Ajouter AD FS en tant que fournisseur d’identité OpenID Connect à l’aide de stratégies personnalisées dans Azure Active Directory B2C

Article
06/01/2023

Avant de commencer, utilisez le sélecteur Choisir un type de stratégie pour choisir le type de stratégie que vous configurez. Azure Active Directory B2C offre deux possibilités pour définir la façon dont les utilisateurs interagissent avec vos applications : via des flux utilisateurs prédéfinis ou via des stratégies personnalisées entièrement configurables. La procédure donnée dans cet article est différente pour chaque méthode.

Prérequis

Créez un flux d’utilisateurs pour permettre aux utilisateurs de s’inscrire et de se connecter à votre application.
Inscrire une application web.

Suivez les étapes dans Bien démarrer avec les stratégies personnalisées dans Active Directory B2C
Inscrire une application web.

Créer une application AD FS

Pour autoriser la connexion des utilisateurs avec un compte AD FS dans Azure Active Directory B2C (Azure AD B2C), créez un groupe d’applications dans votre compte AD FS. Pour plus d’informations, consultez Créer une application web à l’aide d’OpenID Connect avec AD FS 2016 et versions ultérieures.

Pour créer un groupe d’applications, procédez comme suit :

Dans Gestionnaire de serveur, sélectionnez Outils, puis Gestion AD FS.
Dans Gestion AD FS, cliquez avec le bouton droit sur Groupes d’applications et sélectionnez Ajouter un groupe d’applications.
Sur l’écran Bienvenue de l’Assistant de groupe d’applications :
1. Entrez le nom de votre application. Par exemple, Application Azure AD B2C.
2. Sous Applications client-serveur, sélectionnez le modèle Navigateur web accédant à une application web.
3. Cliquez sur Suivant.
Sur l’écran Application native de l’Assistant de groupe d’applications :
1. Copiez la valeur d’Identificateur du client. L’identificateur du client est votre ID d’application AD FS. Vous aurez besoin de l’ID d’application plus loin dans cet article.
2. Dans URI de redirection, entrez https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp, puis Ajouter. Si vous utilisez un domaine personnalisé, entrez https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp. Remplacez your-tenant-name par le nom de votre locataire et your-domain-name par le nom de votre domaine personnalisé.
3. Sélectionnez Suivant, puis Suivant, puis encore Suivant pour terminer l’Assistant d’inscription d’application.
4. Sélectionnez Fermer.

Configurer les réclamations de l’application

Dans cette étape, configurez les réclamations que l’application AD FS renvoie à Azure AD B2C.

Parmi les groupes d’applications, sélectionnez l’application que vous avez créée.
Dans la fenêtre des propriétés de l’application, sous Applications, sélectionnez l’application web. Sélectionnez ensuite Modifier.
Sélectionnez l’onglet Règles de transformation d’émission, puis sélectionnez Ajouter une règle.
Dans Modèle de règle de revendication, sélectionnez Envoyer les attributs LDAP en tant que revendications, puis Suivant.
Fournissez un Nom de règle de revendication. Pour le Magasin d’attributs, sélectionnez Active Directory et ajoutez les revendications suivantes.

Attribut LDAP Type de revendication sortante

User-Principal-Name upn

Surname family_name

Given-Name given_name

Display-Name name

Notez que certains des noms ne s’afficheront pas dans la liste déroulante Type de revendication sortante. Vous devez les taper manuellement (la liste déroulante est modifiable).
Sélectionnez Terminer.
Sélectionnez Appliquer, puis OK.
Sélectionnez encore OK pour terminer.

Attribut LDAP	Type de revendication sortante
User-Principal-Name	upn
Surname	family_name
Given-Name	given_name
Display-Name	name

Configurer AD FS en tant que fournisseur d’identité

Connectez-vous au portail Azure en tant qu’administrateur général de votre locataire Azure AD B2C.
Si vous avez accès à plusieurs locataires, sélectionnez l’icône Paramètres dans le menu supérieur pour basculer vers votre locataire Azure AD B2C à partir du menu Répertoires + abonnements.
Choisissez Tous les services dans le coin supérieur gauche du portail Azure, puis recherchez et sélectionnez Azure AD B2C.
Sélectionnez Fournisseurs d’identité, puis Nouveau fournisseur OpenID Connect.
Saisissez un Nom. Par exemple, Contoso.
Pour l’URL de métadonnées, entrez l’URL du document de configuration d’AD FS OpenID Connect. Par exemple :
```
https://adfs.contoso.com/adfs/.well-known/openid-configuration 
```
Dans ID client, entrez l’ID d’application que vous avez enregistré précédemment.
Pour l'Étendue, entrez openid.
Pour Type de réponse, sélectionnez id_token. Par conséquent, la valeur de Clé secrète client n’est pas nécessaire. Explorez plus en détail l’utilisation d’ID Client et de secret lors de l’ajout d’un fournisseur d’identité OpenID Connect générique.
(Facultatif) Pour l'Indication de domaine, entrez contoso.com. Pour plus d’informations, consultez Configurer la connexion directe avec Azure Active Directory B2C.
Sous Mappage des revendications du fournisseur d’identité, sélectionnez les revendications suivantes :
- ID d’utilisateur : upn
- Nom d’affichage : unique_name
- Prénom : given_name
- Nom de famille : family_name
Sélectionnez Enregistrer.

Ajouter le fournisseur d’identité AD FS à un flux d’utilisateur

À ce stade, le fournisseur d’identité AD FS (Contoso) a été configuré, mais il n’est encore disponible dans aucune des pages de connexion. Pour ajouter le fournisseur d’identité AD FS à un flux d’utilisateur :

Dans votre locataire Azure AD B2C, sélectionnez Flux d’utilisateur.
Sélectionnez le flux d’utilisateur que vous souhaitez ajouter au fournisseur d’identité AD FS (Contoso).
Sous Fournisseurs d’identité sociale, sélectionnez Contoso.
Sélectionnez Enregistrer.
Pour tester votre stratégie, sélectionnez Exécuter le flux d’utilisateur.
Pour Application, sélectionnez l’application web testapp1 que vous avez précédemment inscrite. L’URL de réponse doit être https://jwt.ms.
Sélectionnez le bouton Exécuter le flux d’utilisateur.
Dans la page d’inscription ou de connexion, sélectionnez Contoso pour vous connecter avec le compte Contoso.

Si le processus de connexion réussit, votre navigateur est redirigé vers https://jwt.ms, qui affiche le contenu du jeton retourné par Azure AD B2C.

Configurer AD FS en tant que fournisseur d’identité

Pour permettre aux utilisateurs de se connecter avec un compte AD FS, vous devez définir le compte en tant que fournisseur de revendications avec lequel Azure AD B2C peut communiquer via un point de terminaison.

Ouvrez le fichier TrustFrameworkExtensions.xml.
Recherchez l’élément ClaimsProviders. S’il n’existe pas, ajoutez-le sous l’élément racine.

Ajoutez un nouveau ClaimsProvider comme suit :

<ClaimsProvider>
  <Domain>contoso.com</Domain>
  <DisplayName>Contoso</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="Contoso-OpenIdConnect">
      <DisplayName>Contoso</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="METADATA">https://your-adfs-domain/adfs/.well-known/openid-configuration</Item>
        <Item Key="response_types">id_token</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="scope">openid</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">0</Item>
        <!-- Update the Client ID below to the Application ID -->
        <Item Key="client_id">Your AD FS application ID</Item>
      </Metadata>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="upn" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="unique_name" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss"  />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Pour l’URL de métadonnées, entrez l’URL du document de configuration d’AD FS OpenID Connect. Par exemple :
```
https://adfs.contoso.com/adfs/.well-known/openid-configuration 
```
Définissez client_id sur l’ID d’application de l’inscription de l’application.
Enregistrez le fichier .

Ajouter un parcours utilisateur

À ce stade, le fournisseur d’identité a été configuré, mais il n’est encore disponible dans aucune des pages de connexion. Si vous n’avez pas votre propre parcours utilisateur personnalisé, créez un doublon d’un modèle de parcours utilisateur existant ; sinon, passez à l’étape suivante.

Ouvrez le fichier TrustFrameworkBase.xml à partir du pack de démarrage.
Recherchez et copiez l’intégralité du contenu de l’élément UserJourney comprenant Id="SignUpOrSignIn".
Ouvrez le fichier TrustFrameworkExtensions.xml, puis recherchez l’élément UserJourneys. Si l’élément n’existe pas, ajoutez-en un.
Collez l’intégralité du contenu de l’élément UserJourney que vous avez copié en tant qu’enfant de l’élément UserJourneys.
Renommez l’ID du parcours utilisateur. Par exemple : Id="CustomSignUpSignIn".

Ajoutez le fournisseur d’identité à un parcours utilisateur

Maintenant que vous disposez d’un parcours utilisateur, ajoutez-y le nouveau fournisseur d’identité. Vous ajoutez d’abord un bouton de connexion, puis vous liez le bouton à une action. L’action représente le profil technique que vous avez créé plus haut.

Recherchez l’élément d’étape d’orchestration comprenant Type="CombinedSignInAndSignUp" ou Type="ClaimsProviderSelection" dans le parcours utilisateur. Il s’agit généralement de la première étape d’orchestration. L’élément ClaimsProviderSelections contient une liste de fournisseurs d’identité auxquels un utilisateur peut se connecter. L’ordre des éléments détermine l’ordre des boutons de connexion présentés à l’utilisateur. Ajoutez un élément XML ClaimsProviderSelection. Définissez la valeur TargetClaimsExchangeId sur un nom convivial.
À la prochaine étape d’orchestration, ajoutez un élément ClaimsExchange. Définissez ID sur la valeur de l’ID d’échange des revendications cible. Mettez à jour la valeur de TechnicalProfileReferenceId sur l’ID du profil technique que vous avez créé précédemment.

Le code XML suivant montre les deux premières étapes d’orchestration d’un parcours utilisateur avec le fournisseur d’identité :

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="ContosoExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="ContosoExchange" TechnicalProfileReferenceId="Contoso-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Configurer la stratégie de partie de confiance

La stratégie de partie de confiance, par exemple SignUpSignIn.xml, spécifie le parcours utilisateur à partir duquel Azure AD B2C s’exécutera. Recherchez l’élément DefaultUserJourney dans la partie de confiance. Mettez à jour la valeur ReferenceId afin qu’elle corresponde à l’ID du parcours utilisateur auquel vous avez ajouté le fournisseur d'identité.

Dans l’exemple suivant, pour le parcours utilisateur CustomSignUpSignIn, la valeur ReferenceId est définie sur CustomSignUpSignIn :

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Téléchargez la stratégie personnalisée

Connectez-vous au portail Azure.
Sélectionnez l’icône Annuaire et abonnement dans la barre d’outils du portail, puis sélectionnez l’annuaire qui contient votre locataire Azure AD B2C.
Dans la Portail Azure, recherchez et sélectionnez Azure AD B2C.
Sous Stratégies, sélectionnez Identity Experience Framework.
Sélectionnez Charger une stratégie personnalisée, puis chargez les deux fichiers de stratégie que vous avez modifiés, dans l’ordre suivant : la stratégie d’extension, par exemple TrustFrameworkExtensions.xml, puis la stratégie de la partie de confiance, par exemple SignUpSignIn.xml.

Tester votre stratégie personnalisée

Sélectionnez votre stratégie de partie de confiance, par exemple B2C_1A_signup_signin.
Pour Application, sélectionnez une application web que vous avez précédemment inscrite. L’URL de réponse doit être https://jwt.ms.
Sélectionnez le bouton Exécuter maintenant.
Dans la page d’inscription ou de connexion, sélectionnez Contoso pour vous connecter avec un compte Contoso.

Si le processus de connexion réussit, votre navigateur est redirigé vers https://jwt.ms, qui affiche le contenu du jeton retourné par Azure AD B2C.

Étapes suivantes

Découvrez comment transmettre un jeton AD FS à votre application.

Ajouter AD FS en tant que fournisseur d’identité OpenID Connect à l’aide de stratégies personnalisées dans Azure Active Directory B2C

Prérequis

Créer une application AD FS

Configurer les réclamations de l’application

Configurer AD FS en tant que fournisseur d’identité

Ajouter le fournisseur d’identité AD FS à un flux d’utilisateur

Configurer AD FS en tant que fournisseur d’identité

Ajouter un parcours utilisateur

Ajoutez le fournisseur d’identité à un parcours utilisateur

Configurer la stratégie de partie de confiance

Téléchargez la stratégie personnalisée

Tester votre stratégie personnalisée

Étapes suivantes

Ressources supplémentaires