Freigeben über

Einrichten der Registrierung für eine bestimmte Microsoft Entra-Organisation in Azure Active Directory B2C

Von Bedeutung

Ab dem 1. Mai 2025 steht Azure AD B2C nicht mehr für neue Kunden zur Verfügung. Weitere Informationen finden Sie in unseren HÄUFIG gestellten Fragen.

In diesem Artikel erfahren Sie, wie Sie die Anmeldung für Benutzer aus einer bestimmten Microsoft Entra-Organisation mithilfe eines Benutzerflusses in Azure AD B2C aktivieren.

Bevor Sie beginnen, verwenden Sie die Auswahl eines Richtlinientyps oben auf dieser Seite, um den Typ der Richtlinie auszuwählen, die Sie einrichten. Azure Active Directory B2C bietet zwei Methoden zum Definieren der Benutzerinteraktion mit Ihren Anwendungen: vordefinierte Benutzerflows oder vollständig konfigurierbare benutzerdefinierte Richtlinien. Die Schritte, die in diesem Artikel erforderlich sind, unterscheiden sich für jede Methode.

Hinweis

In Azure Active Directory B2C sind benutzerdefinierte Richtlinien in erster Linie für komplexe Szenarien konzipiert. Für die meisten Szenarien empfehlen wir die Verwendung von integrierten Benutzerflows. Informieren Sie sich, sofern noch nicht geschehen, unter Tutorial: Erstellen von Benutzerflows und benutzerdefinierten Richtlinien in Azure Active Directory B2C über das Starter Pack für benutzerdefinierte Richtlinien.

Voraussetzungen

Überprüfen der Herausgeberdomäne der Anwendung

Ab November 2020 werden neue Anwendungsregistrierungen in der Zustimmungsaufforderung des Benutzers als nicht überprüft angezeigt, es sei denn, die Herausgeberdomäne der Anwendung wurde überprüftund die Identität des Unternehmens mit dem Microsoft Partner Network überprüft und der Anwendung zugeordnet. (Weitere Informationen zu dieser Änderung.) Beachten Sie, dass für Azure AD B2C-Benutzerflüsse die Domäne des Herausgebers nur angezeigt wird, wenn sie ein Microsoft-Konto oder einen anderen Microsoft Entra-Mandanten als Identitätsanbieter verwenden. Gehen Sie wie folgt vor, um diese neuen Anforderungen zu erfüllen:

  1. Überprüfen Sie Ihre Unternehmensidentität mit Ihrem Microsoft Partner Network-Konto (MPN-Konto). Bei diesem Prozess werden Informationen zu Ihrem Unternehmen und zum primären Kontakt Ihres Unternehmens überprüft.
  2. Schließen Sie mithilfe einer der folgenden Optionen die Herausgeberüberprüfung ab, um Ihr MPN-Konto Ihrer App-Registrierung zuzuordnen:

Registrieren einer Microsoft Entra-App

Um die Anmeldung für Benutzer mit einem Microsoft Entra-Konto aus einer bestimmten Microsoft Entra-Organisation in Azure Active Directory B2C (Azure AD B2C) zu aktivieren, müssen Sie eine Anwendung im Azure-Portal erstellen. Weitere Informationen finden Sie unter Registrieren einer Anwendung bei Microsoft Identity Platform.

  1. Melden Sie sich beim Azure-Portal an.

  2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie im oberen Menü das Symbol "Einstellungen " aus, um im Menü "Verzeichnisse + Abonnements " zu Ihrem Microsoft Entra ID-Mandanten zu wechseln.

  3. Suchen Sie im Azure-Portal nach Microsoft Entra-ID, und wählen Sie sie aus.

  4. Wählen Sie im linken Menü unter "Verwalten" die Option "App-Registrierungen" aus.

  5. Wählen Sie + Neue Registrierung aus.

  6. Geben Sie einen Namen für Ihre Anwendung ein. Beispiel: Azure AD B2C App.

  7. Akzeptieren Sie die Standardauswahl von Konten in diesem Organisationsverzeichnis nur (nur Standardverzeichnis – einzelner Mandant) für diese Anwendung.

  8. Übernehmen Sie für den Umleitungs-URI den Wert von Web, und geben Sie die folgende URL in Kleinbuchstaben ein, wobei Sie your-B2C-tenant-name durch den Namen Ihres Azure AD B2C-Mandanten ersetzen.

    https://your-B2C-tenant-name.b2clogin.com/your-B2C-tenant-name.onmicrosoft.com/oauth2/authresp

    Beispiel: https://fabrikam.b2clogin.com/fabrikam.onmicrosoft.com/oauth2/authresp.

    Wenn Sie eine benutzerdefinierte Domäne verwenden, geben Sie die Zeichenfolge https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authrespein. Ersetzen Sie your-domain-name durch Ihre benutzerdefinierte Domäne, und your-tenant-name mit dem Namen Ihres Mandanten.

  9. Wählen Sie Registrieren aus. Notieren Sie die Anwendungs-ID (Client-ID) für die Verwendung in einem späteren Schritt.

  10. Wählen Sie Zertifikate und geheime Schlüssel und dann "Neuer geheimer Clientschlüssel" aus.

  11. Geben Sie eine Beschreibung für das Geheimnis ein, wählen Sie ein Ablaufdatum aus, und wählen Sie dann Hinzufügen aus. Notieren Sie den Wert des geheimen Schlüssels für die Verwendung in einem späteren Schritt.

Microsoft Entra ID als Identitätsanbieter konfigurieren

  1. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben aus, um über das Menü Verzeichnisse + Abonnements zu Ihrem Azure AD B2C-Mandanten zu wechseln.

  2. Wählen Sie "Alle Dienste " in der oberen linken Ecke des Azure-Portals aus, und suchen Sie dann nach Azure AD B2C, und wählen Sie sie aus.

  3. Wählen Sie "Identitätsanbieter" und dann " Neuer OpenID Connect-Anbieter" aus.

  4. Geben Sie einen Namen ein. Geben Sie beispielsweise contoso Microsoft Entra-ID ein.

  5. Geben Sie für die Metadaten-URL die folgende URL ein, indem Sie {tenant} durch den Domänennamen Ihres Microsoft Entra-Mandanten ersetzen:

    https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid-configuration

Beispiel: https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0/.well-known/openid-configuration. Wenn Sie eine benutzerdefinierte Domäne verwenden, ersetzen Sie contoso.com durch Ihre benutzerdefinierte Domäne in https://login.microsoftonline.com/contoso.com/v2.0/.well-known/openid-configuration.

  1. Geben Sie für Client-ID die zuvor notierte Anwendungs-ID ein.

  2. Geben Sie für den geheimen Clientschlüssel den geheimen Clientschlüsselwert ein, den Sie zuvor aufgezeichnet haben.

  3. Geben Sie für "Bereich" die Zeichenfolge openid profileein.

  4. Behalten Sie die Standardwerte für den Antworttyp und den Antwortmodus bei.

  5. (Optional) Geben Sie für den Domänenhinweis die Zeichenfolge contoso.comein. Weitere Informationen finden Sie unter Einrichten einer direkten Anmeldung mit Azure Active Directory B2C.

  6. Wählen Sie unter "Anspruchszuordnung des Identitätsanbieters" die folgenden Ansprüche aus:

    • Benutzer-ID: oid
    • Anzeigename: Name
    • Vorname: given_name
    • Nachname: family_name
    • E-Mail: E-Mail

  7. Wählen Sie Speichern aus.

Hinzufügen eines Microsoft Entra-Identitätsanbieters zu einem Benutzerablauf

Zu diesem Zeitpunkt wurde der Microsoft Entra-Identitätsanbieter eingerichtet, ist aber noch nicht auf einer der Anmeldeseiten verfügbar. So fügen Sie den Microsoft Entra-Identitätsanbieter zu einem Benutzerablauf hinzu:

  1. Wählen Sie in Ihrem Azure AD B2C-Mandanten Benutzerflüsse aus.
  2. Klicken Sie auf den Benutzerfluss, den Sie dem Microsoft Entra-Identitätsanbieter hinzufügen möchten.
  3. Wählen Sie unter "Einstellungen" die Option "Identitätsanbieter" aus.
  4. Wählen Sie unter "Benutzerdefinierte Identitätsanbieter" die Option "Contoso Microsoft Entra-ID" aus.
  5. Wählen Sie Speichern aus.
  6. Um Ihre Richtlinie zu testen, wählen Sie "Benutzerablauf ausführen" aus.
  7. Wählen Sie für "Anwendung" eine Webanwendung aus, die Sie zuvor registriert haben. Als Antwort-URL sollte https://jwt.ms angezeigt werden.
  8. Wählen Sie die Schaltfläche " Benutzerfluss ausführen " aus.
  9. Wählen Sie auf der Anmeldeseite oder der Seite zur Anmeldung Contoso Microsoft Entra ID aus, um sich mit dem Microsoft Entra Contoso-Konto anzumelden.

Wenn der Anmeldevorgang erfolgreich ist, wird Ihr Browser zu https://jwt.ms umgeleitet, wo der Inhalt des von Azure AD B2C zurückgegebenen Tokens angezeigt wird.

Erstellen eines Richtlinienschlüssels

Sie müssen den Anwendungsschlüssel speichern, den Sie in Ihrem Azure AD B2C-Mandanten erstellt haben.

  1. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben aus, um über das Menü Verzeichnisse + Abonnements zu Ihrem Azure AD B2C-Mandanten zu wechseln.
  2. Wählen Sie "Alle Dienste " in der oberen linken Ecke des Azure-Portals aus, und suchen Sie dann nach Azure AD B2C, und wählen Sie sie aus.
  3. Wählen Sie unter "Richtlinien" die Option "Identity Experience Framework" aus.
  4. Wählen Sie "Richtlinienschlüssel " und dann "Hinzufügen" aus.
  5. Wählen Sie unter "Optionen" die Option Manualaus.
  6. Geben Sie einen Namen für den Richtlinienschlüssel ein. Beispiel: ContosoAppSecret. Das Präfix B2C_1A_ wird automatisch zum Namen Ihres Schlüssels hinzugefügt, wenn er erstellt wird. Der Verweis im XML-Code im folgenden Abschnitt ist also das B2C_1A_ContosoAppSecret.
  7. Geben Sie in "Geheim" Ihren geheimen Clientschlüsselwert ein, den Sie zuvor aufgezeichnet haben.
  8. Wählen Sie für die Schlüsselverwendung die Option Signatureaus.
  9. Wählen Sie "Erstellen" aus.

Microsoft Entra ID als Identitätsanbieter konfigurieren

Damit sich Benutzer mit einem Microsoft Entra-Konto anmelden können, müssen Sie Die Microsoft Entra-ID als Anspruchsanbieter definieren, mit dem Azure AD B2C über einen Endpunkt kommunizieren kann. Der Endpunkt stellt eine Reihe von Ansprüchen bereit, die von Azure AD B2C verwendet werden, um zu überprüfen, ob ein bestimmter Benutzer authentifiziert wurde.

Sie können Microsoft Entra-ID als Anspruchsanbieter definieren, indem Sie microsoft Entra-ID zum ClaimsProvider-Element in der Erweiterungsdatei Ihrer Richtlinie hinzufügen.

  1. Öffnen Sie die TrustFrameworkExtensions.xml Datei.

  2. Suchen Sie das ClaimsProviders-Element . Wenn sie nicht vorhanden ist, fügen Sie es unter dem Stammelement hinzu.

  3. Fügen Sie einen neuen ClaimsProvider wie folgt hinzu:

    <ClaimsProvider>
  <Domain>Contoso</Domain>
  <DisplayName>Login using Contoso</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="AADContoso-OpenIdConnect">
      <DisplayName>Contoso Employee</DisplayName>
      <Description>Login with your Contoso account</Description>
      <Protocol Name="OpenIdConnect"/>
      <Metadata>
        <Item Key="METADATA">https://login.microsoftonline.com/tenant-name.onmicrosoft.com/v2.0/.well-known/openid-configuration</Item>
        <Item Key="client_id">00001111-aaaa-2222-bbbb-3333cccc4444</Item>
        <Item Key="response_types">code</Item>
        <Item Key="scope">openid profile</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_ContosoAppSecret"/>
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid"/>
        <OutputClaim ClaimTypeReferenceId="tenantId" PartnerClaimType="tid"/>
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName"/>
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName"/>
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId"/>
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId"/>
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin"/>
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

  4. Aktualisieren Sie unter dem ClaimsProvider-Element den Wert für Domäne auf einen eindeutigen Wert, der verwendet werden kann, um ihn von anderen Identitätsanbietern zu unterscheiden. Beispiel: Contoso. Sie fügen .com nicht am Ende dieser Domain-Einstellung hinzu.

  5. Aktualisieren Sie unter dem Element ClaimsProvider den Wert für DisplayName in einen Anzeigenamen für den Anspruchsanbieter. Dieser Wert wird derzeit nicht verwendet.

Aktualisieren des technischen Profils

Um ein Token vom Microsoft Entra-Endpunkt abzurufen, müssen Sie die Protokolle definieren, die Azure AD B2C für die Kommunikation mit Microsoft Entra-ID verwenden soll. Dies erfolgt innerhalb des TechnicalProfile-Elements von ClaimsProvider.

  1. Aktualisieren Sie die ID des TechnicalProfile-Elements . Diese ID wird verwendet, um von anderen Teilen der Richtlinie auf dieses technische Profil zu verweisen, zum Beispiel AADContoso-OpenIdConnect.
  2. Aktualisieren Sie den Wert für DisplayName. Dieser Wert wird auf der Anmeldeschaltfläche auf dem Anmeldebildschirm angezeigt.
  3. Aktualisieren Sie den Wert für "Description".
  4. Microsoft Entra ID verwendet das OpenID Connect-Protokoll. Stellen Sie daher sicher, dass der Wert für Protokoll lautet OpenIdConnect.
  5. Legen Sie den Wert der METADATEN auf https://login.microsoftonline.com/tenant-name.onmicrosoft.com/v2.0/.well-known/openid-configuration, wobei tenant-name der Name Ihres Microsoft Entra-Mandanten ist. Beispiel: https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0/.well-known/openid-configuration
  6. Legen Sie client_id auf die Anwendungs-ID aus der Anwendungsregistrierung fest.
  7. Aktualisieren Sie unter CryptographicKeys den Wert von StorageReferenceId auf den Namen des zuvor erstellten Richtlinienschlüssels. Beispiel: B2C_1A_ContosoAppSecret.

Hinzufügen einer Benutzerreise

Der Identitätsanbieter wurde nun eingerichtet, aber er ist noch auf keiner der Anmeldeseiten verfügbar. Wenn Sie nicht über eine eigene benutzerdefinierte Benutzerreise verfügen, erstellen Sie ein Duplikat einer vorhandenen Benutzerreise für Vorlagen, andernfalls fahren Sie mit dem nächsten Schritt fort.

  1. Öffnen Sie die TrustFrameworkBase.xml Datei aus dem Startpaket.
  2. Suchen und kopieren Sie den gesamten Inhalt des UserJourney-Elements, das Id="SignUpOrSignIn" enthält.
  3. Öffnen Sie die TrustFrameworkExtensions.xml und suchen Sie das UserJourneys-Element. Wenn das Element nicht vorhanden ist, fügen Sie eins hinzu.
  4. Fügen Sie den gesamten Inhalt des UserJourney-Elements ein, das Sie als untergeordnetes Element des UserJourneys-Elements kopiert haben .
  5. Benennen Sie die ID der User Journey um. Beispiel: Id="CustomSignUpSignIn".

Fügen Sie den Identitätsanbieter zu einem Benutzerablauf hinzu

Nachdem Sie nun über eine Benutzerreise verfügen, fügen Sie den neuen Identitätsanbieter zur Benutzerreise hinzu. Sie fügen zuerst eine Anmeldeschaltfläche hinzu und verknüpfen dann die Schaltfläche mit einer Aktion. Die Aktion ist das technische Profil, das Sie zuvor erstellt haben.

  1. Suchen Sie nach dem Orchestrierungsschrittelement, das Type="CombinedSignInAndSignUp" enthält, oder Type="ClaimsProviderSelection" in der User Journey. Es ist in der Regel der erste Orchestrierungsschritt. Das ClaimsProviderSelections-Element enthält eine Liste von Identitätsanbietern, mit denen sich ein Benutzer anmelden kann. Die Reihenfolge der Elemente steuert die Reihenfolge der Anmeldeschaltflächen, die dem Benutzer angezeigt werden. Fügen Sie ein ClaimsProviderSelection-XML-Element hinzu. Setzen Sie den Wert von TargetClaimsExchangeId auf einen freundlichen Namen.

  2. Fügen Sie im nächsten Orchestrierungsschritt ein ClaimsExchange-Element hinzu. Legen Sie die ID auf den Wert der Zielansprücheaustausch-ID fest. Aktualisieren Sie den Wert von TechnicalProfileReferenceId auf die ID des zuvor erstellten technischen Profils.

Der folgende XML-Code veranschaulicht die ersten beiden Orchestrierungsschritte einer Benutzerreise mit dem Identitätsanbieter:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="AzureADContosoExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="AzureADContosoExchange" TechnicalProfileReferenceId="AADContoso-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Konfigurieren einer Richtlinie für die vertrauende Seite

Die Richtlinie der vertrauenden Seite, z. B. SignUpSignIn.xml, gibt die Benutzerreise an, die Azure AD B2C ausführt. Suchen Sie das DefaultUserJourney-Element in Vertrauende Seite. Aktualisieren Sie die ReferenceId so, dass sie mit der Benutzerreise-ID übereinstimmt, in der Sie den Identitätsanbieter hinzugefügt haben.

Im folgenden Beispiel wird die CustomSignUpSignIn für die User Journey auf CustomSignUpSignIn festgelegt:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Hochladen der benutzerdefinierten Richtlinie

  1. Melden Sie sich beim Azure-Portal an.
  2. Wählen Sie auf der Portalsymbolleiste das Symbol "Verzeichnis + Abonnement " und dann das Verzeichnis aus, das Ihren Azure AD B2C-Mandanten enthält.
  3. Suchen Sie im Azure-Portal nach Azure AD B2C, und wählen Sie diese Option dann aus.
  4. Wählen Sie unter "Richtlinien" die Option "Identity Experience Framework" aus.
  5. Wählen Sie Benutzerdefinierte Richtlinie hochladen aus, und laden Sie dann die beiden geänderten Richtliniendateien in der folgenden Reihenfolge hoch: zuerst die Erweiterungsrichtlinie, zum Beispiel TrustFrameworkExtensions.xml, und dann die Richtlinie der vertrauenden Seite, zum Beispiel SignUpSignIn.xml.

Testen der benutzerdefinierten Richtlinie

  1. Wählen Sie die Richtliniendatei für die vertrauende Seite aus, z. B. B2C_1A_signup_signin.
  2. Wählen Sie für "Anwendung" eine Webanwendung aus, die Sie zuvor registriert haben. Als Antwort-URL sollte https://jwt.ms angezeigt werden.
  3. Wählen Sie die Schaltfläche " Jetzt ausführen " aus.
  4. Wählen Sie auf der Registrierungs- oder Anmeldeseite Contoso-Mitarbeiter aus, um sich mit dem Microsoft Entra Contoso-Konto anzumelden.

Wenn der Anmeldevorgang erfolgreich ist, wird Ihr Browser zu https://jwt.ms umgeleitet, wo der Inhalt des von Azure AD B2C zurückgegebenen Tokens angezeigt wird.

[Optional] Konfigurieren optionaler Ansprüche

Wenn Sie die Ansprüche family_name und given_name von Microsoft Entra ID erhalten möchten, können Sie optionale Ansprüche für Ihre Anwendung im Azure-Portal oder im Anwendungsmanifest konfigurieren. Weitere Informationen finden Sie unter Bereitstellen optionaler Ansprüche für Ihre Microsoft Entra-App.

  1. Melden Sie sich mit Ihrem Microsoft Entra-Mandanten ihrer Organisation beim Azure-Portal an. Wenn Sie bereits angemeldet sind, stellen Sie sicher, dass Sie das Verzeichnis verwenden, das Ihren Microsoft Entra-Organisationsmandanten (z. B. Contoso) enthält:
    1. Wählen Sie auf der Symbolleiste des Portals das Symbol Verzeichnisse und Abonnements aus.
    2. In den Portaleinstellungen | Seite "Verzeichnisse + Abonnements ", suchen Sie Ihr Microsoft Entra-Verzeichnis in der Verzeichnisnamenliste , und wählen Sie dann "Wechseln" aus.
  2. Suchen Sie im Azure-Portal nach Microsoft Entra-ID, und wählen Sie sie aus.
  3. Wählen Sie im linken Menü unter "Verwalten" die Option "App-Registrierungen" aus.
  4. Wählen Sie die Anwendung aus, für die Sie optionale Ansprüche in der Liste konfigurieren möchten, wie z. B. Azure AD B2C App.
  5. Wählen Sie im Abschnitt "Verwalten " die Option "Tokenkonfiguration" aus.
  6. Wählen Sie "Optionalen Anspruch hinzufügen" aus.
  7. Wählen Sie für den Tokentypdie ID aus.
  8. Wählen Sie die optionalen Ansprüche aus, die hinzugefügt werden sollen, family_name und given_name.
  9. Wählen Sie Hinzufügen aus. Wenn Aktivierung der Microsoft Graph-Profilberechtigung (notwendig, damit Ansprüche im Token sichtbar werden) erscheint, aktivieren Sie sie, und wählen Sie dann erneut Hinzufügen aus.

[Optional] Überprüfen der Echtheit Ihrer App

Die Publisher-Überprüfung hilft Ihren Benutzern, die Authentizität der app zu verstehen, die Sie registriert haben. Eine überprüfte App bedeutet, dass der Herausgeber der App seine Identität mithilfe des Microsoft Partner Network (MPN) überprüft hat. Informieren Sie sich darüber, wie Sie Ihre App als durch den Herausgeber verifiziert markieren.

Nächste Schritte

Erfahren Sie, wie Sie das Microsoft Entra-Token an Ihre Anwendung übergeben.