Configuración del registro y del inicio de sesión con Mobile ID - Azure AD B2C

Artículo
06/01/2023

Antes de comenzar, use el selector Elección de un tipo de directiva para elegir el tipo de directiva que va a configurar. Azure Active Directory B2C ofrece dos métodos para definir el modo en que los usuarios interactúan con las aplicaciones: por medio de flujos de usuario predefinidos o de directivas personalizadas totalmente configurables. Los pasos necesarios en este artículo son diferentes para cada método.

En este artículo, descubrirá cómo proporcionar el registro y el inicio de sesión a los clientes con Mobile ID en las aplicaciones mediante Azure Active Directory B2C (Azure AD B2C). La solución de Mobile ID protege el acceso a los datos y las aplicaciones de la empresa con una solución integral de un extremo a otro para ofrecer una autenticación multifactor (MFA) sólida. Debe agregar Mobile ID a los flujos de usuario o a la directiva personalizada mediante el protocolo OpenID Connect.

Requisitos previos

Cree un flujo de usuario para que los usuarios se registren e inicien sesión en la aplicación.
Registre una aplicación web.

Siga los pasos que se describen en Tutorial: Creación de flujos de usuario y directivas personalizadas en Azure Active Directory B2C.
Registre una aplicación web.

Creación de una aplicación de Mobile ID

A fin de habilitar el inicio de sesión para los usuarios con Mobile ID en Azure AD B2C, debe crear una aplicación. Para crear la aplicación de Mobile ID, siga estos pasos:

Póngase en contacto con el soporte técnico de Mobile ID.

Proporcione al equipo de Mobile ID la información sobre el inquilino de Azure AD B2C:

Clave	Nota
URI de redireccionamiento	Proporcione el URI de `https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp`. Si usa un dominio personalizado, escriba `https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp`. Reemplace `your-tenant-name` por el nombre del inquilino, y `your-domain-name` por el dominio personalizado.
Método de autenticación de punto de conexión de token	`client_secret_post`

Una vez registrada la aplicación, Mobile ID proporcionará la información siguiente. Use esta información para configurar el flujo de usuario o la directiva personalizada.

Clave Nota

Id. de cliente Identificador de cliente de Mobile ID. Por ejemplo, 11111111-2222-3333-4444-555555555555.

Secreto del cliente Secreto de cliente de Mobile ID.

Clave	Nota
Id. de cliente	Identificador de cliente de Mobile ID. Por ejemplo, 11111111-2222-3333-4444-555555555555.
Secreto del cliente	Secreto de cliente de Mobile ID.

Configuración de Mobile ID como proveedor de identidades

Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Azure AD B2C desde el menú Directorios y suscripciones.
Elija Todos los servicios en la esquina superior izquierda de Azure Portal, y busque y seleccione Azure AD B2C.
Seleccione Proveedores de identidades y luego Nuevo proveedor de OpenID Connect.
Escriba un nombre. Por ejemplo, escriba Mobile ID.
En URL de metadatos, escriba la URL del punto de conexión de configuración conocido de OpenID de Mobile ID. Por ejemplo:
```
https://openid.mobileid.ch/.well-known/openid-configuration
```
En Id. de cliente, escriba el identificador de cliente de Mobile ID.
En Secreto de cliente, escriba el secreto de cliente de Mobile ID.
En Ámbito, escriba el valor de openid, profile, phone, mid_profile.
Deje los valores predeterminados para Tipo de respuesta (code) y Modo de respuesta (form_post).
(Opcional) En Sugerencia de dominio, escriba mobileid.ch. Para más información, consulte Configuración de inicio de sesión directo con Azure Active Directory B2C.
En Asignación de notificaciones del proveedor de identidades, seleccione las siguientes notificaciones:
- Id. de usuario: sub
- Nombre para mostrar: name
Seleccione Guardar.

Incorporación del proveedor de identidades Mobile ID a un flujo de usuario

En este punto, se ha configurado el proveedor de identidades Mobile ID, pero aún no está disponible en ninguna de las páginas de inicio de sesión. Para agregar el proveedor de identidades Mobile ID a un flujo de usuario, siga estos pasos:

En el inquilino de Azure AD B2C, seleccione Flujos de usuario.
Seleccione el flujo de usuario al que quiera agregar el proveedor de identidades Mobile ID.
En Proveedores de identidades sociales, seleccione Mobile ID.
Seleccione Guardar.
Para probar la directiva, seleccione Ejecutar flujo de usuario.
En Aplicación, seleccione la aplicación web denominada testapp1 que registró anteriormente. La dirección URL de respuesta debe mostrar https://jwt.ms.
Seleccione el botón Ejecutar flujo de usuario.
En la página de registro o de inicio de sesión, seleccione Mobile ID para iniciar sesión con Mobile ID.

Si el proceso de inicio de sesión se completa correctamente, el explorador se redirige a https://jwt.ms, que muestra el contenido del token devuelto por Azure AD B2C.

Creación de una clave de directiva

Debe almacenar el secreto de cliente que recibió de Mobile ID en el inquilino de Azure AD B2C.

Inicie sesión en Azure Portal.
Asegúrese de que usa el directorio que contiene el inquilino de Azure AD B2C. Seleccione el filtro Directorio y suscripciones del menú superior y elija el directorio que contiene el inquilino.
Elija Todos los servicios en la esquina superior izquierda de Azure Portal, y busque y seleccione Azure AD B2C.
En la página de introducción, seleccione Identity Experience Framework.
Seleccione Claves de directiva y luego Agregar.
En Opciones, elija Manual.
Escriba un nombre para la clave de directiva. Por ejemplo, Mobile IDSecret. Se agregará el prefijo B2C_1A_ automáticamente al nombre de la clave.
En Secreto, escriba el secreto de cliente de Mobile ID.
En Uso de claves, seleccione Signature.
Seleccione Crear.

Configuración de Mobile ID como proveedor de identidades

Para permitir que los usuarios inicien sesión con Mobile ID, debe definir a Mobile ID como proveedor de notificaciones con el que Azure AD B2C pueda comunicarse mediante un punto de conexión. El punto de conexión proporciona un conjunto de notificaciones que Azure AD B2C usa para comprobar que un usuario concreto se ha autenticado.

Puede definir a Mobile ID como proveedor de notificaciones; para ello, agréguelo al elemento ClaimsProvider en el archivo de extensión de la directiva.

Abra el archivo TrustFrameworkExtensions.xml.
Busque el elemento ClaimsProviders. Si no existe, agréguelo debajo del elemento raíz.

Agregue un nuevo elemento ClaimsProvider tal como se muestra a continuación:

<ClaimsProvider>
<Domain>mobileid.ch</Domain>
<DisplayName>Mobile-ID</DisplayName>
<TechnicalProfiles>
  <TechnicalProfile Id="MobileID-OAuth2">
  <DisplayName>Mobile-ID</DisplayName>
  <Protocol Name="OAuth2" />
  <Metadata>
    <Item Key="ProviderName">Mobile-ID</Item>
     <Item Key="authorization_endpoint">https://m.mobileid.ch/oidc/authorize</Item>
      <Item Key="AccessTokenEndpoint">https://openid.mobileid.ch/token</Item>
      <Item Key="ClaimsEndpoint">https://openid.mobileid.ch/userinfo</Item>
      <Item Key="scope">openid, profile, phone, mid_profile</Item>
      <Item Key="HttpBinding">POST</Item>
      <Item Key="UsePolicyInRedirectUri">false</Item>
      <Item Key="token_endpoint_auth_method">client_secret_post</Item>
      <Item Key="BearerTokenTransmissionMethod">AuthorizationHeader</Item>
      <Item Key="client_id">Your application ID</Item>
    </Metadata>
    <CryptographicKeys>
      <Key Id="client_secret" StorageReferenceId="B2C_1A_MobileIdSecret" />
    </CryptographicKeys>
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="mobileid.ch" />
      <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
    </OutputClaims>
    <OutputClaimsTransformations>
      <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
      <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
      <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
      <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
    </OutputClaimsTransformations>
    <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

En client_id, establezca el identificador de cliente de Mobile ID.
Guarde el archivo.

Adición de un recorrido del usuario

En este momento, el proveedor de identidades ya se ha configurado, pero no está disponible en ninguna de las pantallas de inicio de sesión. Si no tiene su propio recorrido del usuario personalizado, cree un duplicado de un recorrido del usuario de la plantilla existente; de lo contrario, continúe con el paso siguiente.

Abra el archivo TrustFrameworkBase.xml del paquete de inicio.
Busque y copie todo el contenido del elemento UserJourney que incluye Id="SignUpOrSignIn".
Abra el archivo TrustFrameworkExtensions.xml y busque el elemento UserJourneys. Si el elemento no existe, agréguelo.
Pegue todo el contenido del elemento UserJourney que ha copiado como elemento secundario del elemento UserJourneys.
Cambie el identificador del recorrido del usuario. Por ejemplo, Id="CustomSignUpSignIn".

Adición del proveedor de identidades a un recorrido del usuario

Ahora que tiene un recorrido del usuario, agregue el nuevo proveedor de identidades al recorrido del usuario. En primer lugar, agregue un botón de inicio de sesión y, después, vincule el botón a una acción. La acción es el perfil técnico que creó anteriormente.

Busque el elemento del paso de orquestación que incluye Type="CombinedSignInAndSignUp" o Type="ClaimsProviderSelection"en el recorrido del usuario. Normalmente es el primer paso de orquestación. El elemento ClaimsProviderSelections contiene una lista de proveedores de identidades con los que un usuario puede iniciar sesión. El orden de los elementos controla el orden de los botones de inicio de sesión que se presentan al usuario. Agregue un elemento XML ClaimsProviderSelection. Establezca el valor de TargetClaimsExchangeId en un nombre descriptivo.
En el paso de orquestación siguiente, agregue un elemento ClaimsExchange. Establezca el Id en el valor del identificador de intercambio de notificaciones de destino. Actualice el valor de TechnicalProfileReferenceId al del identificador del perfil técnico que creó anteriormente.

En el siguiente código XML se muestran los dos primeros pasos de orquestación de un recorrido del usuario con el proveedor de identidades:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="MobileIDExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="MobileIDExchange" TechnicalProfileReferenceId="MobileID-OAuth2" />
  </ClaimsExchanges>
</OrchestrationStep>

Configuración de la directiva de usuario de confianza.

La directiva de usuario de confianza, por ejemplo SignUpSignIn.xml, especifica el recorrido del usuario que ejecutará Azure AD B2C. Busque el elemento DefaultUserJourney en el usuario de confianza. Actualice ReferenceId para que coincida con el identificador del recorrido del usuario, en el que agregó el proveedor de identidades.

En el ejemplo siguiente, para el recorrido de usuario CustomSignUpSignIn, el ReferenceId está establecido en CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Carga de la directiva personalizada

Inicie sesión en Azure Portal.
Seleccione el icono Directorio y suscripción en la barra de herramientas del portal y, luego, elija el directorio que contiene el inquilino de Azure AD B2C.
En Azure Portal, busque y seleccione Azure AD B2C.
En Directivas, seleccione Identity Experience Framework.
Seleccione Cargar directiva personalizada y, a continuación, cargue los dos archivos de directivas que ha cambiado, en el siguiente orden: la directiva de extensiones, por ejemplo TrustFrameworkExtensions.xml, luego la directiva de usuarios de confianza, como SignUpSignIn.xml.

Prueba de la directiva personalizada

Seleccione la directiva de usuarios de confianza, por ejemplo B2C_1A_signup_signin.
En Aplicación, seleccione la aplicación web que registró anteriormente. La dirección URL de respuesta debe mostrar https://jwt.ms.
Seleccione el botón Ejecutar ahora.
En la página de registro o de inicio de sesión, seleccione Mobile ID para iniciar sesión con Mobile ID.

Si el proceso de inicio de sesión se completa correctamente, el explorador se redirige a https://jwt.ms, que muestra el contenido del token devuelto por Azure AD B2C.

Pasos siguientes

Obtenga información sobre cómo pasar el token de Mobile ID a la aplicación.

Configuración de la suscripción y del inicio de sesión con Mobile ID mediante Azure Active Directory B2C

Requisitos previos

Creación de una aplicación de Mobile ID

Configuración de Mobile ID como proveedor de identidades

Incorporación del proveedor de identidades Mobile ID a un flujo de usuario

Creación de una clave de directiva

Configuración de Mobile ID como proveedor de identidades

Adición de un recorrido del usuario

Adición del proveedor de identidades a un recorrido del usuario

Configuración de la directiva de usuario de confianza.

Carga de la directiva personalizada

Prueba de la directiva personalizada

Pasos siguientes

Recursos adicionales