Apple ID を使用してサインアップとサインインを設定する - Azure AD B2C

2025-05-03

重要

2025 年 5 月 1 日より、Azure AD B2C は新規のお客様向けに購入できなくなります。詳細については、FAQ を参照してください。

開始する前にこのページの上部にある ポリシーの種類 セレクターを使用して、設定するポリシーの種類を選択します。 Azure Active Directory B2C には、ユーザーがアプリケーションを操作する方法を定義する 2 つの方法 (定義済みのユーザーフローを使用する、または完全に構成可能なカスタムポリシーを使用する) があります。この記事で必要な手順は、方法ごとに異なります。

注

Azure Active Directory B2C で、カスタムポリシーは、主に、複雑なシナリオに取り組む用途向けに設計されています。ほとんどのシナリオで、組み込みユーザーフローを使用することをお勧めします。まだ行っていない場合は、Active Directory B2C でのカスタムポリシーの概要に関する記事で、カスタムポリシースターターパックの詳細を確認してください。

[前提条件]

ユーザーがサインアップしてアプリケーションにサインインできるように、ユーザーフローを作成します。
Web アプリケーションを登録します。

「Active Directory B2C でのカスタムポリシーの概要」の手順を完了してください。このチュートリアルでは、Azure AD B2C テナント構成を使用するようにカスタムポリシーファイルを更新する方法について説明します。
Web アプリケーションを登録します。

Apple ID アプリケーションを作成する

Azure Active Directory B2C (Azure AD B2C) で Apple ID を持つユーザーのサインインを有効にするには、 https://developer.apple.comでアプリケーションを作成する必要があります。詳細については、「 Apple でサインインする」を参照してください。 Apple 開発者アカウントをまだお持ちでない場合は、 Apple Developer Program にサインアップできます。

アカウントの資格情報を使用して Apple 開発者ポータルにサインインします。
メニューから、証明書、ID、& プロファイルを選択し、(+)を選択します。
[ 新しい識別子の登録] で、[ アプリ ID] を選択し、[ 続行] を選択します。
[ 種類の選択] で [ アプリ] を選択し、[ 続行] を選択します。
[アプリ ID の登録] の場合:
1. [Description](説明) を入力します。
2. などのcom.contoso.azure-ad-b2c入力します。
3. [機能] で、機能の一覧から [Apple でサインイン] を選択します。
4. この手順で チーム ID (アプリ ID プレフィックス) を書き留めます。この情報は後で必要になります。
5. [続行]、[登録] の順に選択します。
メニューから、証明書、ID、& プロファイルを選択し、(+)を選択します。
[ 新しい識別子の登録] で、[ サービス ID] を選択し、[続行] を選択 します。
[サービス ID の登録] の場合:
1. [Description]\(説明\) を入力します。説明は、同意画面にユーザーに表示されます。
2. など、com.consoto.azure-ad-b2c-serviceを入力します。 サービス ID 識別子を書き留めます。識別子は、OpenID Connect フローの クライアント ID です。
3. [続行] を選択し、次に [登録] を選択します。
[識別子] から、作成した識別子を選択します。
[Apple でサインイン] を選択し、[構成] を選択します。
1. Apple でのサインインを構成する プライマリアプリ ID を 選択します。
2. [ドメインとサブドメイン] に「your-tenant-name.b2clogin.com」と入力します。「your-tenant-name」をテナントの名前に置き換えます。カスタムドメインを使用する場合は、「https://your-domain-name」と入力します。
3. [ 戻る URL] に「 https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp」と入力します。カスタムドメインを使用する場合は、「https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp」と入力します。 your-tenant-nameをテナントの名前に置き換え、your-domain-nameをカスタムドメインに置き換えます。戻り値の URL はすべて小文字である必要があります。
4. [次 ] を選択し、そして [完了 ] を選択します。
5. ポップアップウィンドウが閉じたら、[続行] 選択し、[保存]選択します。

Apple クライアントシークレットの作成

Apple 開発者ポータルのメニューで、[キー ] を選択し、[(+)を選択します。
[新しいキーの登録] の場合:
1. キー名を入力してください。
2. [Apple でサインイン] を選択し、[構成] を選択します。
3. [プライマリアプリ ID] で、前に作成したアプリを選択し、[保存] を選択します。
4. [ 構成] を選択し、[ 登録 ] を選択してキーの登録プロセスを完了します。 キー IDをメモします。このキーは、ユーザーフローを構成するときに必要です。
[ キーのダウンロード] で、[ ダウンロード ] を選択して、キーを含む .p8 ファイルをダウンロードします。

Apple を ID プロバイダーとして構成する

少なくとも外部 ID プロバイダー管理者特権を持つアカウントで Azure portal にサインインします。
複数のテナントにアクセスできる場合、上部のメニューの [設定] アイコンを選択し、[ディレクトリとサブスクリプション] メニューからお使いの Azure AD B2C テナントに切り替えます。
Azure サービスで、Azure AD B2C を選択します。または、検索ボックスを使用して Azure AD B2C を検索して選択します。
[ ID プロバイダー] を選択し、[ Apple] を選択します。
[名前] に「Apple でサインインする」と入力します。
Apple 開発者 ID (チーム ID) を入力します。
Apple サービス ID (クライアント ID) を入力します。
「Apple クライアントシークレットの作成」の手順で Apple キー ID を入力します。
Apple 証明書データを選択してアップロードします。
保存を選択します。

重要

Apple でサインインするには、管理者が 6 か月ごとにクライアントシークレットを更新する必要があります。
Apple クライアントシークレットは、有効期限が切れると自動的に更新されます。シークレットを手動で更新する必要がある場合は、Azure portal で Azure AD B2C を開き、 ID プロバイダー>Apple に移動して、[ シークレットの更新] を選択します。
Apple でサインインボタンを提供する方法については、ガイドラインに従ってください。

Apple ID プロバイダーをユーザーフローに追加する

ユーザーが Apple ID を使用してサインインできるようにするには、Apple ID プロバイダーをユーザーフローに追加する必要があります。 Apple でのサインインは、推奨されるバージョンのユーザーフローに対してのみ構成できます。 Apple ID プロバイダーをユーザーフローに追加するには:

Azure AD B2C テナントで、[ ユーザーフロー] を選択します。
Apple ID プロバイダーを追加するユーザーフローを選択します。
[ ソーシャル ID プロバイダー] で、[ Apple] を選択します。
保存を選択します。
ポリシーをテストするには、[ ユーザーフローの実行] を選択します。
[アプリケーション] で、以前に登録した testapp1 という名前の Web アプリケーションを選択します。 応答 URL にhttps://jwt.msが表示されます。
[ ユーザーフローの実行 ] ボタンを選択します。
サインアップまたはサインインページで、Apple を選択して Apple ID でサインインします。

サインインプロセスが成功すると、ブラウザーは https://jwt.ms にリダイレクトされ、Azure AD B2C によって返されるトークンの内容が表示されます。

クライアントシークレットを署名する

以前にダウンロードした .p8 ファイルを使用して、クライアントシークレットを JWT に署名します。 JWT の作成と署名に使用できるライブラリは多数あります。トークンを作成する Azure 関数を使用します。

Azure 関数を作成します。
[ 開発者] で、[ コード + テスト] を選択します。
run.csx ファイルの内容をコピーし、エディターに貼り付けます。
保存を選択します。
HTTP POST 要求を行い、次の情報を指定します。
- appleTeamId: あなたの Apple 開発者チーム ID
- appleServiceId: Apple サービス ID (クライアント ID)
- appleKeyId: JWT ヘッダーに格納されている 10 桁のキー ID (Apple で必要)
- p8key: PEM 形式のキー。これを取得するには、テキストエディターで .p8 ファイルを開き、改行なしで -----BEGIN PRIVATE KEY----- と -----END PRIVATE KEY----- の間のすべてをコピーします。

次の json は、Azure 関数の呼び出しの例です。

{
    "appleTeamId": "ABC123DEFG",
    "appleServiceId": "com.yourcompany.app1",
    "appleKeyId": "URKEYID001",
    "p8key": "MIGTAgEAMBMGByqGSM49AgEGCCqGSM49AwEHBHkwdwIBAQQg+s07NiAcuGEu8rxsJBG7ttupF6FRe3bXdHxEipuyK82gCgYIKoZIzj0DAQehRANCAAQnR1W/KbbaihTQayXH3tuAXA8Aei7u7Ij5OdRy6clOgBeRBPy1miObKYVx3ki1msjjG2uGqRbrc1LvjLHINWRD"
}

Azure 関数は、応答で適切に書式設定され、署名されたクライアントシークレット JWT で応答します。次に例を示します。

{
    "token": "eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJjb20ueW91cmNvbXBhbnkuYXBwMSIsIm5iZiI6MTU2MDI2OTY3NSwiZXhwIjoxNTYwMzU2MDc1LCJpc3MiOiJBQkMxMjNERUZHIiwiYXVkIjoiaHR0cHM6Ly9hcHBsZWlkLmFwcGxlLmNvbSJ9.Dt9qA9NmJ_mk6tOqbsuTmfBrQLFqc9BnSVKR6A-bf9TcTft2XmhWaVODr7Q9w1PP3QOYShFXAnNql5OdNebB4g"
}

ポリシーキーを作成する

以前に Azure AD B2C テナントに記録したクライアントシークレットを格納する必要があります。

Azure portal にサインインします。
複数のテナントにアクセスできる場合、上部のメニューの [設定] アイコンを選択し、[ディレクトリとサブスクリプション] メニューからお使いの Azure AD B2C テナントに切り替えます。
Azure サービスで、Azure AD B2C を選択します。または、検索ボックスを使用して Azure AD B2C を検索して選択します。
[概要] ページで、[Identity Experience Framework] を選択します。
[ポリシーキー] を選択してから、[追加] を選択します。
[オプション] では、[手動] を選びます。
ポリシーキーの名前を入力します。たとえば、"AppleSecret" などです。プレフィックス "B2C_1A_" がキーの名前に自動的に追加されます。
[シークレット] に、Azure 関数 (JWT) によって返されるトークンの値を入力します。
[キー使用法] には [署名] を選択します。
を選択してを作成します。

重要

Apple でサインインするには、管理者が 6 か月ごとにクライアントシークレットを更新する必要があります。
Apple クライアントシークレットの有効期限が切れた場合は、手動で更新し、新しい値をポリシーキーに格納する必要があります。
新しいクライアントシークレットを生成するには、6 か月以内に独自のアラームを設定することをお勧めします。
Apple でサインインボタンを提供する方法については、ガイドラインに従ってください。

Apple を ID プロバイダーとして構成する

ユーザーが Apple ID を使用してサインインできるようにするには、Azure AD B2C がエンドポイント経由で通信できるクレームプロバイダーとしてアカウントを定義する必要があります。エンドポイントは、特定のユーザーが認証されていることを確認するために Azure AD B2C によって使用されるクレームのセットを提供します。

Apple ID をクレームプロバイダーとして定義するには、ポリシーの拡張ファイルの ClaimsProviders 要素に追加します。

TrustFrameworkExtensions.xmlを開きます。
ClaimsProviders 要素を検索します。存在しない場合は、ルート要素の下に追加します。

次のように新しい ClaimsProvider を追加します。

<ClaimsProvider>
  <Domain>apple.com</Domain>
  <DisplayName>Apple</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="Apple-OIDC">
      <DisplayName>Sign in with Apple</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="ProviderName">apple</Item>
        <Item Key="authorization_endpoint">https://appleid.apple.com/auth/authorize</Item>
        <Item Key="AccessTokenEndpoint">https://appleid.apple.com/auth/token</Item>
        <Item Key="JWKS">https://appleid.apple.com/auth/keys</Item>
        <Item Key="issuer">https://appleid.apple.com</Item>
        <Item Key="scope">name email openid</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="response_types">code</Item>
        <Item Key="external_user_identity_claim_id">sub</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="ReadBodyClaimsOnIdpRedirect">user.name.firstName user.name.lastName user.email</Item>
        <Item Key="client_id">You Apple ID</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_AppleSecret"/>
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="https://appleid.apple.com" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="user.name.firstName"/>
        <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="user.name.lastName"/>
        <OutputClaim ClaimTypeReferenceId="email" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName"/>
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName"/>
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId"/>
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId"/>
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

client_idをサービス識別子に設定します。たとえば、com.consoto.azure-ad-b2c-service のようにします。
ファイルを保存します。

ユーザー体験を追加する

この時点で、ID プロバイダーは設定されていますが、どのサインインページでもまだ使用できません。独自のカスタムユーザー体験がない場合は、既存のテンプレートユーザー体験の複製を作成します。それ以外の場合は、次の手順に進みます。

スターターパックから TrustFrameworkBase.xml ファイルを開きます。
を含む Id="SignUpOrSignIn" 要素の内容全体を検索してコピーします。
TrustFrameworkExtensions.xml を開き、UserJourneys 要素を見つけます。要素が存在しない場合は、要素を追加します。
UserJourneys 要素の子としてコピーした UserJourney 要素の内容全体を貼り付けます。
ユーザージャーニーの ID を変更します。たとえば、Id="CustomSignUpSignIn" のようにします。

ID プロバイダーをユーザー体験に追加する

これでユーザー体験が作成されたので、新しい ID プロバイダーをユーザー体験に追加します。最初にサインインボタンを追加し、そのボタンをアクションにリンクします。あなたが以前に作成した技術プロファイルがこのアクションです。

ユーザー体験に Type="CombinedSignInAndSignUp"または Type="ClaimsProviderSelection" を含むオーケストレーションステップ要素を見つけます。通常は、オーケストレーションの最初の手順です。 ClaimsProviderSelections 要素には、ユーザーがサインインできる ID プロバイダーの一覧が含まれています。要素の順序は、ユーザーに表示されるサインインボタンの順序を制御します。 ClaimsProviderSelection XML 要素を追加します。 TargetClaimsExchangeId の値をフレンドリ名に設定します。
次のオーケストレーション手順で、 ClaimsExchange 要素を追加します。 Id をターゲット要求交換 ID の値に設定します。TechnicalProfileReferenceId の値を、先ほど作成した技術プロファイルの ID に更新します。

次の XML は、ID プロバイダーを使用したユーザー体験の最初の 2 つのオーケストレーション手順を示しています。

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="AppleExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="AppleExchange" TechnicalProfileReferenceId="Apple-OIDC" />
  </ClaimsExchanges>
</OrchestrationStep>

依存先パーティーポリシーを構成する

証明書利用者ポリシー ( SignUpSignIn.xmlなど) は、Azure AD B2C が実行するユーザー体験を指定します。 依存するパーティー内で DefaultUserJourney 要素を検索します。追加した ID プロバイダーのユーザージャーニー ID と一致するように ReferenceId を更新します。

次の例では、 CustomSignUpSignIn ユーザー体験の ReferenceId が CustomSignUpSignInに設定されています。

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

カスタムポリシーをアップロードする

Azure portal にサインインします。
ポータルのツールバーで [ディレクトリ + サブスクリプション ] アイコンを選択し、Azure AD B2C テナントが含まれているディレクトリを選択します。
Azure portal で、 [Azure AD B2C] を検索して選択します。
[ ポリシー] で、[ Identity Experience Framework] を選択します。
[ カスタムポリシーのアップロード] を選択し、変更した 2 つのポリシーファイルを次の順序でアップロードします。拡張機能ポリシー ( TrustFrameworkExtensions.xmlなど)、証明書利用者ポリシー ( SignUpSignIn.xmlなど)。

カスタムポリシーをテストする

関連パーティポリシー（例: B2C_1A_signup_signin）を選択してください。
[ アプリケーション] で、以前に登録した Web アプリケーションを選択します。 応答 URL にhttps://jwt.msが表示されます。
[ 今すぐ実行 ] ボタンを選択します。
サインアップまたはサインインページで、Apple を選択して Apple ID でサインインします。

サインインプロセスが成功すると、ブラウザーは https://jwt.ms にリダイレクトされ、Azure AD B2C によって返されるトークンの内容が表示されます。

ユーザーインターフェイスをカスタマイズする

Apple でサインインを提供する方法については、ガイドラインに従ってください。 Apple には、ユーザー がアカウントを 設定してサインインできるようにするために使用できる Apple ボタンを使用したサインインがいくつか用意されています。必要に応じて、Apple でのサインインを提供するカスタムボタンを作成します。 Apple ボタンを使用してサインインを表示する方法について説明します。

Apple ユーザーインターフェイスのガイドラインに合わせるには、次の手順を実行します。

HTML テンプレートを使用してユーザーインターフェイスをカスタマイズする
ID プロバイダー名をローカライズします。

次の方法で共有

Azure Active Directory B2C を使用して Apple ID でサインアップとサインインを設定する

[前提条件]

Apple ID アプリケーションを作成する

Apple クライアント シークレットの作成

Apple を ID プロバイダーとして構成する

Apple ID プロバイダーをユーザー フローに追加する

クライアント シークレットを署名する

ポリシー キーを作成する

Apple を ID プロバイダーとして構成する

ユーザー体験を追加する

ID プロバイダーをユーザー体験に追加する

依存先パーティーポリシーを構成する

カスタム ポリシーをアップロードする

カスタム ポリシーをテストする

ユーザー インターフェイスをカスタマイズする

フィードバック

その他のリソース

Apple クライアントシークレットの作成

Apple ID プロバイダーをユーザーフローに追加する

クライアントシークレットを署名する

ポリシーキーを作成する

カスタムポリシーをアップロードする

カスタムポリシーをテストする

ユーザーインターフェイスをカスタマイズする