初めての Azure Active Directory B2C カスタムポリシーを作成する - Hello World!

[アーティクル]
01/11/2024

お使いのアプリケーションに、ユーザーによるサインアップ、サインイン、プロファイル管理を可能にするユーザーフローを使用できます。ユーザーフローがビジネス固有のニーズをすべてカバーしてはいない場合は、カスタムポリシーを使用できます。

事前に作成されたカスタムポリシースターターパックを使用してカスタムポリシーを記述できますが、カスタムポリシーの構築方法を理解しておくことが重要です。この記事では、最初のカスタムポリシーを一から作成する方法について説明します。

前提条件

まだ持っていない場合は、お使いの Azure サブスクリプションにリンクされている Azure AD B2C テナントを作成します。
Web アプリケーションを登録し、ID トークンの暗黙的な許可を有効にします。リダイレクト URI には https://jwt.ms を使用します。
お使いのコンピューターに Visual Studio Code (VS Code) がインストールされている必要があります。

Note

この記事は、Azure Active Directory B2C での独自のカスタムポリシーの作成と実行に関するハウツーガイドシリーズの一部です。このシリーズは、最初の記事から読み始めることをお勧めします。

手順 1 - 署名および暗号化キーを構成する

まだ行っていない場合は、次の暗号化キーを作成します。以下のチュートリアルを自動化するには、IEF セットアップアプリにアクセスし、指示に従います。

「Identity Experience Framework アプリケーションの署名および暗号化キーを追加する」の手順を使用して、署名キーを作成します。
「Identity Experience Framework アプリケーションの署名および暗号化キーを追加する」の手順を使用して、暗号化キーを作成します。

手順 2 - カスタムポリシーファイルをビルドする

VS Code で、ContosoCustomPolicy.XML ファイルを作成して開きます。

ContosoCustomPolicy.XML ファイルに、次のコードを追加します。

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <TrustFrameworkPolicy
      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
      xmlns:xsd="http://www.w3.org/2001/XMLSchema"
      xmlns="http://schemas.microsoft.com/online/cpim/schemas/2013/06"
      PolicySchemaVersion="0.3.0.0"
      TenantId="yourtenant.onmicrosoft.com"
      PolicyId="B2C_1A_ContosoCustomPolicy"
      PublicPolicyUri="http://yourtenant.onmicrosoft.com/B2C_1A_ContosoCustomPolicy">

        <BuildingBlocks>
            <!-- Building Blocks Here-->
        </BuildingBlocks>

        <ClaimsProviders>
            <!-- Claims Providers Here-->
        </ClaimsProviders>

        <UserJourneys>
            <!-- User Journeys Here-->
        </UserJourneys>

        <RelyingParty>
            <!-- 
                Relying Party Here that's your policy’s entry point
                Specify the User Journey to execute 
                Specify the claims to include in the token that is returned when the policy runs
            -->
        </RelyingParty>
    </TrustFrameworkPolicy>

yourtenant を、テナント名のサブドメイン部分 (contoso など) に置き換えます。テナント名を取得する方法について説明します。

XML 要素は、ポリシー ID とテナント名を持つポリシーファイルの最上位 TrustFrameworkPolicy 要素を定義します。 TrustFrameworkPolicy 要素には、このシリーズで使用する他の XML 要素が含まれています。

要求を宣言するには、ContosoCustomPolicy.XML ファイルの BuildingBlocks セクションに次のコードを追加します。

  <ClaimsSchema>
    <ClaimType Id="objectId">
        <DisplayName>unique object Id for subject of the claims being returned</DisplayName>
        <DataType>string</DataType>
    </ClaimType>        
    <ClaimType Id="message">
        <DisplayName>Will hold Hello World message</DisplayName>
        <DataType>string</DataType>
    </ClaimType>
  </ClaimsSchema>

要求は変数に似ています。要求の宣言には、要求のデータ型も表示されます。

ContosoCustomPolicy.XML ファイルの ClaimsProviders セクションで、次のコードを追加します。

    <ClaimsProvider>
      <DisplayName>Token Issuer</DisplayName>
      <TechnicalProfiles>
        <TechnicalProfile Id="JwtIssuer">
          <DisplayName>JWT Issuer</DisplayName>
          <Protocol Name="None" />
          <OutputTokenFormat>JWT</OutputTokenFormat>
          <Metadata>
            <Item Key="client_id">{service:te}</Item>
            <Item Key="issuer_refresh_token_user_identity_claim_type">objectId</Item>
            <Item Key="SendTokenResponseBodyWithJsonNumbers">true</Item>
          </Metadata>
          <CryptographicKeys>
            <Key Id="issuer_secret" StorageReferenceId="B2C_1A_TokenSigningKeyContainer" />
            <Key Id="issuer_refresh_token_key" StorageReferenceId="B2C_1A_TokenEncryptionKeyContainer" />
          </CryptographicKeys>
        </TechnicalProfile>
      </TechnicalProfiles>
    </ClaimsProvider>

    <ClaimsProvider>
      <!-- The technical profile(s) defined in this section is required by the framework to be included in all custom policies. -->
      <DisplayName>Trustframework Policy Engine TechnicalProfiles</DisplayName>
      <TechnicalProfiles>
        <TechnicalProfile Id="TpEngine_c3bd4fe2-1775-4013-b91d-35f16d377d13">
          <DisplayName>Trustframework Policy Engine Default Technical Profile</DisplayName>
          <Protocol Name="None" />
          <Metadata>
            <Item Key="url">{service:te}</Item>
          </Metadata>
        </TechnicalProfile>
      </TechnicalProfiles>
    </ClaimsProvider>

JWT トークン発行者を宣言しました。手順 1 で別の名前を使用して署名キーと暗号化キーを構成した場合は、CryptographicKeys セクションで StorageReferenceId に正しい値を使用していることを確認します。

ContosoCustomPolicy.XML ファイルの UserJourneys セクションで、次のコードを追加します。
```
  <UserJourney Id="HelloWorldJourney">
    <OrchestrationSteps>
      <OrchestrationStep Order="1" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />
    </OrchestrationSteps>
  </UserJourney>
```
UserJourney を追加しました。ユーザー体験では、Azure AD B2C で要求が処理される際にエンドユーザーが通過するビジネスロジックを指定します。このユーザー体験には、次の手順で定義する要求で JTW トークンを発行する手順が 1 つだけ含まれています。

ContosoCustomPolicy.XML ファイルの RelyingParty セクションで、次のコードを追加します。

  <DefaultUserJourney ReferenceId="HelloWorldJourney"/>
  <TechnicalProfile Id="HelloWorldPolicyProfile">
    <DisplayName>Hello World Policy Profile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" DefaultValue="abcd-1234-efgh-5678-ijkl-etc."/>
      <OutputClaim ClaimTypeReferenceId="message" DefaultValue="Hello World!"/>
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>

RelyingParty セクションは、ポリシーのエントリポイントです。実行する UserJourney と、ポリシーの実行時に返されるトークンに含める要求を指定します。

手順 2 を完了すると、ContosoCustomPolicy.XML ファイルは次のコードのようになります。

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <TrustFrameworkPolicy xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns="http://schemas.microsoft.com/online/cpim/schemas/2013/06" PolicySchemaVersion="0.3.0.0" TenantId="Contosob2c2233.onmicrosoft.com" PolicyId="B2C_1A_ContosoCustomPolicy" PublicPolicyUri="http://Contosob2c2233.onmicrosoft.com/B2C_1A_ContosoCustomPolicy">
        <BuildingBlocks>
            <ClaimsSchema>
            <ClaimType Id="objectId">
                <DisplayName>unique object Id for subject of the claims being returned</DisplayName>
                <DataType>string</DataType>
            </ClaimType>        
            <ClaimType Id="message">
                <DisplayName>Will hold Hello World message</DisplayName>
                <DataType>string</DataType>
            </ClaimType>
            </ClaimsSchema>
        </BuildingBlocks>
        <ClaimsProviders><!--Claims Providers Here-->
            <ClaimsProvider>
                <DisplayName>Token Issuer</DisplayName>
                <TechnicalProfiles>
                    <TechnicalProfile Id="JwtIssuer">
                        <DisplayName>JWT Issuer</DisplayName>
                        <Protocol Name="None"/>
                        <OutputTokenFormat>JWT</OutputTokenFormat>
                        <Metadata>
                            <Item Key="client_id">{service:te}</Item>
                            <Item Key="issuer_refresh_token_user_identity_claim_type">objectId</Item>
                            <Item Key="SendTokenResponseBodyWithJsonNumbers">true</Item>
                        </Metadata>
                        <CryptographicKeys>
                            <Key Id="issuer_secret" StorageReferenceId="B2C_1A_TokenSigningKeyContainer"/>
                            <Key Id="issuer_refresh_token_key" StorageReferenceId="B2C_1A_TokenEncryptionKeyContainer"/>
                        </CryptographicKeys>
                    </TechnicalProfile>
                </TechnicalProfiles>
            </ClaimsProvider>
    
            <ClaimsProvider>
            <DisplayName>Trustframework Policy Engine TechnicalProfiles</DisplayName>
            <TechnicalProfiles>
                <TechnicalProfile Id="TpEngine_c3bd4fe2-1775-4013-b91d-35f16d377d13">
                <DisplayName>Trustframework Policy Engine Default Technical Profile</DisplayName>
                <Protocol Name="None" />
                <Metadata>
                    <Item Key="url">{service:te}</Item>
                </Metadata>
                </TechnicalProfile>
            </TechnicalProfiles>
            </ClaimsProvider>
        </ClaimsProviders>
      <UserJourneys>
        <UserJourney Id="HelloWorldJourney">
          <OrchestrationSteps>
            <OrchestrationStep Order="1" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />
          </OrchestrationSteps>
        </UserJourney>
      </UserJourneys>
        <RelyingParty><!-- 
                Relying Party Here that's your policy’s entry point
                Specify the User Journey to execute 
                Specify the claims to include in the token that is returned when the policy runs
            -->
            <DefaultUserJourney ReferenceId="HelloWorldJourney"/>
            <TechnicalProfile Id="HelloWorldPolicyProfile">
                <DisplayName>Hello World Policy Profile</DisplayName>
                <Protocol Name="OpenIdConnect"/>
                <OutputClaims>
                    <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" DefaultValue="abcd-1234-efgh-5678-ijkl-etc."/>
                    <OutputClaim ClaimTypeReferenceId="message" DefaultValue="Hello World!"/>
                </OutputClaims>
                <SubjectNamingInfo ClaimType="sub"/>
            </TechnicalProfile>
        </RelyingParty>
    </TrustFrameworkPolicy>

手順 3 - カスタムポリシーファイルをアップロードする

Azure portal にサインインします。
複数のテナントにアクセスできる場合、上部のメニューの [設定] アイコンを選択し、[ディレクトリとサブスクリプション] メニューからお使いの Azure AD B2C テナントに切り替えます。
Azure portal で、 [Azure AD B2C] を検索して選択します。
左側のメニューの [ポリシー] で、[Identity Experience Framework] を選択します。
[カスタムポリシーのアップロード] を選択し、参照して選択し、ContosoCustomPolicy.XML ファイルをアップロードします。

ファイルをアップロードすると、Azure AD B2C によってプレフィックス B2C_1A_ が追加されるため、名前は B2C_1A_CONTOSOCUSTOMPOLICY のようになります。

手順 4 - カスタムポリシーをテストする

[カスタムポリシー] で、[B2C_1A_CONTOSOCUSTOMPOLICY] を選択します。
カスタムポリシーの概要ページの [アプリケーションの選択] で、以前に登録した webapp1 などの Web アプリケーションを選択します。 [応答 URL の選択] の値が https://jwt.ms に設定されていることを確認します。
[今すぐ実行] ボタンを選択します。

ポリシーの実行が完了すると、https://jwt.ms にリダイレクトされ、デコードされた JWT トークンが表示されます。次の JWT トークンスニペットのようになります。

    {
      "typ": "JWT",
      "alg": "RS256",
      "kid": "pxLOMWFg...."
    }.{
      ...
      "sub": "abcd-1234-efgh-5678-ijkl-etc.",
      ...
      "acr": "b2c_1a_contosocustompolicy",
      ...
      "message": "Hello World!"
    }.[Signature]

RelyingParty セクションで出力要求として設定した message と sub 要求に注目してください。

次のステップ

この記事では、Azure AD B2C カスタムポリシーに含まれる 4 つのセクションについて学習し、使用しました。これらのセクションは、TrustFrameworkPolicy ルート要素の子要素として追加されます。

BuildingBlocks
ClaimsProviders
UserJourneys
RelyingParty

次は、以下を学びます。

カスタムポリシーを使用してユーザー入力を収集して使用する方法。
カスタムポリシーの要求の概要について。
カスタムポリシー要求を宣言する方法。
カスタムポリシーの要求のデータ型について。
カスタムポリシーのユーザー入力の型について。

次の方法で共有

初めての Azure Active Directory B2C カスタムポリシーを作成する - Hello World!

前提条件

手順 1 - 署名および暗号化キーを構成する

手順 2 - カスタムポリシーファイルをビルドする

手順 3 - カスタムポリシーファイルをアップロードする

手順 4 - カスタムポリシーをテストする

次のステップ

その他のリソース

次の方法で共有

初めての Azure Active Directory B2C カスタム ポリシーを作成する - Hello World!

前提条件

手順 1 - 署名および暗号化キーを構成する

手順 2 - カスタム ポリシー ファイルをビルドする

手順 3 - カスタム ポリシー ファイルをアップロードする

手順 4 - カスタム ポリシーをテストする

次のステップ

その他のリソース

初めての Azure Active Directory B2C カスタムポリシーを作成する - Hello World!

手順 2 - カスタムポリシーファイルをビルドする

手順 3 - カスタムポリシーファイルをアップロードする

手順 4 - カスタムポリシーをテストする