Configuración de la autenticación en una aplicación web de ejemplo que llama a una API web mediante Azure AD B2C

2025-05-07

Importante

A partir del 1 de mayo de 2025, Azure AD B2C ya no estará disponible para la compra por parte de nuevos clientes. Obtenga más información en nuestras preguntas más frecuentes.

En este artículo se usa un ejemplo ASP.NET aplicación web que llama a una API web para ilustrar cómo agregar la autenticación de Azure Active Directory B2C (Azure AD B2C) a las aplicaciones web.

Importante

El ejemplo ASP.NET aplicación web a la que se hace referencia en este artículo se usa para llamar a una API web con un token de portador. Para una aplicación web que no llama a una API web, consulte Configuración de la autenticación en una aplicación web de ejemplo mediante Azure AD B2C.

Información general

OpenID Connect (OIDC) es un protocolo de autenticación que se basa en OAuth 2.0. Puede usar OIDC para iniciar sesión de forma segura a un usuario en una aplicación. En este ejemplo de aplicación web se usa Microsoft Identity Web. Microsoft Identity Web es un conjunto de bibliotecas de ASP.NET Core que simplifican la adición de compatibilidad de autenticación y autorización a aplicaciones web que pueden llamar a una API web segura.

El flujo de inicio de sesión consta de los pasos siguientes:

El usuario va a la aplicación web y selecciona Iniciar sesión.
La aplicación inicia la solicitud de autenticación y redirige a los usuarios a Azure AD B2C.
Los usuarios se registran o inician sesión y restablecen la contraseña. También pueden iniciar sesión con una cuenta de red social.
Una vez que los usuarios inician sesión, Azure AD B2C devuelve un código de autorización a la aplicación.
A continuación, la aplicación hace lo siguiente:

a) Intercambia el código de autorización a un token de identificador, un token de acceso y un token de actualización.
b. Lee las notificaciones del token de identificador y conserva una cookie de autorización de aplicación.
c. Almacena el token de actualización en una caché en memoria para su uso posterior.

Introducción al registro de aplicaciones

Para que la aplicación pueda iniciar sesión con Azure AD B2C y llamar a una API web, registre dos aplicaciones en el directorio de Azure AD B2C.

El registro de la aplicación web permite que la aplicación inicie sesión con Azure AD B2C. Durante el registro, hay que especificar el URI de redirección. El URI de redirección es el punto de conexión al que Azure AD B2C redirige a los usuarios después de que se autentican en este servicio. El proceso de registro de la aplicación genera un identificador de aplicación, también conocido como identificador de cliente, que permite identificar de forma exclusiva la aplicación. También se crea un secreto de cliente, que la aplicación usa para obtener los tokens de forma segura.
El registro de API web permite que la aplicación llame a una API web segura. El registro incluye los ámbitos de la API web. Los ámbitos ofrecen una manera de administrar permisos para los recursos protegidos, como la API web. A la aplicación web se le conceden permisos para los ámbitos de la API web. Cuando se selecciona un token de acceso, la aplicación especifica los permisos que desea en el parámetro de ámbito de la solicitud.

En el siguiente diagrama se muestran los registros y la arquitectura de la aplicación:

Diagrama de una aplicación web con registros y tokens de llamadas de API web.

Llamada a una API web

Una vez completada la autenticación, los usuarios interactúan con la aplicación, que invoca una API web protegida. La API web usa la autenticación de token de portador. El token de portador es el token de acceso que la aplicación ha obtenido de Azure Active Directory B2C. La aplicación pasa el token en el encabezado de autorización de la solicitud HTTPS.

Authorization: Bearer <access token>

Si el ámbito del token de acceso no coincide con los ámbitos de la API web, la biblioteca de autenticación obtiene un nuevo token de acceso con los ámbitos correctos.

Cierre de sesión

El flujo de cierre de sesión consta de los siguientes pasos:

En la aplicación, los usuarios cierran sesión.
La aplicación borra sus objetos de sesión y la biblioteca de autenticación borra su caché de tokens.
La aplicación lleva a los usuarios al punto de conexión de cierre de sesión de Azure AD B2C para finalizar la sesión correspondiente a este.
Los usuarios se redirigen de nuevo a la aplicación.

Prerrequisitos

Un equipo que ejecuta cualquiera de los siguientes elementos:

Visual Studio
Visual Studio Code

Visual Studio 2022 17.0 o posterior con la carga de trabajo de desarrollo web y ASP.NET
SDK de .NET 6.0

Paso 1: Configuración del flujo de usuario

Cuando los usuarios intentan iniciar sesión en la aplicación, esta inicia una solicitud de autenticación para el punto de conexión de autorización mediante un flujo de usuario. El flujo de usuario define y controla la experiencia del usuario. Al completar los usuarios el flujo de usuario, Azure AD B2C genera un token y, después, redirige a los usuarios de vuelta a la aplicación.

Si aún no lo ha hecho, cree un flujo de usuario o una directiva personalizada. Repita los pasos para crear tres flujos de usuario independientes de la manera siguiente:

Un flujo de usuario combinado de inicio de sesión y registro, como susi. Este flujo de usuario también admite la experiencia ¿Olvidó su contraseña?.
Un flujo de usuario de edición de perfiles, como edit_profile.
Un flujo de usuario de restablecimiento de contraseña, como reset_password.

Azure AD B2C antepone el prefijo B2C_1_ al nombre del flujo de usuario. Por ejemplo, susi se convierte en B2C_1_susi.

Paso 2: Registrar aplicaciones web

En este paso, creará la aplicación web y el registro de la aplicación de API web y especificará los ámbitos de la API web.

Paso 2.1: Registro de la aplicación de API web

Siga estos pasos para crear el registro de aplicación de API web (Id. de aplicación: 2):

Inicie sesión en Azure Portal.
Asegúrese de que usa el directorio que contiene el inquilino de Azure AD B2C. Seleccione el icono Directorios y suscripciones en la barra de herramientas del portal.
En la página Configuración del portal | Directorios y suscripciones, busque el directorio de Azure AD B2C en la lista Nombre de directorio y seleccione Cambiar.
En Azure Portal, busque y seleccione Azure AD B2C.
Seleccione Registros de aplicaciones y luego Nuevo registro.
En Nombre, escriba un nombre para la aplicación (por ejemplo, my-api1). Deje los valores predeterminados para URI de redireccionamiento y Tipos de cuenta admitidos.
Seleccione Registrar.
Una vez completado el registro de la aplicación, seleccione Información general.
Anote el valor Id. de aplicación (cliente) para usarlo más adelante al configurar la aplicación web.

Paso 2.2: Configuración de ámbitos de aplicaciones de API web

Seleccione la aplicación my-api1 que creó (id. de aplicación: 2) para abrir la página Información general.
En Administrar, seleccione Exponer una API.
Junto a URI de id. de aplicación, seleccione el vínculo Establecer. Reemplace el valor predeterminado (GUID) por un nombre único (por ejemplo, tasks-api) y, luego, seleccione Guardar.

Cuando la aplicación web solicite un token de acceso para la API web, deberá agregar este URI como prefijo para cada ámbito que se defina para la API.
En Ámbitos definidos con esta API, seleccione Agregar un ámbito.
Para crear un ámbito que defina el acceso de lectura a la API, siga estos pasos:
1. Para Nombre de ámbito, escriba tasks.read.
2. Para Nombre para mostrar del consentimiento del administrador, escriba Acceso de lectura a la API de tareas.
3. Para Descripción del consentimiento del administrador, escriba Permite el acceso de lectura a la API de tareas.
Selecciona la opción Agregar un ámbito.
Seleccione Agregar un ámbito y agregue una opción que defina el acceso de escritura en la API:
1. Para Nombre de ámbito, escriba tasks.write.
2. Para Nombre para mostrar del consentimiento del administrador, escriba Acceso de escritura a la API de tareas.
3. Para Descripción del consentimiento del administrador, escriba Permite el acceso de escritura a la API de tareas.
Selecciona la opción Agregar un ámbito.

Paso 2.3: Registrar la aplicación web

Para crear el registro de la aplicación web, haga lo siguiente:

Seleccione Registros de aplicaciones y luego Nuevo registro.
En Nombre, escriba un nombre para la aplicación (por ejemplo, webapp1).
En Tipos de cuenta compatibles, seleccione Cuentas en cualquier proveedor de identidades o directorio de la organización (para autenticar usuarios con flujos de usuario).
En URI de redirección, seleccione Web y luego, en el cuadro Dirección URL, escriba https://localhost:5000/signin-oidc.
En Permisos, active la casilla Conceder consentimiento de administrador para openid y permisos de acceso sin conexión.
Seleccione Registrar.
Una vez completado el registro de la aplicación, seleccione Información general.
Anote el Id. de aplicación (cliente) para usarlo más adelante al configurar la aplicación web.

Paso 2.4: Creación de un secreto de cliente de aplicación web

Cree un secreto de cliente para la aplicación web registrada. La aplicación web usa el secreto de cliente para demostrar su identidad cuando solicita tokens.

En Administrar, seleccione Certificados y secretos.
Seleccione Nuevo secreto de cliente.
En el cuadro Descripción , escriba una descripción para el secreto de cliente (por ejemplo, clientsecret1).
En Expira, seleccione el tiempo durante el cual el secreto es válido y, a continuación, seleccione Agregar.
Registre el valor del secreto. Este valor se usará para la configuración en un paso posterior.

Paso 2.5: Concesión de permisos de aplicación web para la API web

Si desea conceder permisos a la aplicación (identificador de aplicación: 1), siga estos pasos:

Seleccione Registros de aplicaciones y, luego, la aplicación que creó (identificador de aplicación: 1).
En Administrar, seleccione Permisos de API.
En Permisos configurados, seleccione Agregar un permiso.
Seleccione la pestaña Mis API.
Seleccione la API (identificador de aplicación:2) a la que la aplicación web debe tener acceso. Por ejemplo, escriba my-api1.
En Permiso, expanda Tareas y, a continuación, seleccione los ámbitos que definió anteriormente; por ejemplo, tasks.read y tasks.write.
Seleccione Agregar permisos.
Seleccione Conceder consentimiento de administrador para <el nombre de inquilino>.
Seleccione Sí.
Seleccione Actualizar y compruebe que aparece Granted for... (Concedido para...) en Estado para ambos ámbitos.
En la lista Permisos configurados, seleccione el ámbito y copie el nombre completo del ámbito.

Paso 3: Obtención del ejemplo de aplicación web

Descargue el archivo ZIP o ejecute el siguiente comando de Bash para clonar la aplicación web de ejemplo desde GitHub.

git clone https://github.com/Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2

Extraiga el archivo de ejemplo en una carpeta donde la longitud total de la ruta de acceso sea de 260 o menos caracteres.

Paso 4: Configuración de la API web de ejemplo

En la carpeta de ejemplo, en la carpeta 4-WebApp-your-API/4-2-B2C/TodoListService, abra el proyecto TodoListService.csproj con Visual Studio o Visual Studio Code.

En la carpeta raíz del proyecto, abra el archivo appsettings.json. Este archivo contiene información sobre el proveedor de identidades de Azure AD B2C. La aplicación de API web usa esta información para validar el token de acceso que la aplicación web pasa como token de portador. Actualice las siguientes propiedades de la configuración de la aplicación:

Sección	Clave	Importancia
AzureAdB2C	Instancia	La primera parte del nombre de inquilino de Azure AD B2C. Por ejemplo: `https://contoso.b2clogin.com`.
AzureAdB2C	Dominio	Nombre completo del inquilino de Azure AD B2C. Por ejemplo: `contoso.onmicrosoft.com`.
AzureAdB2C	ClientId	El identificador de la aplicación de API web del paso 2.1.
AzureAdB2C	SignUpSignInPolicyId	Los flujos de usuario o la directiva personalizada que creó en el paso 1.

El archivo de configuración final debe ser similar al siguiente archivo JSON:

{
  "AzureAdB2C": {
    "Instance": "https://contoso.b2clogin.com",
    "Domain": "contoso.onmicrosoft.com",
    "ClientId": "<web-api-app-application-id>",
    "SignedOutCallbackPath": "/signout/<your-sign-up-in-policy>",
    "SignUpSignInPolicyId": "<your-sign-up-in-policy>"
  },
  // More settings here
}

Paso 4.1: Establecimiento de la directiva de permisos

La API web comprueba que el usuario se ha autenticado con el token de portador y que el token de portador tiene los ámbitos aceptados configurados. Si el token de portador no tiene ninguno de estos ámbitos aceptados, la API web devuelve el código de estado HTTP 403 (Prohibido) y escribe en el cuerpo de la respuesta un mensaje que indica qué ámbitos se esperan en el token.

Para configurar los ámbitos aceptados, abra la Controller/TodoListController.cs clase y establezca el nombre del ámbito, sin el URI completo.

[RequiredScope("tasks.read")]

Paso 4.2: Ejecución de la aplicación de API web de ejemplo

Para permitir que la aplicación web llame al ejemplo de API web, ejecute la API web siguiendo estos pasos:

Si se le pide que lo haga, restaure las dependencias.
Compile y ejecute el proyecto.
Una vez compilado el proyecto, Visual Studio o Visual Studio Code inician la API web en los exploradores con la siguiente dirección: https://localhost:44332.

Paso 5: Configuración de la aplicación web de ejemplo

En la carpeta de ejemplo, en la 4-WebApp-your-API/4-2-B2C/Client carpeta , abra el proyecto TodoListClient.csproj con Visual Studio o Visual Studio Code.

En la carpeta raíz del proyecto, abra el appsettings.json archivo. Este archivo contiene información sobre el proveedor de identidades de Azure AD B2C. La aplicación web usa esta información para establecer una relación de confianza con Azure AD B2C, iniciar y cerrar la sesión de los usuarios, adquirir tokens y validarlos. Actualice las siguientes propiedades de la configuración de la aplicación:

Sección	Clave	Importancia
AzureAdB2C	Instancia	Primera parte del nombre de inquilino de Azure AD B2C (por ejemplo, `https://contoso.b2clogin.com`).
AzureAdB2C	Dominio	El inquilino de Azure AD B2C completo nombre de inquilino (por ejemplo, `contoso.onmicrosoft.com`).
AzureAdB2C	ClientId	Identificador de aplicación web del paso 2.3.
AzureAdB2C	ClientSecret	Secreto de aplicación web del paso 2.4.
AzureAdB2C	SignUpSignInPolicyId	Los flujos de usuario o la directiva personalizada que creó en el paso 1.
Lista de tareas pendientes	TodoListScope	Los ámbitos de API web que creó en el paso 2.5.
Lista de tareas pendientes	TodoListBaseAddress	URI base de la API web (por ejemplo `https://localhost:44332`).

El archivo de configuración final debe tener un aspecto similar al siguiente JSON:

{
  "AzureAdB2C": {
    "Instance": "https://contoso.b2clogin.com",
    "Domain": "contoso.onmicrosoft.com",
    "ClientId": "<web-app-application-id>",
    "ClientSecret": "<web-app-application-secret>",  
    "SignedOutCallbackPath": "/signout/<your-sign-up-in-policy>",
    "SignUpSignInPolicyId": "<your-sign-up-in-policy>"
  },
  "TodoList": {
    "TodoListScope": "https://contoso.onmicrosoft.com/api/demo.read",
    "TodoListBaseAddress": "https://localhost:44332"
  }
}

Paso 6: Ejecución de la aplicación web de ejemplo

Compile y ejecute el proyecto.
Navegue a https://localhost:5000.
Complete el proceso de inicio de sesión o registro.

Después de autenticarse correctamente, verá su nombre de usuario en la barra de navegación. Para ver las notificaciones que devuelve el token de Azure AD B2C a la aplicación, seleccione TodoList.

Captura de pantalla de las notificaciones del token de aplicación web.

Despliega tu aplicación

En una aplicación de producción, el URI de redirección del registro de aplicaciones suele ser un punto de conexión accesible públicamente donde se ejecuta la aplicación, como https://contoso.com/signin-oidc.

Puede agregar y modificar los URI de redireccionamiento en las aplicaciones registradas en cualquier momento. Las siguientes restricciones se aplican a los URI de redireccionamiento:

La dirección URL de respuesta debe comenzar con el esquema https.
La dirección URL de respuesta distingue mayúsculas de minúsculas. Sus mayúsculas o minúsculas deben coincidir con las de la ruta de acceso de la dirección URL de la aplicación en ejecución.

Caché de tokens para una aplicación web

En el ejemplo de aplicación web se usa la serialización de caché de tokens en memoria. Esta implementación es excelente en ejemplos. También es bueno en las aplicaciones de producción, siempre que no le importe si se pierde la caché de tokens cuando se reinicia la aplicación web.

En el entorno de producción, se recomienda usar una caché de memoria distribuida. Por ejemplo, redis cache, NCache o una caché de SQL Server. Para más información sobre las implementaciones de caché de memoria distribuida, consulte Serialización de caché de tokens.

Pasos siguientes

Obtenga más información sobre el ejemplo de código.
Aprenda a habilitar la autenticación en su propia aplicación web mediante Azure AD B2C.
Obtenga información sobre cómo habilitar la autenticación en su propia API web.

Compartir a través de