Planen von Kundenidentitäts- und Zugriffsverwaltung

Gilt für: Grüner Kreis mit einem weißen Häkchensymbol, das angibt, dass der folgende Inhalt für externe Mandanten gilt. Externe Mandanten (weitere Informationen)

Microsoft Entra External ID fügt Ihrer App auf der Microsoft Entra-Plattform Kundenidentitäts- und Zugriffsverwaltung (CIAM) hinzu, sodass Sie eine konsistente App-Integration, Mandantenverwaltung und -vorgänge über Mitarbeiter- und Kundenszenarien hinweg erhalten.

Dieser Artikel ist ein Entscheidungsleitfaden für die sechs Planungsschritte. In jedem Abschnitt werden die wichtigsten Auswahlmöglichkeiten und Links zu den kanonischen Vorgehensweisen und Referenzdokumenten zusammengefasst.

Diagramm mit den sechs Einrichtungsschritten als horizontaler Fluss: Erstellen eines externen Mandanten, Auswählen eines Authentifizierungsansatzes, Registrieren Ihrer Anwendung, Integrieren eines Anmeldeflusses, Sichern Ihrer Anmeldung und Anpassen Ihrer Anmeldung.

Springen Sie zu einem Schritt für Details, oder wechseln Sie direkt zu den Anleitungen.

Schritt Anleitungen
Schritt 1: Erstellen eines externen Mandanten • Erstellen Sie einen externen Mandanten
• Oder starten Sie eine kostenlose Testversion
Schritt 2: Auswählen eines Authentifizierungsansatzes • Auswählen eines Authentifizierungsansatzes
Schritt 3: Registrieren Ihrer Anwendung • Anwendung registrieren
Schritt 4: Integrieren eines Anmeldeflusses in Ihre App • Benutzerflow erstellen
• App zum Benutzerflow hinzufügen
Schritt 5: Sichern Ihrer Anmeldung • Hinzufügen von mehrstufiger Authentifizierung (MFA)
• Überprüfung der Sicherheit und Governance
• Integration von Bot-Schutzvon Drittanbietern(native Authentifizierung)
• Integrieren des ATO-Schutzesvon Drittanbietern(native Authentifizierung)
Schritt 6: Anpassen Der Anmeldung • Anpassen von Branding(browserdelegiert)
• Verwenden einer benutzerdefinierten URL-Domäne
• Hinzufügen von benutzerdefinierten Authentifizierungserweiterungen

Schritt 1: Erstellen eines externen Mandanten

Diagramm, das den Einrichtungsablauf zeigt, wobei Schritt 1, einen externen Mandanten erstellen, hervorgehoben ist.

Ihr externer Mandant ist die Ressource, in der Sie Apps registrieren und Kundenidentitäten verwalten, getrennt von Ihrem Mitarbeitermandanten. Wenn Sie es erstellen, wählen Sie den geografischen Standort und den Domänennamen aus. Wenn Sie derzeit Azure AD B2C verwenden, sind Ihre vorhandenen B2C-Mandanten nicht betroffen. Siehe Planen der Migration von Azure AD B2C zu externer ID.

Von Bedeutung

Ab dem 1. Mai 2025 ist Azure Active Directory B2C (Azure AD B2C) nicht mehr für neue Kunden zum Kauf verfügbar. Weitere Informationen finden Sie unter Is Azure AD B2C weiterhin zum Kauf verfügbar? in unseren FAQ.

Das Verzeichnis enthält sowohl Administratorkonten als auch Kundenkonten. Kunden registrieren sich in der Regel selbst; Sie können auch lokale Konten erstellen. Kundenkonten verfügen über einen eingeschränkten Standardberechtigungssatz und können keine anderen Benutzer, Gruppen oder Geräte sehen.

So erstellen Sie einen externen Mandanten

Schritt 2: Auswählen eines Authentifizierungsansatzes

Diagramm mit dem Setupablauf mit Schritt 2, Auswählen eines Authentifizierungsansatzes, hervorgehoben.

Entscheiden Sie, wie Sie die Anmeldeoberfläche erstellen, bevor Sie Ihre App registrieren. Diese Auswahl steuert den Rest Ihrer Integration.

  • Browserdelegierte Authentifizierung – Microsoft hostet die Anmeldeseite; Ihre App leitet Benutzer dorthin um. Umfassende Plattformunterstützung, Systembrowser-SSO, niedrigere Wartung.
  • Native Authentifizierung – Ihre App hostet die Anmeldebenutzeroberfläche und ruft MSAL oder die systemeigene Authentifizierungs-API direkt auf. Vollständige Ui-Kontrolle, mehr Entwicklungs- und Sicherheitsverantwortung.

So wählen Sie einen Authentifizierungsansatz aus

Schritt 3: Registrieren Ihrer Anwendung

Diagramm mit dem Setupablauf mit Schritt 3, Registrieren Der Anwendung, hervorgehoben.

Registrieren Sie Ihre App in Ihrem externen Mandanten, um eine Vertrauensstellung mit Microsoft Entra ID einzurichten. Die von Ihnen konfigurierten Einstellungen hängen von dem Authentifizierungsansatz ab, den Sie in Schritt 2 ausgewählt haben:

Konfiguration Browser-delegiert Native Authentifizierung
Umleitungs-URI Erforderlich (muss mit dem Anmelde-Callback Ihrer App übereinstimmen) Nur als Web-Fallback erforderlich
Öffentliche Clientflüsse Nicht erforderlich Enabled
Native Authentifizierung Nicht erforderlich Enabled

Nachdem Sie die App registriert haben, aktualisieren Sie Ihren Code mit der Anwendungs-ID (Client-ID), der Mandantenunterdomäne und, falls zutreffend, dem Clientgeheimnis.

Wie Sie Ihre Anwendung registrieren

Schritt 4: Integrieren eines Anmeldeflusses in Ihre App

Diagramm mit dem Setupfluss mit Schritt 4, Integrieren eines Anmeldeflusses in Ihre App, hervorgehoben.

Erstellen Sie einen Registrierungs- und Anmeldebenutzerablauf, der die Anmeldemethoden, Attribute zum Sammeln und Identitätsanbieter für Ihre App definiert. Sie erstellen den Benutzerfluss auf die gleiche Weise für beide Authentifizierungsansätze; Der Unterschied besteht darin, wie Ihre App sie zur Laufzeit steuert:

Browser-delegiert Native Authentifizierung
Laufzeitverhalten Die App leitet zur Microsoft gehosteten Anmeldeseite um. Die App ruft MSAL native Authentifizierungs-APIs aus Ihrer eigenen Benutzeroberfläche auf.
Unterstützte App-Typen Web, SPA, Mobil, Daemon Mobil, SPA
Anbieter für föderierte Identitäten (soziale Netzwerke, externe IdPs) Unterstützt Nicht unterstützt – verwenden Sie falls erforderlich die browserdelegierte Authentifizierung
Unternehmensbranding Gilt für Microsoft gehostete Seiten Verwaltet in der Benutzeroberfläche/Lokalisierung Ihrer App
Attributensammlung Im Benutzerfluss konfiguriert Im Benutzerablauf konfiguriert; übermittelt über den MSAL-Benutzerattribute-Generator

Planen des Benutzerablaufs

  • Anzahl der Benutzerflüsse. Jede App verwendet einen Benutzerfluss. Sie können einen Ablauf appübergreifend freigeben oder bis zu 10 pro Mandant für unterschiedliche Nutzererfahrungen erstellen.
  • Zu erfassende Attribute. Entscheiden Sie, welche integrierten Attribute Sie benötigen und ob Sie benutzerdefinierte Attribute benötigen.
  • Zustimmung zu den Geschäftsbedingungen. Verwenden Sie benutzerdefinierte Attribute, um die Zustimmung mit Links zu Ihren Bestimmungen und Datenschutzrichtlinien zu erfassen.
  • Tokenansprüche.Fügen Sie dem Token erforderliche Attribute hinzu , wenn Ihre App davon abhängt.
  • Anmeldemethoden. Lokale Konten (E-Mail OTP, E-Mail + Kennwort) funktionieren mit beiden Ansätzen. Verbundanbieter (Google, Facebook, Apple, ein anderer Microsoft Entra Mandant, benutzerdefinierte OIDC) erfordern browserdelegierte Authentifizierung.

Wie man einen Benutzerfluss in Ihre App integriert

Schritt 5: Sichern Ihrer Anmeldung

Diagramm mit dem Setupablauf mit Schritt 5, Sichern Sie Ihre Anmeldung, hervorgehoben.

Jede kundenorientierte App benötigt MFA und eine grundlegende Sicherheitsüberprüfung. Apps mit nativer Authentifizierung erfordern zusätzlichen Aufwand: Da Ihre App die nach außen exponierte Anmeldeoberfläche ist, sollten Sie ihr eine Web Application Firewall (WAF) vorschalten. Vom Browser delegierte Apps profitieren auf den gehosteten Anmeldeseiten von Microsofts Schutzmaßnahmen auf Plattformebene.

Schritt 6: Anpassen Der Anmeldung

Diagramm mit dem Setupablauf mit Schritt 6, Anpassen der Anmeldung, hervorgehoben.

Passen Sie das Erscheinungsbild der Anmeldung an und erweitern Sie es um Ihre eigene Geschäftslogik. Bei der nativen Authentifizierung verwaltet Ihre App die Benutzeroberfläche selbst, daher gilt das Feature für Unternehmensbranding von Microsoft Entra nicht – verwalten Sie visuelle Elemente und die Lokalisierung im Code Ihrer App.

  • Branding anpassen(nur browserdelegiert). Wenden Sie Ihre Logo-, Farben- und Sprachzeichenfolgen auf die Microsoft gehosteten Anmeldeseiten an. Siehe Anpassen des Erscheinungsbilds der Anmeldung.
  • Verwenden Sie eine benutzerdefinierte URL-Domäne. Ersetzen Sie den Standardhost ciamlogin.com durch Ihre eigene Domäne. Außerdem eine Voraussetzung für den systemeigenen Authentifizierungs-Bot/ATO-Schutz in Schritt 5. Siehe benutzerdefinierte URL-Domäne.
  • Fügen Sie benutzerdefinierte Authentifizierungserweiterungen hinzu. Erweitern Sie den Fluss mit serverseitiger Logik. Erweiterungen zur Token-Ausstellung funktionieren mit beiden Ansätzen; Erweiterungen zur Attributerfassung sind nur browserdelegiert. Siehe benutzerdefinierte Authentifizierungserweiterungen.

Nächste Schritte

  • Last updated on