Azure Active Directory B2C カスタムポリシーで OAuth2 技術プロファイルを定義する

[アーティクル]
01/11/2024

注意

Azure Active Directory B2C で、カスタムポリシーは、主に、複雑なシナリオに取り組む用途向けに設計されています。ほとんどのシナリオで、組み込みユーザーフローを使用することをお勧めします。まだ行っていない場合は、Active Directory B2C でのカスタムポリシーの概要に関する記事で、カスタムポリシースターターパックの詳細を確認してください。

Azure Active Directory B2C (Azure AD B2C) では、OAuth2 プロトコルの ID プロバイダーのサポートを提供しています。 OAuth2 は、認可および委任された認証のための主要なプロトコルです。詳細については、「RFC 6749 The OAuth 2.0 Authorization Framework」を参照してください。 OAuth2 技術プロファイルを使用して、Facebook などの OAuth2 ベースの ID プロバイダーとフェデレーションできます。 ID プロバイダーとのフェデレーションにより、ユーザーは、既存のソーシャル ID またはエンタープライズ ID でサインインできます。

Protocol

Protocol 要素の Name 属性は OAuth2 に設定する必要があります。たとえば、Facebook-OAUTH 技術プロファイル用のプロトコルは OAuth2 です。

<TechnicalProfile Id="Facebook-OAUTH">
  <DisplayName>Facebook</DisplayName>
  <Protocol Name="OAuth2" />
  ...

入力クレーム

InputClaims と InputClaimsTransformations の要素は不要です。ただし、追加のパラメーターを ID プロバイダーに送信する場合があります。次の例では、値が contoso.com である domain_hint クエリ文字列パラメーターを認可要求に追加しています。

<InputClaims>
  <InputClaim ClaimTypeReferenceId="domain_hint" DefaultValue="contoso.com" />
</InputClaims>

出力クレーム

OutputClaims 要素には、OAuth2 ID プロバイダーにより返される要求の一覧が存在します。お使いのポリシーに定義されている要求の名前を、ID プロバイダーで定義されている名前にマップする必要があるかもしれません。 DefaultValue 属性を設定している限り、ID プロバイダーにより返されない要求を追加することもできます。

OutputClaimsTransformations 要素には、出力要求を修正したり新しい要求を生成するために使用される、OutputClaimsTransformation 要素のコレクションが含まれている場合があります。

次の例は、Facebook ID プロバイダーにより返される要求を示しています。

givenName 要求にマップされている first_name 要求。
surname 要求にマップされている last_name 要求。
どの名前にもマップされていない displayName 要求。
どの名前にもマップされていない email 要求。

また、技術プロファイルは、ID プロバイダーにより返されない要求も返します。

ID プロバイダーの名前を保持する identityProvider 要求。
既定値の socialIdpAuthentication である authenticationSource 要求。

<OutputClaims>
  <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="id" />
  <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="first_name" />
  <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="last_name" />
  <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
  <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
  <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="facebook.com" />
  <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
</OutputClaims>

承認エンドポイントメタデータ

認可フローは、Azure AD B2C によってユーザーが OAuth2 ID プロバイダー /authorize エンドポイントに送信されるときに開始されます。承認エンドポイントの呼び出しは、ユーザーがアクションを実行するフローの対話部分です。この時点で、ユーザーは OAuth2 ID プロバイダーでサインインを完了するよう求められます。たとえば、ユーザー名とパスワードを入力します。

Azure AD B2C では、ID プロバイダーからアクセストークンを取得するために必要なクライアント ID、スコープ、リダイレクト URI、その他のパラメーターを指定することで、認可要求を作成します。このセクションでは、ID プロバイダーの /authorize エンドポイントに対する要求を構成できるようにする、承認エンドポイントメタデータについて説明します。

承認エンドポイントへの要求は常に HTTP GET です。次の例は、承認エンドポイントの呼び出しを示しています。

GET https://login.contoso.com/oauth/v2/authorization?
client_id=12345
&response_type=code
&response_mode=query
&redirect_uri=urn%3Aietf%3Awg%3Aoauth%3A2.0%3Aoob
&scope=profile%20offline_access
&redirect_uri=https%3a%2f%2fabrikam.b2clogin.com%2fabrikam.onmicrosoft.com%2foauth2%2fauthresp
&state=...

次の表に、承認エンドポイントメタデータを示します。

属性	必須	説明
`authorization_endpoint`	はい	RFC 6749 に準拠した承認エンドポイントの URL。
`client_id`	はい	ID プロバイダーのアプリケーション識別子。
`AdditionalRequestQueryParameters`	No	追加の要求クエリパラメーター。たとえば、追加のパラメーターを ID プロバイダーに送信する場合があります。コンマ区切り記号を使用して、複数のパラメーターを列挙できます。
`response_mode`	いいえ	Azure AD B2C に結果を返信するために、ID プロバイダーが使用するメソッド。指定できる値: `query`、`form_post` (既定)、または `fragment`。
`scope`	いいえ	OAuth2 ID プロバイダーの仕様に従って定義される要求の範囲。たとえば、`openid`、`profile`、`email` などです。
`UsePolicyInRedirectUri`	いいえ	リダイレクト URI を構築するときにポリシーを使用するかどうかを示します。 ID プロバイダーでアプリケーションを構成するときは、リダイレクト URI を指定する必要があります。リダイレクト URI は Azure AD B2C を指します (`https://{your-tenant-name}.b2clogin.com/{your-tenant-name}.onmicrosoft.com/oauth2/authresp`)。 `true` を指定した場合は、使用するポリシーごとにリダイレクト URI を追加する必要があります。 (例: `https://{your-tenant-name}.b2clogin.com/{your-tenant-name}.onmicrosoft.com/{policy-name}/oauth2/authresp`)。

トークンエンドポイントメタデータ

ユーザーが ID プロバイダーの承認エンドポイントで認証を完了すると、認可 code を含む応答が Azure AD B2C に返されます。 Azure AD B2C では、POST 要求を ID プロバイダーの /token エンドポイントに送信することで、アクセストークンの認可コードを引き換えます。このセクションでは、ID プロバイダーの /token エンドポイントに対する要求を構成できるようにする、トークンエンドポイントメタデータについて説明します。

次の HTTP 要求は、ID プロバイダーのトークンエンドポイントへの Azure AD B2C 呼び出しを示しています。

POST https://contoso/oauth2/token 
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&client_id=12345&scope=profile offline_access&code=AwABAAAAvPM1KaPlrEqdFSBzjqfTGBCmLdgfSTLEMPGYuNHSUYBrq...

次の表に、トークンエンドポイントメタデータを示します。

属性	必須	説明
`AccessTokenEndpoint`	はい	トークンエンドポイントの URL。たとえば、「 `https://www.linkedin.com/oauth/v2/accessToken` 」のように入力します。
`HttpBinding`	いいえ	トークンエンドポイントへの予想される HTTP バインディング。指定できる値: `GET` または `POST`。
`AccessTokenResponseFormat`	いいえ	アクセストークンエンドポイント呼び出しの形式。たとえば、Facebook では HTTP GET メソッドが必要ですが、アクセストークン応答は JSON 形式です。指定できる値: `Default`、`Json`、`JsonP`。
`ExtraParamsInAccessTokenEndpointResponse`	いいえ	AccessTokenEndpoint からの応答に、一部の ID プロバイダーにより返される可能性がある余分なパラメーターが存在します。たとえば、AccessTokenEndpoint からの応答には、`openid` のような余分なパラメーターがあります。これは、access_token を除けば、ClaimsEndpoint 要求クエリ文字列での必須パラメーターです。複数のパラメーター名をエスケープし、コンマ ',' 区切り記号で区切るようにしてください。
`token_endpoint_auth_method`	No	Azure AD B2C からトークンエンドポイントに認証ヘッダーを送信する方法を指定します。指定できる値: `client_secret_post` (既定値)、および `client_secret_basic`、`private_key_jwt`。詳細については、OpenID Connect クライアント認証に関するセクションをご覧ください。
`token_signing_algorithm`	いいえ	`token_endpoint_auth_method` が `private_key_jwt` に設定されている場合に使用する署名アルゴリズムを指定します。指定できる値: `RS256` (既定値) または `RS512`。

HTTP バインドメソッドを構成する

既定では、トークンエンドポイントへの要求では HTTP POST が使用されます。

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="HttpBinding">POST</Item>

次の HTTP 呼び出しは、HTTP POST 要求を使用したトークンエンドポイントの呼び出しを示しています。

POST /oauth2/token

client_id=abcd&client_secret=1234&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

/token エンドポイントで HTTP GET メソッドを使用する必要がある ID プロバイダーでは、HttpBinding メタデータを GET に設定します。次の例では、トークンエンドポイントによって JSON 形式で応答が返されるので、AccessTokenResponseFormat は json に設定されています。

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="HttpBinding">GET</Item>
<Item Key="AccessTokenResponseFormat">json</Item>

GET /oauth2/token?client_id=abcd&client_secret=1234&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

アクセストークン応答の形式を構成する

HTTP POST メソッドをサポートする ID プロバイダーでは、AccessTokenResponseFormat は既定で json に設定されます。 ID プロバイダーで HTTP GET 要求がサポートされる場合は、アクセストークン応答の形式を明示的に json に設定する必要があります。

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="HttpBinding">GET</Item>
<Item Key="AccessTokenResponseFormat">json</Item>

次の例は、JSON 形式のトークンエンドポイント応答を示しています。

{
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...",
    "token_type": "Bearer",
    "not_before": 1637924390,
    "expires_in": 960000,
}

認証方法を構成する

トークンエンドポイントへの要求には常に認証が必要です。既定では、Azure AD B2C によってクライアント資格情報が ID プロバイダーに提供されます。既定では、認証方法は、要求本文内のクライアントの資格情報 (client_id および client_secret) を含む client_secret_post です。

トークンエンドポイントに対する次の HTTP 要求には、POST データの client_id と client_secret が含まれています。 GET 要求では、client_id と client_secret がクエリ文字列パラメーターに含まれます。

POST /oauth2/token

client_id=abcd&client_secret=1234&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

/token エンドポイントで HTTP 基本認証を使用する必要がある ID プロバイダーの場合は、token_endpoint_auth_method メタデータを client_secret_basic に構成します。この種類の認証方法では、クライアントの資格情報は、HTTP 基本認証スキームを使用して ID プロバイダーに渡されます。

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="token_endpoint_auth_method">client_secret_basic</Item>

次の HTTP 要求は、HTTP 基本認証を使用したトークンエンドポイントの呼び出しを示しています。 Authorization ヘッダーには、base64 でエンコードされた client_ID:client_secret 形式のクライアント ID とクライアントシークレットが含まれています。

POST /oauth2/token

Authorization: Basic YWJjZDoxMjM0

redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

秘密キー JWT 認証をサポートする ID プロバイダーでは、token_endpoint_auth_method メタデータを private_key_jwt に構成します。この種類の認証方法では、Azure AD B2C に提供された証明書を使用して、署名付きアサーションが生成されます。これは、client_assertion パラメーターを使用して ID プロバイダーに渡されます。 client_assertion_type は urn:ietf:params:oauth:client-assertion-type:jwt-bearer に設定されます。 token_signing_algorithm メタデータによって、JWT トークンの署名アルゴリズムが指定されます。

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="token_endpoint_auth_method">private_key_jwt</Item>
<Item Key="token_signing_algorithm">RS256</Item>

次の HTTP 要求は、秘密キー JWT 認証を使用したトークンエンドポイントの呼び出しを示しています。

POST /oauth2/token

client_assertion=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiIsImtpZCI6IjJFRFg0dWRYeDIxbXNoaXdJVzczMUY3OUZSbFJiUDZXVXJyZmktR1RFeVkifQ.eyJpc3MiOiJhYmNkIiwiZXhwIjoxNjM3OTI5ODY0LCJuYmYiOjE2Mzc5Mjk1NjQsImF1ZCI6Imh0dHBzOi8vNWRlNC0xMDktNjQtMTI0LTUzLm5ncm9rLmlvL2FjY2Vzc190b2tlbiIsImp0aSI6IjVxQWlGV2lEODNDbU1KWWNrejBRdGc9PSIsInN1YiI6ImFiY2QiLCJpYXQiOjE2Mzc5Mjk1NjR9.C4OtRnrLaQatpT5LP45O5Nb418S4v8yZi_C42ld440w&client_id=abcd&client_assertion_type=urn%3aietf%3aparams%3aoauth%3aclient-assertion-type%3ajwt-bearer&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

ユーザー情報エンドポイントメタデータ

Azure AD B2C では、OAuth2 ID プロバイダーからアクセストークンを取得した後、ユーザー情報エンドポイントを呼び出します。ユーザー情報エンドポイント (要求エンドポイントとも呼ばれます) は、認証されたユーザーに関する要求を取得するように設計されています。 Azure AD B2C では、ベアラートークン認証を使用して、ID プロバイダーのユーザー情報エンドポイントに対する認証を行います。ベアラートークンは Azure AD B2C によって ID プロバイダー /token エンドポイントから取得されるアクセストークンです。

ユーザー情報エンドポイントへの要求は常に HTTP GET です。アクセストークンは、access_token という名前のクエリ文字列パラメーターで送信されます。次の HTTP 要求では、クエリ文字列パラメーターのアクセストークンを使用して、ユーザー情報エンドポイントへの呼び出しを示しています。

GET /oauth2/claims?access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

次の表に、ユーザー情報エンドポイントメタデータを示します。

属性	必須	説明
`ClaimsEndpoint`	はい	ユーザー情報エンドポイントの URL。たとえば、「 `https://api.linkedin.com/v2/me` 」のように入力します。
`ClaimsEndpointAccessTokenName`	いいえ	アクセストークンのクエリ文字列パラメーターの名前。既定値: `access_token`。
`ClaimsEndpointFormatName`	いいえ	形式のクエリ文字列パラメーターの名前。たとえば、LinkedIn 要求エンドポイント `https://api.linkedin.com/v1/people/~?format=json` では、名前を `format` として設定できます。
`ClaimsEndpointFormat`	いいえ	形式のクエリ文字列パラメーターの値。たとえば、LinkedIn 要求エンドポイント `https://api.linkedin.com/v1/people/~?format=json` では、値を `json` として設定できます。
`BearerTokenTransmissionMethod`	いいえ	トークンの送信方法を指定します。既定の方法はクエリ文字列です。トークンを要求ヘッダーとして送信するには、`AuthorizationHeader` に設定します。
`ExtraParamsInClaimsEndpointRequest`	いいえ	ClaimsEndpoint 要求に、一部の ID プロバイダーにより返される可能性がある余分なパラメーターが存在します。複数のパラメーター名をエスケープし、コンマ ',' 区切り記号で区切るようにしてください。

アクセストークンのクエリ文字列パラメーターを構成する

ユーザー情報エンドポイントでは、特定のクエリ文字列パラメーターでアクセストークンを送信することが必要になる場合があります。アクセストークンを含むクエリ文字列パラメーターの名前を変更するには、ClaimsEndpointAccessTokenName メタデータを使用します。次の例では、アクセストークンクエリ文字列パラメーターが token に設定されています。

<Item Key="ClaimsEndpoint">https://contoso.com/oauth2/claims</Item>
<Item Key="ClaimsEndpointAccessTokenName">token</Item>

次の HTTP 呼び出しは、ClaimsEndpointAccessTokenName が token に設定されたユーザー情報エンドポイントの呼び出しを示しています。

GET /oauth2/claims?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

要求形式を構成する

ClaimsEndpointFormatName および ClaimsEndpointFormat を使用すると、キーと値のペアのクエリ文字列パラメーターをユーザー情報エンドポイントに送信できます。次の例では、値 json を使用して、format という名前のクエリ文字列パラメーターを構成しています。

<Item Key="ClaimsEndpoint">https://contoso.com/oauth2/claims</Item>
<Item Key="ClaimsEndpointFormatName">format</Item>
<Item Key="ClaimsEndpointFormat">json</Item>

次の HTTP 要求は、ClaimsEndpointFormatName と ClaimsEndpointFormat が構成されたユーザー情報エンドポイントの呼び出しを示しています。

GET /oauth2/claims?format=json&access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

ベアラートークンの送信方法を構成する

既定では、アクセストークンは、クエリ文字列パラメーターを使用して ID プロバイダーのユーザー情報エンドポイントに送信されます。 HTTP Authorization ヘッダー内でトークンを送信するには、BearerTokenTransmissionMethod メタデータを AuthorizationHeader に設定します。

<Item Key="ClaimsEndpoint">https://contoso.com/oauth2/claims</Item>
<Item Key="BearerTokenTransmissionMethod">AuthorizationHeader</Item>

次の HTTP 要求は、BearerTokenTransmissionMethod が AuthorizationHeader に設定されている場合にアクセストークンがどのように渡されるかを示しています。

GET /oauth2/claims

Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

トークンエンドポイントによって返されるパラメーターを渡す

ID プロバイダーによっては、トークンエンドポイントから返される追加のパラメーターをユーザー情報エンドポイントに渡す必要があります。たとえば、トークンエンドポイントからの応答には、resource という名前のパラメーターが含まれています。これは、ユーザー情報エンドポイント (アクセストークン以外) の必須パラメーターです。 ExtraParamsInClaimsEndpointRequest メタデータを使用して、渡す追加パラメーターを指定します。複数のパラメーター名をエスケープし、コンマ ',' 区切り記号で区切るようにしてください。

次の JSON は、resource という名前のパラメーターを持つトークンエンドポイントによって返される JSON ペイロードを示しています。

{
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...",
    "token_type": "Bearer",
    "not_before": 1549647431,
    "expires_in": 960000,
    "resource": "f2a76e08-93f2-4350-833c-965c02483b11"
}

resource パラメーターをユーザー情報エンドポイントに渡すには、次のメタデータを追加します。

<Item Key="ExtraParamsInClaimsEndpointRequest">resource</Item>

次の HTTP 要求は、resource パラメーターがユーザー情報エンドポイントに渡される方法を示しています。

GET /oauth2/claims?resource=f2a76e08-93f2-4350-833c-965c02483b11&access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

セッションエンドポイントを終了する

ユーザーをアプリケーションからサインアウトするには、ユーザーを Azure AD B2C サインアウトエンドポイントにリダイレクトする (OAuth2 と OpenID Connect の両方の場合) か、LogoutRequest を送信します (SAML の場合)。 Azure AD B2C によって、ブラウザーからユーザーのセッションがクリアされます。サインアウト要求が発生すると Azure AD B2C では、ユーザーのサインインに使用されたフェデレーション ID プロバイダーからのサインアウトが試みられます。 OAuth2 ID プロバイダーのサインアウト URI は、end_session_endpoint メタデータで構成されます。ユーザーが Azure AD B2C を使用してアプリケーションからログアウトすると、非表示の iframe が作成され、Azure AD B2C のサインアウトページで end_session_endpoint が呼び出されます。

次の表に、ユーザー情報エンドポイントメタデータを示します。

属性	必須	説明
`end_session_endpoint`	はい	RFC 6749 に準拠したセッションの終了エンドポイントの URL。
`SingleLogoutEnabled`	いいえ	サインイン中に技術プロファイルがフェデレーション ID プロバイダーからサインアウトを試行しているかどうかを示します。詳しくは、Azure AD B2C のセッションサインアウトに関する記事をご覧ください。指定できる値は `true`(既定値) または`false`です。

OAuth2 汎用メタデータ

次の表に、OAuth2 ID プロバイダーの汎用メタデータを示します。メタデータでは、OAuth2 の技術プロファイルによってトークンの検証の処理、要求の取得、エラーメッセージへの応答を行う方法を記述します。

属性	必須	説明
`IdTokenAudience`	いいえ	id_token の対象ユーザー。指定される場合、Azure AD B2C は、トークンが ID プロバイダーにより返された要求内にあり、そして指定されたものと等しいかどうかをチェックします。
`ProviderName`	いいえ	ID プロバイダーの名前。
`ResponseErrorCodeParamName`	いいえ	HTTP 200 (Ok) 経由で返されるエラーメッセージを収納するパラメーターの名前。
`IncludeClaimResolvingInClaimsHandling`	いいえ	入力と出力の要求について、要求の解決を技術プロファイルに含めるかどうかを指定します。指定できる値: `true` または `false` (既定値)。技術プロファイルで要求リゾルバーを使用する場合は、これを `true` に設定します。
`ResolveJsonPathsInJsonTokens`	いいえ	技術プロファイルが JSON パスを解決するかどうかを示します。指定できる値: `true` または `false` (既定値)。このメタデータを使用して、入れ子になった JSON 要素からデータを読み取ります。 OutputClaim で、`PartnerClaimType` を、出力する JSON パス要素に設定します。例: `firstName.localized`、または `data[0].to[0].email`。

暗号化キー

CryptographicKeys 要素には次の属性が存在します。

属性	必須	説明
`client_secret`	はい	ID プロバイダーアプリケーションのクライアントシークレット。 response_types メタデータが `code` に設定されている場合にのみ、暗号化キーが必要です。この場合、Azure AD B2C は、アクセストークンの認証コードを交換するために、別の呼び出しを行います。メタデータが `id_token` に設定されている場合は、暗号化キーを省略できます。
`assertion_signing_key`	No	`token_endpoint_auth_method` メタデータが `private_key_jwt` に設定されている場合は、JWT キーの署名に使用する X509 証明書を指定します。このキーは、OAuth2 ID プロバイダーによって提供される必要があります。

リダイレクト URI

ID プロバイダーのリダイレクト URI を構成する場合は、https://{tenant-name}.b2clogin.com/{tenant-name}.onmicrosoft.com/oauth2/authresp を入力します。 {tenant-name} は、必ず実際のテナントの名前 (たとえば、contosob2c) に置き換えてください。リダイレクト URI は、すべて小文字である必要があります。

次の手順

Active Directory B2C テナントへの ID プロバイダーの追加を行う方法について説明します

次の方法で共有

Azure Active Directory B2C カスタムポリシーで OAuth2 技術プロファイルを定義する

Protocol

入力クレーム

出力クレーム

承認エンドポイントメタデータ

トークンエンドポイントメタデータ

HTTP バインドメソッドを構成する

アクセストークン応答の形式を構成する

認証方法を構成する

ユーザー情報エンドポイントメタデータ

アクセストークンのクエリ文字列パラメーターを構成する

要求形式を構成する

ベアラートークンの送信方法を構成する

トークンエンドポイントによって返されるパラメーターを渡す

セッションエンドポイントを終了する

OAuth2 汎用メタデータ

暗号化キー

リダイレクト URI

次の手順

フィードバック

その他のリソース

次の方法で共有

Azure Active Directory B2C カスタム ポリシーで OAuth2 技術プロファイルを定義する

Protocol

入力クレーム

出力クレーム

承認エンドポイント メタデータ

トークン エンドポイント メタデータ

HTTP バインド メソッドを構成する

アクセス トークン応答の形式を構成する

認証方法を構成する

ユーザー情報エンドポイント メタデータ

アクセス トークンのクエリ文字列パラメーターを構成する

要求形式を構成する

ベアラー トークンの送信方法を構成する

トークン エンドポイントによって返されるパラメーターを渡す

セッション エンドポイントを終了する

OAuth2 汎用メタデータ

暗号化キー

リダイレクト URI

次の手順

フィードバック

その他のリソース

Azure Active Directory B2C カスタムポリシーで OAuth2 技術プロファイルを定義する

承認エンドポイントメタデータ

トークンエンドポイントメタデータ

HTTP バインドメソッドを構成する

アクセストークン応答の形式を構成する

ユーザー情報エンドポイントメタデータ

アクセストークンのクエリ文字列パラメーターを構成する

ベアラートークンの送信方法を構成する

トークンエンドポイントによって返されるパラメーターを渡す

セッションエンドポイントを終了する