Activer les options d’authentification dans une application iOS Swift avec Azure AD B2C

Article
01/11/2024

Cet article décrit les méthodes permettant de personnaliser et d’améliorer l’expérience d’authentification Azure Active Directory B2C (Azure AD B2C) pour votre application iOS Swift.

Avant de commencer, lisez les articles suivants pour vous familiariser avec les concepts :

Configuration de l’authentification dans un exemple d’application iOS Swift avec Azure AD B2C
Activation de l’authentification dans votre propre application iOS Swift avec Azure AD B2C

Utiliser un domaine personnalisé

En utilisant un domaine personnalisé, vous pouvez intégralement marquer l’URL d’authentification. En ce qui concerne les utilisateurs, ils restent sur votre domaine pendant le processus d’authentification, au lieu d’être redirigés vers le nom de domaine Azure AD B2C b2clogin.com.

Pour supprimer toutes les références à « b2c » dans l’URL, vous pouvez remplacer le nom de votre locataire b2c (contoso.onmicrosoft.com) dans l’URL de la requête d’authentification par le GUID d’ID de votre locataire. Par exemple, vous pouvez remplacer https://fabrikamb2c.b2clogin.com/contoso.onmicrosoft.com/ par https://account.contosobank.co.uk/<tenant ID GUID>/.

Pour utiliser un domaine personnalisé et votre ID de locataire dans l’URL d’authentification, procédez comme suit :

Suivez les instructions dans Activer les domaines personnalisés.
Mettez à jour le membre de classe kAuthorityHostName avec votre domaine personnalisé.
Mettez à jour le membre de classe kTenantName avec votre ID de locataire.

Le code Swift suivant montre les paramètres de l’application avant la modification :

let kTenantName = "contoso.onmicrosoft.com" 
let kAuthorityHostName = "contoso.b2clogin.com"

Le code Swift suivant montre les paramètres de l’application après la modification :

let kTenantName = "00000000-0000-0000-0000-000000000000" 
let kAuthorityHostName = "login.contoso.com"

Pendant le parcours utilisateur pour la connexion, votre application peut cibler un utilisateur spécifique. Quand une application cible un utilisateur, celle-ci peut spécifier, dans la requête d’autorisation, le paramètre de requête login_hint avec le nom de connexion de l’utilisateur. Azure AD B2C remplit automatiquement le nom de connexion, et l’utilisateur n’a que le mot de passe à fournir.

Pour préremplir le nom de connexion, procédez comme suit :

Si vous utilisez une stratégie personnalisée, ajoutez la requête d’entrée requise comme décrit dans Configurer la connexion directe.
Recherchez votre objet de configuration de la Bibliothèque d’authentification Microsoft (MSAL), puis ajoutez la méthode withLoginHint() avec l’indicateur de connexion.

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.loginHint = "bob@contoso.com"
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

Présélectionner un fournisseur d'identité

Si vous avez configuré la procédure de connexion pour votre application afin d’inclure des comptes de réseaux sociaux comme Facebook, LinkedIn ou Google, vous pouvez spécifier le paramètre domain_hint. Ce paramètre de requête fournit un indicateur à Azure AD B2C concernant le fournisseur d’identité sociale qui doit être utilisé pour la connexion. Par exemple, si l’application spécifie domain_hint=facebook.com, le flux de connexion accède directement à la page de connexion Facebook.

Pour rediriger les utilisateurs vers un fournisseur d’identité externe, procédez comme suit :

Vérifiez le nom de domaine de votre fournisseur d’identité externe. Pour plus d’informations, consultez Rediriger la connexion vers un fournisseur social.
Créez un objet de liste ou utilisez un objet existant afin d’y stocker des paramètres de requête supplémentaires.
Ajoutez à la liste le paramètre domain_hint avec le nom de domaine correspondant (par exemple facebook.com).
Passez la liste des paramètres de requête supplémentaires dans l’attribut extraQueryParameters de l’objet de configuration MSAL.

let extraQueryParameters: [String: String] = ["domain_hint": "facebook.com"]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

Spécifier la langue de l’interface utilisateur

La personnalisation de la langue dans Azure AD B2C permet à votre flux d’utilisateur de prendre en charge plusieurs langues pour répondre aux besoins de votre client. Consultez Personnalisation linguistique pour plus d'informations.

Pour définir la langue par défaut, procédez comme suit :

Configurez la personnalisation de la langue.
Créez un objet de liste ou utilisez un objet existant afin d’y stocker des paramètres de requête supplémentaires.
Ajoutez à la liste le paramètre ui_locales avec le code langue correspondant (par exemple en-us).
Passez la liste des paramètres de requête supplémentaires dans l’attribut extraQueryParameters de l’objet de configuration MSAL.

let extraQueryParameters: [String: String] = ["ui_locales": "en-us"]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

Passer un paramètre de chaîne de requête personnalisé

Avec les stratégies personnalisées, vous pouvez passer un paramètre de chaîne de requête personnalisé. Les cas où vous souhaitez modifier de façon dynamique le contenu d’une page en sont un bon exemple d’utilisation.

Pour passer un paramètre de chaîne de requête personnalisé, procédez comme suit :

Configurez l’élément ContentDefinitionParameters.
Créez un objet de liste ou utilisez un objet existant afin d’y stocker des paramètres de requête supplémentaires.
Ajoutez le paramètre de chaîne de requête personnalisé, par exemple campaignId. Définir la valeur du paramètre (par exemple germany-promotion).
Passez la liste des paramètres de requête supplémentaires dans l’attribut extraQueryParameters de l’objet de configuration MSAL.

let extraQueryParameters: [String: String] = ["campaignId": "germany-promotion"]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

Transmission d’indicateur de jeton d’ID

Une application par partie de confiance peut envoyer un Jeton Web JSON (JWT) entrant dans le cadre de la demande d’autorisation OAuth2. Le jeton entrant est une indication de l’utilisateur ou de la demande d’autorisation. Azure AD B2C valide le jeton puis extrait la demande.

Pour inclure un indicateur de jeton d’ID dans la requête d’authentification, procédez comme suit :

Dans votre stratégie personnalisée, définissez un indicateur de jeton d’ID de profil technique.
Dans votre code, générez ou obtenez un jeton d'identification, puis définissez le jeton dans une variable (par exemple, idToken).
Créez un objet de liste ou utilisez un objet existant afin d’y stocker des paramètres de requête supplémentaires.
Ajoutez le paramètre id_token_hint avec la variable correspondante qui stocke le jeton d’ID.
Passez la liste des paramètres de requête supplémentaires dans l’attribut extraQueryParameters de l’objet de configuration MSAL.

let extraQueryParameters: [String: String] = ["id_token_hint": idToken]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

Configuration de la journalisation

La bibliothèque MSAL génère des messages de journal qui peuvent aider à diagnostiquer les problèmes. L’application peut configurer la journalisation. L’application peut également vous offrir un contrôle personnalisé sur le niveau de détail et vous permettre de déterminer si des données personnelles et organisationnelles sont journalisées.

Nous vous conseillons de créer un rappel de journalisation MSAL et de donner aux utilisateurs le moyen d’envoyer des journaux lorsqu’ils rencontrent des problèmes d’authentification. MSAL fournit les niveaux de détail de journalisation suivants :

Erreur : un problème est survenu et une erreur a été générée. Ce niveau est utilisé pour le débogage et l’identification des problèmes.
Avertissement : il n’y a pas nécessairement eu une erreur ou une défaillance, mais l’information pousse à effectuer un diagnostic et met en avant d’éventuels problèmes.
Info : MSAL journalise les événements qui sont destinés à des fins d’information et pas nécessairement pour le débogage.
Commentaires : il s’agit du niveau par défaut. MSAL enregistre les détails complets du comportement de la bibliothèque.

Par défaut, l’enregistreur d’événements MSAL ne capture aucune donnée personnelle ou d’organisation. La bibliothèque vous offre la possibilité d’activer la journalisation des données personnelles et organisationnelles si vous décidez de le faire.

Le journal MSAL doit être défini le plus tôt possible dans la séquence de lancement de l’application, avant toute demande MSAL. Configurez la journalisation MSAL dans la méthode applicationAppDelegate.swift.

L’extrait de code suivant montre comment configurer la journalisation MSAL :

func application(_ application: UIApplication, didFinishLaunchingWithOptions launchOptions: [UIApplication.LaunchOptionsKey: Any]?) -> Bool {
        
        MSALGlobalConfig.loggerConfig.logLevel = .verbose
        MSALGlobalConfig.loggerConfig.setLogCallback { (logLevel, message, containsPII) in
            
            // If PiiLoggingEnabled is set YES, this block will potentially contain sensitive information (Personally Identifiable Information), but not all messages will contain it.
            // containsPII == YES indicates if a particular message contains PII.
            // You might want to capture PII only in debug builds, or only if you take necessary actions to handle PII properly according to legal requirements of the region
            if let displayableMessage = message {
                if (!containsPII) {
                    #if DEBUG
                    // NB! This sample uses print just for testing purposes
                    // You should only ever log to NSLog in debug mode to prevent leaking potentially sensitive information
                    print(displayableMessage)
                    #endif
                }
            }
        }
        return true
    }

Expérience de vue web incorporée

Des navigateurs web sont nécessaires pour l’authentification interactive. Par défaut, la bibliothèque MSAL utilise la vue web du système. Pendant la connexion, la bibliothèque MSAL affiche la vue web du système iOS avec l’interface utilisateur Azure AD B2C.

Pour plus d'informations, consultez l'article Personnaliser les navigateurs et les vues web pour iOS/macOS.

En fonction de vos besoins, vous pouvez utiliser la vue web incorporée. Il existe des différences de comportement au niveau visuel et de l’authentification unique entre la vue web incorporée et la vue web du système dans MSAL.

Capture d’écran illustrant les différences entre l’expérience de vue web du système et l’expérience de vue web incorporée.

Important

Nous vous recommandons d’utiliser la plateforme par défaut, qui correspond généralement au navigateur du système. Le navigateur du système mémorise mieux les utilisateurs déjà connectés. Certains fournisseurs d’identité, tels que Google, ne prennent pas en charge une expérience de vue incorporée.

Pour changer ce comportement, remplacez l’attribut webviewType de MSALWebviewParameters en le définissant sur wkWebView. L’exemple suivant montre comment modifier le type de vue web pour le convertir en vue incorporée :

func initWebViewParams() {
    self.webViewParameters = MSALWebviewParameters(authPresentationViewController: self)
    
    // Use embedded view experience
    self.webViewParameters?.webviewType = .wkWebView
}

Étapes suivantes

Pour en savoir plus, reportez-vous à MSAL pour les options de configuration iOS Swift.

Partager via

Activer les options d’authentification dans une application iOS Swift avec Azure AD B2C

Utiliser un domaine personnalisé

Présélectionner un fournisseur d'identité

Spécifier la langue de l’interface utilisateur

Passer un paramètre de chaîne de requête personnalisé

Transmission d’indicateur de jeton d’ID

Configuration de la journalisation

Expérience de vue web incorporée

Étapes suivantes

Commentaires

Ressources supplémentaires

Partager via

Activer les options d’authentification dans une application iOS Swift avec Azure AD B2C

Utiliser un domaine personnalisé

Préremplir le nom de connexion

Présélectionner un fournisseur d'identité

Spécifier la langue de l’interface utilisateur

Passer un paramètre de chaîne de requête personnalisé

Transmission d’indicateur de jeton d’ID

Configuration de la journalisation

Expérience de vue web incorporée

Étapes suivantes

Commentaires

Ressources supplémentaires