    2. Geben Sie für Anzeigename der AdministratoreinwilligungLesezugriff auf Aufgaben-API ein.
    3. Geben Sie für Beschreibung der AdministratoreinwilligungLässt Lesezugriff auf die Aufgaben-API zu ein.

  6. Wählen Sie "Bereich hinzufügen" aus.

  7. Wählen Sie Bereich hinzufügen aus, und geben Sie dann einen Bereich ein, der den Schreibzugriff auf die API festlegt:

    1. Geben Sie für Bereichsnametasks.write ein.
    2. Geben Sie für Anzeigename der AdministratoreinwilligungSchreibzugriff auf Aufgaben-API ein.
    3. Geben Sie für Beschreibung der AdministratoreinwilligungLässt Schreibzugriff auf die Aufgaben-API zu ein.

  8. Wählen Sie "Bereich hinzufügen" aus.

Schritt 2.3: Registrieren der mobilen App

Gehen Sie wie folgt vor, um die Registrierung mobiler Apps zu erstellen:

  1. Melden Sie sich beim Azure-Portal an.

  2. Wählen Sie App-Registrierungen aus, und wählen Sie dann Registrierung einer neuen Anwendung aus.

  3. Geben Sie unter "Name" einen Namen für die Anwendung ein (z. B. android-app1).

  4. Wählen Sie unter Unterstützte Kontotypen die Option Konten in einem beliebigen Identitätsanbieter oder Organisationsverzeichnis (zum Authentifizieren von Benutzenden mit Benutzerflows) aus.

  5. Wählen Sie unter Umleitungs-URIden öffentlichen Client/nativen (Mobile & Desktop) aus, und geben Sie dann im URL-Feld eine der folgenden URIs ein:

    • Für das Kotlin-Beispiel: msauth://com.azuresamples.msalandroidkotlinapp/1wIqXSqBj7w%2Bh11ZifsnqwgyKrY%3D
    • Für das Java-Beispiel: msauth://com.azuresamples.msalandroidapp/1wIqXSqBj7w%2Bh11ZifsnqwgyKrY%3D

  6. Wählen Sie Registrieren aus.

  7. Wählen Sie nach Abschluss der App-Registrierung Übersichtaus.

  8. Notieren Sie die Anwendungs-ID (Client-ID) für die spätere Verwendung, wenn Sie die mobile Anwendung konfigurieren.

    Screenshot, der die Android-Anwendungs-ID hervorhebung

Schritt 2.4: Erteilen der Berechtigungen für die mobile App für die Web-API

Führen Sie die folgenden Schritte aus, um Ihrer App (App-ID: 1) Berechtigungen zu erteilen:

  1. Wählen Sie App-Registrierungen und dann die von Ihnen erstellte App (App-ID: 1) aus.

  2. Wählen Sie unter Verwaltendie Option API-Berechtigungenaus.

  3. Wählen Sie unter Konfigurierte Berechtigungen die Option Berechtigung hinzufügen aus.

  4. Wählen Sie die Registerkarte Meine APIs aus.

  5. Wählen Sie die API aus, für die der Webanwendung Zugriff gewährt werden soll (App-ID: 2). Geben Sie z. B. my-api1 ein.

  6. Erweitern Sie unter Berechtigung den Eintrag Aufgaben, und wählen Sie die zuvor definierten Bereiche aus (Beispiel: tasks.read und tasks.write).

  7. Wählen Sie "Berechtigungen hinzufügen" aus.

  8. Wählen Sie Administratorzustimmung erteilen für<Name Ihres Mandanten> aus.

  9. Wählen Sie Ja aus.

  10. Wählen Sie Aktualisieren aus, und vergewissern Sie sich, dass für beide Bereiche unter Status der Status Gewährt für... angezeigt wird.

  11. Wählen Sie in der Liste Konfigurierte Berechtigungen Ihren Bereich aus, und kopieren Sie dann den vollständigen Namen des Bereichs.

    Screenshot: Bereich „Konfigurierte Berechtigungen“ mit erteilten Lesezugriffsberechtigungen.

Schritt 3: Abrufen des Beispiels für mobile Android-Apps

Führen Sie einen der folgenden Schritte aus:

  • Laden Sie eines der folgenden Beispiele herunter:

    Extrahieren Sie das Beispiel .zip Datei in Ihren Arbeitsordner.

  • Klonen Sie die mobile Android-Beispielanwendung von GitHub.

    git clone https://github.com/Azure-Samples/ms-identity-android-kotlin

Schritt 4: Konfigurieren der Beispielweb-API

In diesem Beispiel wird ein Zugriffstoken mit den relevanten Bereichen abgerufen, die von der mobilen App für eine Web-API verwendet werden können. Gehen Sie wie folgt vor, um eine Web-API aus Code aufzurufen:

  1. Verwenden Sie eine vorhandene Web-API, oder erstellen Sie eine neue. Weitere Informationen finden Sie unter Aktivieren der Authentifizierung in Ihrer eigenen Web-API mithilfe von Azure AD B2C.
  2. Ändern Sie den Beispielcode, um eine Web-API aufzurufen.

Schritt 5: Konfigurieren der mobilen Beispiel-App

Öffnen Sie das Beispielprojekt mit Android Studio oder einem anderen Code-Editor, und öffnen Sie dann die Datei "/app/src/main/res/raw/auth_config_b2c.json ".

Die auth_config_b2c.json Konfigurationsdatei enthält Informationen zu Ihrem Azure AD B2C-Identitätsanbieter. Die mobile App verwendet diese Informationen, um eine Vertrauensstellung mit Azure AD B2C herzustellen, Benutzer anzumelden und abzumelden, Token zu erwerben und zu validieren.

Aktualisieren Sie die folgenden Eigenschaften der App-Einstellungen:

Schlüssel Wert
client_id Die ID der mobilen Anwendung aus Schritt 2.3.
redirect_uri Der URI der mobilen Anwendung wird von Schritt 2.3 umgeleitet.
Behörden Die Autorität ist eine URL, die ein Verzeichnis angibt, von dem die MSAL Token anfordern kann. Verwenden Sie das folgende Format: https://<your-tenant-name>.b2clogin.com/<your-tenant-name>.onmicrosoft.com/<your-sign-in-sign-up-policy>. Ersetzen Sie <your-tenant-name> durch den Namen Ihres Azure AD B2C-Mandanten. Ersetzen <your-sign-in-sign-up-policy> Sie dann durch die Benutzerflüsse oder benutzerdefinierte Richtlinie, die Sie in Schritt 1 erstellt haben.

Öffnen Sie die B2CConfiguration Klasse, und aktualisieren Sie die folgenden Klassenmitglieder:

Schlüssel Wert
Politik Die Liste der Benutzerflüsse oder benutzerdefinierten Richtlinien, die Sie in Schritt 1 erstellt haben.
azureAdB2CHostName Der erste Teil Ihres Azure AD B2C-Mandantennamens (z. B. https://contoso.b2clogin.com).
MieterName Der vollständige Name Ihres Azure AD B2C-Mandanten Mandantenname (z. B., contoso.onmicrosoft.com).
Bereiche Die Web-API-Bereiche, die Sie in Schritt 2.4 erstellt haben.

Schritt 6: Ausführen und Testen der mobilen App

  1. Erstellen Sie das Projekt, und führen Sie es aus.

  2. Wählen Sie oben links das Hamburger-Symbol (auch als reduziertes Menüsymbol bezeichnet) aus, wie hier gezeigt:

    Screenshot, der das Hamburger- oder reduzierten Menüsymbol hervorhebung.

  3. Wählen Sie im linken Bereich den B2C-Modus aus.

    Screenshot, der den Befehl

  4. Wählen Sie "Benutzerablauf ausführen" aus.

    Screenshot mit hervorhebung der Schaltfläche

  5. Registrieren oder anmelden Sie sich mit Ihrem lokalen Azure AD B2C-Konto oder Ihrem konto für soziale Netzwerke.

  6. Nach erfolgreicher Authentifizierung wird Ihr Anzeigename im B2C-Modusbereich angezeigt.

    Screenshot einer erfolgreichen Authentifizierung, wobei der angemeldete Benutzer und die Richtlinie angezeigt werden.

Nächste Schritte

Erfahren Sie, wie Sie Folgendes tun können:

  • Last updated on