Freigeben über


Benutzerprofil-Attribute

Von Bedeutung

Ab dem 1. Mai 2025 steht Azure AD B2C nicht mehr für neue Kunden zur Verfügung. Weitere Informationen finden Sie in unseren HÄUFIG gestellten Fragen.

Ihr Azure Active Directory B2C(Azure AD B2C)-Verzeichnisbenutzerprofil enthält eine Reihe integrierter Attribute, z. B. Vorname, Nachname, Ort, Postleitzahl und Telefonnummer. Sie können das Benutzerprofil mit Ihren eigenen Anwendungsdaten erweitern, ohne dass ein externer Datenspeicher erforderlich ist.

Die Microsoft Graph-API unterstützt die meisten Attribute, die Sie mit Azure verwenden können. Dieser Artikel beschreibt Benutzerprofilattribute, die Azure AD B2C unterstützt. Außerdem werden diese Attribute aufgeführt, die von Microsoft Graph nicht unterstützt werden, und Microsoft Graph-API-Attribute, die Azure AD B2C nicht verwenden sollten.

Von Bedeutung

Sie sollten keine integrierten oder Erweiterungsattribute verwenden, um vertrauliche personenbezogene Daten zu speichern, z. B. Kontoanmeldeinformationen, Staatliche Identifikationsnummern, Kartenhalterdaten, Finanzkontodaten, Gesundheitsinformationen oder vertrauliche Hintergrundinformationen.

Sie können auch in externe Systeme integriert werden. Sie können beispielsweise Azure AD B2C für die Authentifizierung verwenden, aber als autorisierende Quelle von Kundendaten an eine externe Customer Relationship Management (CRM) oder Kundenbindungsdatenbank delegieren. Weitere Informationen finden Sie unter Lösung für Remoteprofile.

Microsoft Entra-Benutzerressourcentyp

Das Azure AD B2C-Verzeichnisbenutzerprofil unterstützt die attribute des Benutzerressourcentyps , die in der folgenden Tabelle aufgeführt sind. Es gibt die folgenden Informationen zu den einzelnen Attributen:

  • Der von Azure AD B2C verwendete Attributnamen (gefolgt vom Microsoft Graph-Namen in Klammern, wenn abweichend)
  • Attributdatentyp
  • Attributbeschreibung
  • Gibt an, ob das Attribut im Azure-Portal verfügbar ist.
  • Gibt an, ob das Attribut in einem Benutzerablauf verwendet werden kann.
  • Gibt an, ob das Attribut in einem benutzerdefinierten Microsoft Entra ID-technischen Profil verwendet werden kann und in welchem Abschnitt (<InputClaims>, <OutputClaims> oder <PersistedClaims>)
Name Datentyp BESCHREIBUNG Verfügbar im Azure-Portal Wird in Benutzerabläufen verwendet Verwendet in benutzerdefinierter Richtlinie
Konto aktiviert Boolescher Typ (Boolean) Gibt an, ob das Benutzerkonto aktiviert oder deaktiviert ist: true , wenn das Konto aktiviert ist, andernfalls "false". Ja Nein Persistent, Ausgabe
Altersgruppe Schnur Die Altersgruppe des Benutzers. Mögliche Werte: null, Unbestimmt, Minderjährig, Erwachsen, NichtErwachsen. Ja Nein Persistent, Ausgabe
alternativeSecurityId (Identitäten) Schnur Eine einzelne Benutzeridentität vom externen Identitätsanbieter. Nein Nein Eingabe, Persistent, Ausgabe
alternativeSecurityIds (Identitäten) Sammlung alternativer Sicherheits-IDs Eine Sammlung von Benutzeridentitäten von externen Identitätsanbietern. Nein Nein Persistent, Ausgabe
Stadt Schnur Die Wohnsitzstadt des Benutzers. Max. Länge 128. Ja Ja Persistent, Ausgabe
consentProvidedForMinor Schnur Gibt an, ob die Zustimmung für einen Minderjährigen erteilt wurde. Zulässige Werte: null, erlaubt, verweigert oder nicht erforderlich. Ja Nein Persistent, Ausgabe
Staat Schnur Das Land/die Region des Wohnsitzes des Benutzers. Beispiel: USA oder Großbritannien. Max. Länge 128. Ja Ja Persistent, Ausgabe
createdDateTime Datum/Uhrzeit Das Datum, an dem das Benutzerobjekt erstellt wurde. Schreibgeschützt. Nein Nein Persistent, Ausgabe
creationType Schnur Wenn das Benutzerkonto als lokales Konto für einen Azure Active Directory B2C-Mandanten erstellt wurde, lautet der Wert "LocalAccount" oder "nameCoexistence". Schreibgeschützt. Nein Nein Persistent, Ausgabe
Geburtsdatum Datum Geburtsdatum. Nein Nein Persistent, Ausgabe
Abteilung Schnur Der Name für die Abteilung, in der der Benutzer arbeitet. Max. Länge 64. Ja Nein Persistent, Ausgabe
Anzeigename Schnur Der Anzeigename für die benutzende Person. Max. Länge 256. Ja Ja Persistent, Ausgabe
FaxTelefonnummer1 Schnur Die Telefonnummer des Geschäftlichen Faxgeräts des Benutzers. Ja Nein Persistent, Ausgabe
givenName Schnur Der Vorname (Vorname) des Benutzers. Max. Länge 64. Ja Ja Persistent, Ausgabe
Berufsbezeichnung Schnur Die Position des Benutzers. Max. Länge 128. Ja Ja Persistent, Ausgabe
immutableId Schnur Ein Bezeichner, der in der Regel für Benutzer verwendet wird, die aus lokalem Active Directory migriert wurden. Nein Nein Persistent, Ausgabe
legalAgeGroupKlassifizierung Schnur Klassifizierung der gesetzlichen Altersgruppe. Dieses Attribut ist schreibgeschützt und wird basierend auf den Eigenschaften „ageGroup“ und „consentProvidedForMinor“ berechnet. Zulässige Werte: „Null“, „minorWithOutParentalConsent“, „minorWithParentalConsent“, „minorNoParentalConsentRequired“, „notAdult“ und „adult“. Ja Nein Persistent, Ausgabe
legalLand1 Schnur Land/Region zu rechtlichen Zwecken. Nein Nein Persistent, Ausgabe
mailSpitzname Schnur Der E-Mail-Alias für den Benutzer. Max. Länge 64. Nein Nein Persistent, Ausgabe
mobil (Mobiltelefon) Schnur Die primäre Mobiltelefonnummer für den Benutzer. Max. Länge 64. Ja Nein Persistent, Ausgabe
netId Schnur Netz-ID. Nein Nein Persistent, Ausgabe
Objekt-ID Schnur Eine GUID (Globally Unique Identifier), die der eindeutige Bezeichner für den Benutzer ist. Beispiel: 12345678-9abc-def0-1234-56789abcde. Schreibgeschützt, unveränderlich. Nur Lesen Ja Eingabe, Persistent, Ausgabe
Sonstiges Zeichenfolgensammlung Eine Liste mit anderen E-Mail-Adressen für den Benutzer. Beispiel: ["bob@contoso.com", "Robert@fabrikam.com"]. HINWEIS: Akzentzeichen sind nicht zulässig. Ja (Alternative E-Mail-Adresse) Nein Persistent, Ausgabe
Kennwort Schnur Das Kennwort für das lokale Konto während der Benutzererstellung. Nein Nein Persistent
Passwortrichtlinien Schnur Passwortrichtlinie Es ist eine Zeichenfolge, die aus verschiedenen Richtliniennamen besteht, die durch Kommas getrennt sind. Beispiel: „DisablePasswordExpiration, DisableStrongPassword“. Nein Nein Persistent, Ausgabe
physicalDeliveryOfficeName (officeLocation) Schnur Der Bürostandort am Geschäftsort des Benutzers. Max. Länge 128. Ja Nein Persistent, Ausgabe
Postleitzahl Schnur Die Postleitzahl für die Postanschrift des Benutzers. Die Postleitzahl ist spezifisch für das Land/die Region des Benutzers. In den VEREINIGTEN Staaten von Amerika enthält dieses Attribut die Postleitzahl. Max. Länge 40. Ja Nein Persistent, Ausgabe
bevorzugteSprache Schnur Die bevorzugte Sprache für den Benutzer. Das bevorzugte Sprachformat basiert auf RFC 4646. Der Name ist eine Kombination aus einem der Sprache zugeordneten aus zwei Buchstaben bestehenden ISO 639-Kulturcode in Kleinbuchstaben und einem iso 3166-Unterkulturcode aus zwei Buchstaben, der dem Land oder der Region zugeordnet ist. Beispiel: en-USoder es-ES. Nein Nein Persistent, Ausgabe
refreshTokensValidFromDateTime (signInSessionsValidFromDateTime) Datum/Uhrzeit Alle vor diesem Zeitpunkt ausgegebenen Aktualisierungstoken sind ungültig, und Anwendungen erhalten eine Fehlermeldung, wenn Sie ein ungültiges Aktualisierungstoken zum Abrufen eines neuen Zugriffstokens verwenden. In diesem Fall muss die Anwendung ein neues Aktualisierungstoken erwerben, indem sie eine Anforderung an den autorisierten Endpunkt sendet. Schreibgeschützt. Nein Nein Ausgabe
signInNames (Identitäten) Schnur Der eindeutige Anmeldename der benutzenden Person des lokalen Kontos eines beliebigen Typs im Verzeichnis. Verwenden Sie dieses Attribut, um einen Benutzer mit Anmeldewert abzurufen, ohne den lokalen Kontotyp anzugeben. Nein Nein Eingabe
signInNames.userName (Identitäten) Schnur Der eindeutige Benutzername des lokalen Kontobenutzers im Verzeichnis. Verwenden Sie dieses Attribut, um einen Benutzer mit einem bestimmten Anmeldebenutzernamen zu erstellen oder abzurufen. Wenn Sie dieses Attribut in PersistedClaims allein während des Patchvorgangs angeben, werden andere Typen von signInNames entfernt. Wenn Sie einen neuen SignInNames-Typ hinzufügen möchten, müssen Sie auch vorhandene signInNames beibehalten. HINWEIS: Akzentzeichen sind im Benutzernamen nicht zulässig. Nein Nein Eingabe, Persistent, Ausgabe
signInNames.phoneNumber (Identitäten) Schnur Die eindeutige Telefonnummer des lokalen Kontobenutzers im Verzeichnis. Verwenden Sie dieses Attribut, um einen Benutzer mit einer bestimmten Anmeldenummer zu erstellen oder abzurufen. Wenn Sie dieses Attribut in PersistedClaims allein während des Patchvorgangs angeben, werden andere Typen von signInNames entfernt. Wenn Sie einen neuen SignInNames-Typ hinzufügen möchten, müssen Sie auch vorhandene signInNames beibehalten. Nein Nein Eingabe, Persistent, Ausgabe
signInNames.emailAddress (Identitäten) Schnur Die eindeutige E-Mail-Adresse des lokalen Kontobenutzers im Verzeichnis. Verwenden Sie dieses Attribut, um einen Benutzer mit einer bestimmten Anmelde-E-Mail-Adresse zu erstellen oder abzurufen. Wenn Sie dieses Attribut in PersistedClaims allein während des Patchvorgangs angeben, werden andere Typen von signInNames entfernt. Wenn Sie einen neuen SignInNames-Typ hinzufügen möchten, müssen Sie auch vorhandene signInNames beibehalten. Nein Nein Eingabe, Persistent, Ausgabe
Staat Schnur Der Staat oder die Provinz in der Adresse des Benutzers. Max. Länge 128. Ja Ja Persistent, Ausgabe
streetAddress Schnur Die Straße des Geschäftsorts des Benutzers. Maximale Länge 1024. Ja Ja Persistent, Ausgabe
strongAuthentication AlternativePhoneNumber1 Schnur Die sekundäre Telefonnummer des Benutzers, die für die mehrstufige Authentifizierung verwendet wird. Ja Nein Persistent, Ausgabe
strongAuthenticationEmail-Adresse1 Schnur Die SMTP-Adresse für den Benutzer. Beispiel: "bob@contoso.com" Dieses Attribut wird für die Anmeldung mit der Benutzernamenrichtlinie verwendet, um die E-Mail-Adresse des Benutzers zu speichern. Die E-Mail-Adresse wird dann in einem Kennwortzurücksetzungsflow verwendet. Akzentzeichen sind in diesem Attribut nicht zulässig. Ja Nein Persistent, Ausgabe
strongAuthenticationPhoneNumber2 Schnur Die primäre Telefonnummer des Benutzers, die für die mehrstufige Authentifizierung verwendet wird. Ja Nein Persistent, Ausgabe
Familienname Schnur Der Nachname des Benutzers (Familienname oder Nachname). Max. Länge 64. Ja Ja Persistent, Ausgabe
telephoneNumber (erster Eintrag von „businessPhones“) Schnur Die primäre Telefonnummer des Geschäftsorts des Benutzers. Ja Nein Persistent, Ausgabe
Benutzerprinzipalname Schnur Der Benutzerprinzipalname (User Principal Name, UPN) des Benutzers. Der UPN ist ein Anmeldename im Internetstil für den Benutzer basierend auf dem Internetstandard RFC 822. Die Domäne muss in der Sammlung der überprüften Domänen des Mandanten vorhanden sein. Diese Eigenschaft ist erforderlich, wenn ein Konto erstellt wird. Unveränderlich. Nein Nein Eingabe, Persistent, Ausgabe
VerwendungStandort Schnur Erforderlich für Benutzer, denen Lizenzen zugewiesen sind, aufgrund der gesetzlichen Anforderung, die Verfügbarkeit von Diensten in Ländern/Regionen zu überprüfen. Nicht nullfähig. Ein Code für Länder/Regionen mit zwei Buchstaben (ISO-Standard 3166). Beispiele: US, JP und GB. Ja Nein Persistent, Ausgabe
Benutzertyp Schnur Ein Zeichenfolgenwert, der zum Klassifizieren von Benutzertypen in Ihrem Verzeichnis verwendet werden kann. Der Wert muss „Member“ (Mitglied) lauten. Schreibgeschützt. Nur Lesen Nein Persistent, Ausgabe
Benutzerstatus (externerBenutzerstatus)3 Schnur Nur für Microsoft Entra B2B-Konto und es gibt an, ob die Einladung "PendingAcceptance" oder "Angenommen" lautet. Nein Nein Persistent, Ausgabe
userStateChangedOn (externalUserStateChangeDateTime)3 Datum/Uhrzeit Zeigt den Zeitstempel für die neueste Änderung an der UserState-Eigenschaft an. Nein Nein Persistent, Ausgabe

1 Von Microsoft Graph nicht unterstützt
2 Weitere Informationen finden Sie im Attribut "MFA-Telefonnummer"
3 Sollte nicht mit Azure AD B2C verwendet werden

Erforderliche Attribute

Um ein Benutzerkonto im Azure AD B2C-Verzeichnis zu erstellen, stellen Sie die folgenden erforderlichen Attribute bereit:

  • Anzeigename

  • Identitäten – Mit mindestens einer Entität (einem lokalen oder einem Verbundkonto).

  • Kennwortprofil– Wenn Sie ein lokales Konto erstellen, geben Sie das Kennwortprofil an.

Anzeigenamenattribut

Der displayName Name ist der Name, der in der Azure-Portalbenutzerverwaltung für den Benutzer angezeigt werden soll, und im Zugriffstoken, das Azure AD B2C an die Anwendung zurückgibt. Dieses Merkmal ist erforderlich.

Identitätsattribut

Ein Kundenkonto, das ein Verbraucher, Partner oder Bürger sein kann, kann diesen Identitätstypen zugeordnet werden:

  • Lokale Identität – Der Benutzername und das Kennwort werden lokal im Azure AD B2C-Verzeichnis gespeichert. Wir bezeichnen diese Identitäten häufig als "lokale Konten".
  • Verbundidentität – Auch bekannt als soziale oder Unternehmenskonten , die Identität des Benutzers wird von einem Verbundidentitätsanbieter wie Facebook, Microsoft, ADFS oder Salesforce verwaltet.

Ein Benutzer mit einem Kundenkonto kann sich mit mehreren Identitäten anmelden. Beispielsweise Benutzername, E-Mail, Mitarbeiter-ID, Regierungs-ID und andere. Ein einzelnes Konto kann mehrere Identitäten aufweisen, sowohl lokal als auch sozial, mit demselben Kennwort.

In der Microsoft Graph-API werden sowohl lokale als auch Verbundidentitäten im Benutzerattribute identities gespeichert, das vom Typ "objectIdentity" ist. Die identities Auflistung stellt eine Reihe von Identitäten dar, die zum Anmelden bei einem Benutzerkonto verwendet werden. Diese Sammlung ermöglicht es dem Benutzer, sich bei dem Benutzerkonto mit einer der zugehörigen Identitäten anzumelden. Das Attribut "identities" kann bis zu 10 objectIdentity-Objekte enthalten. Jedes Objekt enthält die folgenden Eigenschaften:

Name Typ BESCHREIBUNG
signInType Schnur Gibt die Benutzeranmeldungstypen in Ihrem Verzeichnis an. Für lokales Konto: emailAddress, , emailAddress1, emailAddress2, emailAddress3, userName, oder einen beliebigen anderen Typ, den Sie mögen. Das Konto für soziale Netzwerke muss auf federated festgelegt sein.
Emittent Schnur Gibt den Aussteller der Identität an. Bei lokalen Konten (bei denen signInType nicht federated ist) ist diese Eigenschaft der Standarddomänenname des lokalen B2C-Mandanten, z. B. contoso.onmicrosoft.com. Für soziale Identität (wobei signInType ist federated) ist der Wert der Name des Ausstellers, z. B. facebook.com
issuerAssignedId Schnur Gibt den eindeutigen Bezeichner an, der dem Benutzer vom Aussteller zugewiesen wird. Die Kombination aus issuer und issuerAssignedId muss innerhalb Ihres Mandanten eindeutig sein. Bei einem lokalen Konto stellt signInType den Anmeldenamen für den Benutzer dar, wenn signInType auf userName oder festgelegt ist.
Wenn signInType auf Folgendes festgelegt ist:
  • emailAddress (oder beginnt mit emailAddress wie emailAddress1) issuerAssignedId muss eine gültige E-Mail-Adresse sein
  • userName(oder ein anderer Wert), issuerAssignedId muss ein gültiger lokaler Teil einer E-Mail-Adresse sein.
  • federated, issuerAssignedId stellt den eindeutigen Bezeichner des Verbundkontos dar.

Der folgende JSON-Codeausschnitt zeigt das Attribut "Identities" , mit einer lokalen Kontoidentität mit einem Anmeldenamen, einer E-Mail-Adresse als Anmeldung und einer sozialen Identität.

"identities": [
  {
    "signInType": "userName",
    "issuer": "contoso.onmicrosoft.com",
    "issuerAssignedId": "johnsmith"
  },
  {
    "signInType": "emailAddress",
    "issuer": "contoso.onmicrosoft.com",
    "issuerAssignedId": "jsmith@yahoo.com"
  },
  {
    "signInType": "federated",
    "issuer": "facebook.com",
    "issuerAssignedId": "5eecb0cd"
  }
]

Bei Verbundidentitäten ist die issuerAssignedId abhängig vom Identitätsanbieter ein eindeutiger Wert für einen bestimmten Benutzer pro Anwendung oder Entwicklungskonto. Konfigurieren Sie die Azure AD B2C-Richtlinie mit derselben Anwendungs-ID, die der soziale Anbieter oder eine andere Anwendung innerhalb desselben Entwicklungskontos zuweist.

Kennwortprofileigenschaft

Für eine lokale Identität ist das passwordProfile-Attribut erforderlich und enthält das Kennwort des Benutzers. Das forceChangePasswordNextSignIn Attribut gibt an, ob ein Benutzer das Kennwort bei der nächsten Anmeldung zurücksetzen muss. Verwenden Sie zum Behandeln einer erzwungenen Kennwortzurücksetzung die Anweisungen zum Einrichten des Ablaufs für die erzwungene Kennwortzurücksetzung.

Für eine Verbundidentität (soziale Netzwerke) ist das passwordProfile-Attribut nicht erforderlich.

"passwordProfile" : {
    "password": "password-value",
    "forceChangePasswordNextSignIn": false
  }

Kennwortrichtlinienattribut

Die Azure AD B2C-Kennwortrichtlinie (für lokale Konten) basiert auf der Microsoft Entra ID-Richtlinie für sichere Kennwortstärke . Die Azure AD B2C-Richtlinien zur Registrierung, Anmeldung und Kennwortzurücksetzung erfordern sichere Kennwörter, die nicht ablaufen.

Wenn die zu migrierenden Konten in Benutzermigrationsszenarien schwächer sind als die von Azure AD B2C erzwungene starke Kennwortstärke , können Sie die Anforderung für sichere Kennwörter deaktivieren. Um die Standardkennwortrichtlinie zu ändern, legen Sie das passwordPolicies Attribut auf DisableStrongPassword. Sie können beispielsweise die erstellte Benutzeranforderung wie folgt ändern:

"passwordPolicies": "DisablePasswordExpiration, DisableStrongPassword"

MFA-Telefonnummer-Attribut

Bei Verwendung eines Telefons für die mehrstufige Authentifizierung (MFA) wird das Mobiltelefon verwendet, um die Benutzeridentität zu überprüfen. Wenn Sie eine neue Telefonnummer programmgesteuert hinzufügen, aktualisieren, abrufen oder löschen möchten, verwenden Sie die MS Graph-API-Telefonauthentifizierungsmethode.

In benutzerdefinierten Azure AD B2C-Richtlinien ist die Telefonnummer über strongAuthenticationPhoneNumber den Anspruchstyp verfügbar.

Erweiterungsattribute

Jede kundenorientierte Anwendung hat eindeutige Anforderungen für die gesammelten Informationen. Ihr Azure AD B2C-Mandant verfügt über einen integrierten Satz von Informationen, die in Eigenschaften gespeichert sind, z. B. "Vorname", "Nachname" und "Postleitzahl". Mit Azure AD B2C können Sie den Satz von Eigenschaften erweitern, die in jedem Kundenkonto gespeichert sind. Weitere Informationen finden Sie unter Hinzufügen von Benutzerattributen und Anpassen von Benutzereingaben in Azure Active Directory B2C

Erweiterungsattribute erweitern das Schema der Benutzerobjekte im Verzeichnis. Die Erweiterungsattribute können nur für ein Anwendungsobjekt registriert werden, obwohl sie Möglicherweise Daten für einen Benutzer enthalten. Das Erweiterungsattribut ist der Anwendung b2c-extensions-app zugeordnet. Ändern Sie diese Anwendung nicht, da sie von Azure AD B2C zum Speichern von Benutzerdaten verwendet wird. Sie finden diese Anwendung unter Microsoft Entra App-Registrierungen. Erfahren Sie mehr über Azure AD B2Cb2c-extensions-app.

Hinweis

  • Sie können bis zu 100 Erweiterungsattribute in ein beliebiges Benutzerkonto schreiben.
  • Wenn die Anwendung b2c-extensions-app gelöscht wird, werden diese Erweiterungsattribute zusammen mit den darin enthaltenen Daten von allen Benutzern entfernt.
  • Wenn ein Erweiterungsattribut von der Anwendung gelöscht wird, wird es aus allen Benutzerkonten entfernt, und die Werte werden gelöscht.

Erweiterungsattribute in der Microsoft Graph-API werden mithilfe der Konvention extension_ApplicationClientID_AttributeNamebenannt, wobei:

Die Anwendungs-ID (Client) , wenn sie zum Erstellen des Namens des Erweiterungsattributs verwendet wird, enthält keine Bindestriche. Beispiel:

"extension_831374b3bd5041bfaa54263ec9e050fc_loyaltyNumber": "212342"

Die folgenden Datentypen werden beim Definieren eines Attributs in einer Schemaerweiterung unterstützt:

Typ Bemerkungen
Boolescher Typ (Boolean) Mögliche Werte: wahr oder falsch.
Datum/Uhrzeit Muss im ISO 8601-Format angegeben werden. Der Wert wird in UTC gespeichert.
Ganze Zahl 32-Bit-Wert.
Schnur Maximal 256 Zeichen.

Weitere Informationen zu Erweiterungsattributen: