Vue d’ensemble technique et des fonctionnalités d’Azure Active Directory B2C

Important

À compter du 1er mai 2025, Azure AD B2C ne sera plus disponible pour les nouveaux clients. Pour plus d’informations, consultez notre FAQ.

Cet article accompagne la section À propos d’Azure Active Directory B2C et fournit une présentation plus approfondie du service. Nous allons aborder ici les principales ressources avec lesquelles vous travaillez dans le service, ses fonctionnalités et découvrir comment elles vous permettent de fournir une expérience d’identité entièrement personnalisée aux clients dans vos applications.

Locataire Azure AD B2C

Dans Azure Active Directory B2C (Azure AD B2C), un client représente votre organisation et sert d'annuaire pour les utilisateurs. Chaque locataire Azure AD B2C est distinct et séparé des autres locataires Azure AD B2C. Un locataire Azure AD B2C est également différent d’un locataire Microsoft Entra, que vous avez peut-être déjà.

Les principales ressources que vous utilisez dans un locataire Azure AD B2C sont les suivantes :

• Annuaire : c’est là qu’Azure AD B2C stocke les informations d’identification de vos utilisateurs, les données de profil et les inscriptions de vos applications.
• Inscriptions d’applications : vous pouvez inscrire vos applications web, mobiles et natives auprès d’Azure AD B2C pour activer la gestion des identités. Vous pouvez également inscrire les API que vous souhaitez protéger auprès d’Azure AD B2C.
• Flux d’utilisateurs et stratégies personnalisées : ils sont utilisés pour créer des expériences d’identité pour vos applications avec des flux d’utilisateurs intégrés et des stratégies personnalisées entièrement configurables :
  • Les flux d’utilisateurs vous permettent d’activer rapidement les tâches d’identité courantes telles que l’inscription, la connexion et la modification du profil.
  • Les politiques personnalisées vous permettent de créer des flux de travail d’identité complexes propres à votre organisation, à vos clients, à vos employés, à vos partenaires et à vos citoyens.
• Options de connexion : Azure AD B2C propose diverses options d’inscription et de connexion pour les utilisateurs de vos applications :
  • Nom d’utilisateur, adresse e-mail et connexion téléphonique : vous pouvez configurer vos comptes locaux Azure AD B2C pour autoriser l’inscription et la connexion avec un nom d’utilisateur, une adresse e-mail, un numéro de téléphone ou une combinaison de méthodes.
  • Fournisseurs d’identité sociale : vous pouvez vous fédérer avec des fournisseurs de réseaux sociaux tels que Facebook, LinkedIn ou X.
  • Fournisseurs d’identité externes : vous pouvez également fédérer avec des protocoles d’identité standard tels que OAuth 2.0, OpenID Connect, etc.
• Clés : ajoutez et gérez des clés de chiffrement pour signer et valider des jetons, des clés secrètes client, des certificats et des mots de passe.

Un locataire Azure AD B2C est la première ressource que vous devez créer pour commencer à utiliser Azure AD B2C. Découvrez comment :

• Créez un client Azure Active Directory B2C.
• Gérer votre instance Azure AD B2C

Comptes dans Azure AD B2C

Azure AD B2C définit plusieurs types de comptes d’utilisateurs. Microsoft Entra ID, Microsoft Entra B2B et Azure Active Directory B2C partagent ces types de comptes.

• Compte professionnel : les utilisateurs disposant de comptes professionnels peuvent gérer les ressources d’un locataire et, avec un rôle d’administrateur, peuvent également gérer les locataires. Les utilisateurs disposant de comptes professionnels peuvent créer des comptes consommateur, réinitialiser des mots de passe, bloquer/débloquer des comptes et définir des autorisations ou attribuer un compte à un groupe de sécurité.
• Compte invité : il s’agit d’utilisateurs externes que vous invitez à rejoindre votre locataire en tant qu’invités. Un scénario classique pour inviter un utilisateur invité à votre locataire Azure AD B2C consiste à partager les responsabilités d’administration.
• Compte consommateur : il s’agit de comptes gérés par des flux d’utilisateurs Azure AD B2C et des stratégies personnalisées.

Figure : Annuaire d’utilisateurs dans un locataire Azure AD B2C dans le portail Azure.

Comptes consommateurs

Avec un compte consommateur , les utilisateurs peuvent se connecter aux applications que vous avez sécurisées avec Azure AD B2C. Toutefois, les utilisateurs disposant de comptes consommateurs ne peuvent pas accéder aux ressources Azure, par exemple au portail Azure.

Un compte consommateur peut être associé aux types d’identité suivants :

• Identité locale , avec le nom d’utilisateur et le mot de passe stockés localement dans l’annuaire Azure AD B2C. Nous faisons souvent référence à ces identités en tant que « comptes locaux ».
• Les identités sociales ou d’entreprise , où l’identité de l’utilisateur est gérée par un fournisseur d’identité fédéré. Par exemple, Facebook, Google, Microsoft, ADFS ou Salesforce.

Un utilisateur disposant d’un compte consommateur peut se connecter avec plusieurs identités. Par exemple, le nom d’utilisateur, l’adresse e-mail, l’identifiant de l’employé, la pièce d’identité gouvernementale, etc. Un seul compte peut avoir plusieurs identités, à la fois locales et sociales.

Figure : Un seul compte consommateur avec plusieurs identités dans Azure AD B2C

Pour plus d’informations, consultez Vue d’ensemble des comptes d’utilisateur dans Azure Active Directory B2C.

Options de connexion au compte local

Azure AD B2C propose différentes façons d’authentifier un utilisateur. Les utilisateurs peuvent se connecter à un compte local, à l’aide d’un nom d’utilisateur et d’un mot de passe, de la vérification par téléphone (également connue sous le nom d’authentification sans mot de passe). L’inscription par e-mail est activée par défaut dans les paramètres du fournisseur d’identité de votre compte local.

En savoir plus sur les options de connexion ou sur la configuration du fournisseur d’identité de compte local.

Attributs de profil utilisateur

Azure AD B2C vous permet de gérer les attributs communs des profils de compte consommateur. Par exemple, le nom d’affichage, le nom de famille, le prénom, la ville, etc.

Vous pouvez également étendre le schéma d’ID Microsoft Entra sous-jacent pour stocker des informations supplémentaires sur vos utilisateurs. Par exemple, leur pays/région de résidence, leur langue préférée et leurs préférences, par exemple s’ils souhaitent s’abonner à une newsletter ou activer l’authentification multifacteur. Pour plus d’informations, consultez :

• Attributs de profil utilisateur
• Ajouter des attributs utilisateur et personnaliser la saisie utilisateur dans

Se connecter avec des fournisseurs d’identité externes

Vous pouvez configurer Azure AD B2C pour permettre aux utilisateurs de se connecter à votre application avec des informations d’identification provenant de fournisseurs d’identité sociale et d’entreprise. Azure AD B2C peut se fédérer avec des fournisseurs d’identité qui prennent en charge les protocoles OAuth 1.0, OAuth 2.0, OpenID Connect et SAML. Par exemple, Facebook, un compte Microsoft, Google, X et le service de fédération Active Directory (AD FS).

Avec les fournisseurs d’identité externes, vous pouvez offrir à vos consommateurs la possibilité de se connecter avec leurs comptes sociaux ou d’entreprise existants, sans avoir à créer un nouveau compte uniquement pour votre application.

Sur la page d’inscription ou de connexion, Azure AD B2C présente une liste de fournisseurs d’identité externes que l’utilisateur peut choisir pour la connexion. Une fois qu’ils ont sélectionné l’un des fournisseurs d’identité externes, ils sont redirigés vers le site Web du fournisseur sélectionné pour terminer le processus de connexion. Une fois que l’utilisateur s’est connecté avec succès, il est renvoyé à Azure AD B2C pour l’authentification du compte dans votre application.

Pour en savoir plus sur les fournisseurs d’identité, consultez Ajouter des fournisseurs d’identité à vos applications dans Azure Active Directory B2C.

Expériences d’identité : flux d’utilisateurs ou stratégies personnalisées

Dans Azure AD B2C, vous pouvez définir la logique métier que les utilisateurs suivent pour accéder à votre application. Par exemple, vous pouvez déterminer la séquence d’étapes que les utilisateurs suivent lorsqu’ils se connectent, s’inscrivent, modifient leur profil ou réinitialisent un mot de passe. Une fois la séquence terminée, l’utilisateur acquiert un jeton et accède à votre application.

Dans Azure AD B2C, il existe deux façons de fournir des expériences utilisateur d’identité :

• Flux d’utilisateurs : il s’agit de stratégies prédéfinies, intégrées et configurables que nous fournissons pour vous permettre de créer des expériences d’inscription, de connexion et de modification de politique en quelques minutes.

• Stratégies personnalisées : elles vous permettent de créer vos propres parcours utilisateur pour des scénarios d’expérience d’identité complexes.

La capture d’écran suivante montre l’interface utilisateur des paramètres de flux d’utilisateurs par rapport aux fichiers de configuration de stratégie personnalisés.

Pour en savoir plus sur les flux d’utilisateurs et les stratégies personnalisées, et pour vous aider à choisir la méthode la mieux adaptée aux besoins de votre entreprise, consultez Vue d’ensemble des flux d’utilisateurs et des stratégies personnalisées.

Interface utilisateur

Dans Azure AD B2C, vous pouvez concevoir les expériences d’identité de vos utilisateurs afin que les pages affichées s’intègrent parfaitement à l’apparence de votre marque. Vous bénéficiez d’un contrôle presque total du contenu HTML et CSS présenté à vos utilisateurs lorsqu’ils progressent dans les parcours d’identité de votre application. Grâce à cette flexibilité, vous pouvez maintenir la cohérence de la marque et du visuel entre votre application et Azure AD B2C.

Remarque

La personnalisation des pages affichées par des tiers lors de l’utilisation de comptes de réseaux sociaux est limitée aux options fournies par ce fournisseur d’identité et échappe au contrôle d’Azure AD B2C.

Pour plus d’informations sur la personnalisation de l’interface utilisateur, consultez :

• Personnaliser l’interface utilisateur
• Personnalisez l’interface utilisateur avec des modèles HTML
• Activez JavaScript et sélectionnez une version de mise en page

Domaine personnalisé

Vous pouvez personnaliser votre domaine Azure AD B2C dans les URI de redirection de votre application. Le domaine personnalisé vous permet de créer une expérience transparente afin que les pages affichées s’intègrent parfaitement au nom de domaine de votre application. Du point de vue de l’utilisateur, il reste dans votre domaine pendant le processus de connexion plutôt que d’être redirigé vers le domaine par défaut Azure AD B2C .b2clogin.com.

Pour plus d’informations, consultez Activer les domaines personnalisés.

Localisation

La personnalisation des langues dans Azure AD B2C vous permet de prendre en charge différentes langues pour répondre aux besoins de vos clients. Microsoft fournit des localisations pour 36 langues, mais vous pouvez également fournir vos propres localisations pour n’importe quelle langue.

Découvrez comment fonctionne la localisation dans Personnalisation de la langue dans Azure Active Directory B2C.

Vérification par e-mail

Azure AD B2C garantit la validité des adresses e-mail en demandant aux clients de les vérifier lors de l’inscription et des flux de réinitialisation du mot de passe. Cela empêche également les acteurs malveillants d’utiliser des processus automatisés pour générer des comptes frauduleux dans vos applications.

Vous pouvez personnaliser l’e-mail envoyé aux utilisateurs qui s’inscrivent pour utiliser vos applications. En utilisant un fournisseur de messagerie tiers, vous pouvez utiliser votre propre modèle d’e-mail et l’adresse de l’expéditeur et l’objet, ainsi que prendre en charge la localisation et les paramètres de mot de passe à usage unique (OTP) personnalisés. Pour plus d’informations, consultez :

• Vérification personnalisée de l’e-mail avec Mailjet
• Vérification d’e-mail personnalisée avec SendGrid

Ajoutez votre propre logique métier et appelez des API RESTful

Vous pouvez intégrer une API RESTful à la fois dans les flux d’utilisateurs et les stratégies personnalisées. La différence est que, dans les flux d’utilisateurs, vous effectuez des appels à des endroits spécifiés, tandis que dans les stratégies personnalisées, vous ajoutez votre propre logique métier au parcours. Cette fonctionnalité vous permet de récupérer et d’utiliser des données à partir de sources d’identité externes. Azure AD B2C peut échanger des données avec un service RESTful pour :

• Affichez des messages d'erreur personnalisés et intuitifs.
• Validez l’entrée de l’utilisateur pour éviter que les données incorrectes ne persistent dans votre répertoire d’utilisateurs. Par exemple, vous pouvez modifier les données saisies par l’utilisateur, par exemple en mettant en majuscule son prénom s’il l’a saisi en minuscules.
• Enrichissez les données utilisateur en les intégrant davantage à l’application métier de votre entreprise.
• À l’aide des appels RESTful, vous pouvez envoyer des notifications push, mettre à jour des bases de données d’entreprise, exécuter un processus de migration d’utilisateurs, gérer les autorisations, auditer les bases de données, etc.

Les programmes de fidélisation sont un autre scénario rendu possible par la prise en charge d’Azure AD B2C pour l’appel des API REST. Par exemple, votre service RESTful peut recevoir l’adresse e-mail d’un utilisateur, interroger votre base de données client, puis renvoyer le numéro de fidélité de l’utilisateur à Azure AD B2C.

Les données de retour peuvent être stockées dans le compte d’annuaire de l’utilisateur dans Azure AD B2C. Les données peuvent ensuite être évaluées plus en détail dans les étapes suivantes de la stratégie ou être incluses dans le jeton d’accès.

Vous pouvez ajouter un appel d’API REST à n’importe quelle étape d’un parcours utilisateur défini par une stratégie personnalisée. Par exemple, vous pouvez appeler une API REST :

• Lors de la connexion, juste avant qu’Azure AD B2C ne valide les informations d’identification
• Immédiatement après la connexion
• Avant la création d’un compte dans l’annuaire par Azure AD B2C
• Après la création d’un compte dans l’annuaire par Azure AD B2C
• Avant l’émission d’un jeton d’accès par Azure AD B2C

Pour plus d’informations, consultez À propos des connecteurs d’API dans Azure AD B2C.

Protocoles et jetons

• Pour les applications, Azure AD B2C prend en charge les protocoles OAuth 2.0, OpenID Connect et SAML pour les parcours utilisateur. Votre application démarre le parcours de l’utilisateur en émettant des demandes d’authentification à Azure AD B2C. Le résultat d’une demande adressée à Azure AD B2C est un jeton de sécurité, tel qu’un jeton d’ID, un jeton d’accès ou un jeton SAML. Ce jeton de sécurité définit l’identité de l’utilisateur au sein de l’application.

• Pour les identités externes, Azure AD B2C prend en charge la fédération avec n’importe quel fournisseur d’identité OAuth 1.0, OAuth 2.0, OpenID Connect et SAML.

Le diagramme suivant montre comment Azure AD B2C peut communiquer à l’aide de différents protocoles au sein du même flux d’authentification :

1. L’application cliente démarre une demande d’autorisation à Azure AD B2C en utilisant OpenID Connect.
2. Lorsqu’un utilisateur de l’application choisit de se connecter à l’aide d’un fournisseur d’identité externe qui utilise le protocole SAML, Azure AD B2C appelle le protocole SAML pour communiquer avec ce fournisseur d’identité.
3. Une fois que l’utilisateur a terminé l’opération de connexion avec le fournisseur d’identité externe, Azure AD B2C renvoie le jeton à l’application de la partie de confiance à l’aide d’OpenID Connect.

Intégration d’applications

Lorsqu’un utilisateur souhaite se connecter à votre application, celle-ci lance une demande d’autorisation vers un flux d’utilisateurs ou un point de terminaison fourni par une stratégie personnalisée. Le flux d’utilisateurs ou la stratégie personnalisée définit et contrôle l’expérience de l’utilisateur. Lorsqu’ils terminent un flux d’utilisateurs, par exemple le flux d’inscription ou de connexion , Azure AD B2C génère un jeton, puis redirige l’utilisateur vers votre application. Ce jeton est spécifique à Azure AD B2C et ne doit pas être confondu avec le jeton émis par des fournisseurs d’identité tiers lors de l’utilisation de comptes sociaux. Pour plus d’informations sur l’utilisation de jetons tiers, consultez Transmettre un jeton d’accès de fournisseur d’identité à votre application dans Azure Active Directory B2C.

Plusieurs applications peuvent utiliser le même flux d’utilisateurs ou la même stratégie personnalisée. Une seule application peut utiliser plusieurs flux d’utilisateurs ou des stratégies personnalisées.

Par exemple, pour se connecter à une application, l’application utilise le flux d’utilisateurs d’inscription ou de connexion . Une fois connecté, l’utilisateur peut vouloir modifier son profil, de sorte que l’application lance une autre demande d’autorisation, cette fois à l’aide du flux utilisateur de modification de profil .

Authentification multifacteur (MFA)

L’authentification multifacteur (MFA) Azure AD B2C permet de protéger l’accès aux données et aux applications tout en maintenant la simplicité pour vos utilisateurs. Il offre une sécurité supplémentaire en exigeant une deuxième forme d’authentification, et offre une authentification forte en proposant une gamme de méthodes d’authentification faciles à utiliser.

Vos utilisateurs peuvent ou non être mis au défi de l’authentification multifacteur en fonction des décisions de configuration que vous pouvez prendre en tant qu’administrateur.

Pour plus d’informations, consultez Activer l’authentification multifacteur dans Azure Active Directory B2C.

Accès conditionnel

Les fonctionnalités de détection des risques de Microsoft Entra ID Protection, y compris les utilisateurs à risque et les connexions à risque, sont automatiquement détectées et affichées dans votre locataire Azure AD B2C. Vous pouvez créer des stratégies d’accès conditionnel qui utilisent ces détections de risque pour déterminer les actions de correction et appliquer les stratégies organisationnelles.

Azure AD B2C évalue chaque événement de connexion et garantit que toutes les exigences de stratégie sont remplies avant d’accorder l’accès utilisateur. Les utilisateurs ou les connexions à risque peuvent être bloqués ou soumis à une correction spécifique telle que l’authentification multifacteur (MFA). Pour plus d’informations, consultez Protection de l’identité et accès conditionnel.

Complexité du mot de passe

Lors de l’inscription ou de la réinitialisation du mot de passe, vos utilisateurs doivent fournir un mot de passe qui répond aux règles de complexité. Par défaut, Azure AD B2C applique une stratégie de mot de passe fort. Azure AD B2C fournit également des options de configuration pour spécifier les exigences de complexité des mots de passe que vos clients utilisent lorsqu’ils utilisent des comptes locaux.

Pour plus d’informations, consultez Configurer les exigences de complexité pour les mots de passe dans Azure AD B2C.

Forcer la réinitialisation du mot de passe

En tant qu’administrateur de locataire Azure AD B2C, vous pouvez réinitialiser le mot de passe d’un utilisateur si celui-ci oublie son mot de passe. Vous pouvez également définir une politique pour forcer les utilisateurs à réinitialiser leur mot de passe périodiquement. Pour plus d’informations, consultez Configurer un flux de réinitialisation forcée du mot de passe.

Verrouillage de compte intelligent

Pour empêcher les tentatives de devinage de mot de passe par force brute, Azure AD B2C utilise une stratégie sophistiquée pour verrouiller les comptes en fonction de l’adresse IP de la demande, des mots de passe entrés et de plusieurs autres facteurs. La durée du cadenassage est automatiquement augmentée en fonction du risque et du nombre de tentatives.

Pour plus d’informations sur la gestion des paramètres de protection par mot de passe, consultez Atténuer les attaques d’informations d’identification dans Azure AD B2C.

Protégez les ressources et l’identité des clients

Azure AD B2C est conforme aux engagements en matière de sécurité, de confidentialité et autres décrits dans le Centre de gestion de la confidentialité Microsoft Azure.

Les sessions sont modélisées en tant que données chiffrées, la clé de déchiffrement étant connue uniquement du service de jeton de sécurité B2C (STS) Azure AD. Un algorithme de cryptage puissant, AES-192, est utilisé. Tous les chemins de communication sont protégés par TLS pour la confidentialité et l’intégrité. Notre service de jeton de sécurité utilise un certificat EV (Extended Validation) pour TLS. En général, le service de jeton de sécurité atténue les attaques de script intersite (XSS) en n’affichant pas les entrées non approuvées.

Accès aux données de l’utilisateur

Les locataires Azure AD B2C partagent de nombreuses caractéristiques avec les locataires Microsoft Entra d’entreprise utilisés pour les employés et les partenaires. Les aspects partagés incluent des mécanismes d’affichage des rôles administratifs, d’attribution de rôles et d’audit des activités.

Vous pouvez attribuer des rôles pour contrôler qui peut effectuer certaines actions administratives dans Azure AD B2C, notamment :

• Créer et gérer tous les aspects des flux d’utilisateurs
• Créer et gérer le schéma d’attributs disponible pour tous les flux d’utilisateurs
• Configuration des fournisseurs d’identité pour une utilisation dans la fédération directe
• Créer et gérer des politiques de cadre de confiance dans le Identity Experience Framework (politiques personnalisées)
• Gérer les secrets pour la fédération et le chiffrement dans Identity Experience Framework (stratégies personnalisées)

Pour plus d’informations sur les rôles Microsoft Entra, y compris la prise en charge des rôles d’administration Azure AD B2C, consultez Autorisations de rôle d’administrateur dans Microsoft Entra ID.

Audit et logs

Azure AD B2C crée des journaux d’audit contenant des informations d’activité sur ses ressources, les jetons émis et l’accès administrateur. Vous pouvez utiliser les journaux d’audit pour comprendre l’activité de la plateforme et diagnostiquer les problèmes. Les entrées du journal d’audit sont disponibles peu de temps après l’exécution de l’activité qui a généré l’événement.

Dans un journal d’audit, qui est disponible pour votre locataire Azure AD B2C ou pour un utilisateur particulier, vous pouvez trouver des informations, notamment :

• Activités concernant l’autorisation d’un utilisateur à accéder aux ressources B2C (par exemple, un administrateur accédant à une liste de stratégies B2C)
• Activités liées aux attributs d’annuaire récupérés lorsqu’un administrateur se connecte à l’aide du portail Azure
• Opérations de création, de lecture, de mise à jour et de suppression (CRUD) sur les applications B2C
• Opérations CRUD sur les clés stockées dans un conteneur de clés B2C
• Opérations CRUD sur les ressources B2C (par exemple, stratégies et fournisseurs d’identité)
• Validation des informations d’identification de l’utilisateur et émission de jetons

Pour plus d’informations sur les journaux d’audit, consultez Accès aux journaux d’audit Azure AD B2C.

Analyse de l’utilisation

Azure AD B2C vous permet de découvrir quand les gens s’inscrivent ou se connectent à votre application, où se trouvent les utilisateurs et quels navigateurs et systèmes d’exploitation ils utilisent.

En intégrant Azure Application Insights dans des stratégies personnalisées Azure AD B2C, vous pouvez obtenir des informations sur la façon dont les utilisateurs s’inscrivent, se connectent, réinitialisent leur mot de passe ou modifient leur profil. Grâce à ces connaissances, vous pouvez prendre des décisions basées sur les données pour vos prochains cycles de développement.

Pour plus d’informations, consultez Suivre le comportement des utilisateurs dans Azure Active Directory B2C à l’aide d’Application Insights.

Disponibilité des régions et résidence des données

Le service Azure AD B2C est généralement disponible dans le monde entier avec l’option de résidence des données dans les régions, comme spécifié dans Produits disponibles par région. La résidence des données est déterminée par le pays/la région que vous sélectionnez lorsque vous créez votre locataire.

En savoir plus sur le service Azure Active Directory B2C, la disponibilité et la résidence des données par région et l’accord de niveau de service (SLA) pour Azure Active Directory B2C.

Automatisation à l’aide de l’API Microsoft Graph

Utilisez l’API MS graph pour gérer votre annuaire Azure AD B2C. Vous pouvez également créer l’annuaire Azure AD B2C lui-même. Vous pouvez gérer les utilisateurs, les fournisseurs d’identité, les flux d’utilisateurs, les politiques personnalisées, etc.

En savoir plus sur la gestion d’Azure AD B2C avec Microsoft Graph.

Limites et restrictions du service Azure AD B2C

En savoir plus sur les limites et les restrictions du service Azure AD B2C

Étapes suivantes

Maintenant que vous avez une vue plus approfondie des fonctionnalités et des aspects techniques d’Azure Active Directory B2C :

• Commencez par notre tutoriel de création d’un locataire Azure Active Directory B2C.
• Configurer la connexion à une application d’une seule page à l’aide d’Azure Active Directory B2C
• Concepts d’Azure Active Directory B2C