カスタムクレームプロバイダーのトークン発行イベントを構成する (プレビュー)

[アーティクル]
11/15/2023

この記事では、トークン発行開始イベントの種類を使ってカスタムクレームプロバイダーを構成および設定する方法について説明します。トークンが発行される直前にトリガーされるこのイベントを使うと、REST API を呼び出してトークンにクレームを追加できます。

この攻略ガイドでは、Azure Functions で実行されている REST API と OpenID Connect のサンプルアプリケーションで、トークン発行開始イベントを実際に使ってみます。開始する前に、Function アプリで Microsoft Entra カスタムクレームプロバイダーを構成する方法を示す次のビデオをご覧ください:

前提条件

この記事を見ていく前に、カスタム認証拡張機能の概要に関する記事をご覧ください。
Azure Functions などの Azure サービスを使うには、Azure サブスクリプションが必要です。既存の Microsoft Azure アカウントをお持ちでない場合は、アカウントを作成するときに、無料試用版にサインアップするか、Visual Studio Subscription のベネフィットを利用できます。

手順 1: Azure 関数アプリを作成する

ヒント

この記事の手順は、開始するポータルによって若干異なる場合があります。

このステップでは、Azure portal で HTTP トリガー関数 API を作成します。関数 API は、トークンに対する追加クレームのソースです。 Azure 関数を作成するには、次の手順のようにします。

管理者アカウントで Azure Portal にサインインします。
Azure portal のメニューまたは [ホーム] ページから [リソースの作成] を選択します。
[新規] ページで、 [計算]>、 [関数アプリ] の順に選択します。

[基本] ページで、下の表に指定されている関数アプリの設定を使用します。

設定	提案された値	説明
サブスクリプション	該当するサブスクリプション	新しい関数アプリを作成するサブスクリプション。
リソースグループ	myResourceGroup	関数アプリを作成する、既存のリソースグループを選ぶか、新しいリソースグループの名前を選びます。
関数アプリ名	グローバルに一意の名前	新しい関数アプリを識別する名前。有効な文字は、`a-z` (大文字と小文字の区別をしない)、`0-9`、および `-`です。
発行	コード	コードファイルまたは Docker コンテナーの発行オプション。このチュートリアルでは、[コード] を選びます。
ランタイムスタック	.NET	好みのプログラミング言語。このチュートリアルでは、[.NET] を選びます。
Version	6	.NET ランタイムのバージョン。
リージョン	優先リージョン	自分の近く、または関数がアクセスできる他のサービスの近くのリージョンを選択します。
オペレーティングシステム	Windows	オペレーティングシステムは、ランタイムスタックの選択に基づいて、事前に自動的に選択されます。
[プランの種類]	"従量課金 (サーバーレス)"	Function App にどのようにリソースが割り当てられるかを定義するホスティングプラン。

[確認および作成] を選んでアプリの構成の選択を確認した後、[作成] を選びます。
ポータルの右上隅の [通知] アイコンを選択し、"デプロイメントに成功しました" というメッセージが表示されるまで待ちます。次に、[リソースに移動] を選んで、新しい関数アプリを確認します。

1.1 HTTP トリガー関数を作成する

Azure 関数アプリが作成されたら、HTTP トリガー関数を作成します。 HTTP トリガーでは、HTTP 要求で関数を呼び出すことができます。この HTTP トリガーは、Microsoft Entra カスタム認証拡張機能によって参照されて呼び出されます。

[関数アプリ] 内で、メニューから [関数] を選びます。
上部のメニューから、[+ 作成] を選びます。
[関数の作成] ウィンドウで、[開発環境] プロパティは [Develop in portal] (ポータルで開発) のままにして、[HTTP トリガー] テンプレートを選びます。
[テンプレートの詳細] で、[新しい関数] プロパティに「CustomAuthenticationExtensionsAPI」と入力します。
[認証レベル] で [関数] を選びます。
[作成]

次のスクリーンショットは、Azure HTTP トリガー関数の構成方法を示したものです。

1.2 関数を編集する

メニューから [Code + Test] (コードとテスト) を選びます

コード全体を次のコードスニペットに置き換えます。

#r "Newtonsoft.Json"
using System.Net;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Primitives;
using Newtonsoft.Json;
public static async Task<IActionResult> Run(HttpRequest req, ILogger log)
{
    log.LogInformation("C# HTTP trigger function processed a request.");
    string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
    dynamic data = JsonConvert.DeserializeObject(requestBody);

    // Read the correlation ID from the Azure AD  request    
    string correlationId = data?.data.authenticationContext.correlationId;

    // Claims to return to Azure AD
    ResponseContent r = new ResponseContent();
    r.data.actions[0].claims.CorrelationId = correlationId;
    r.data.actions[0].claims.ApiVersion = "1.0.0";
    r.data.actions[0].claims.DateOfBirth = "01/01/2000";
    r.data.actions[0].claims.CustomRoles.Add("Writer");
    r.data.actions[0].claims.CustomRoles.Add("Editor");
    return new OkObjectResult(r);
}

public class ResponseContent{
    [JsonProperty("data")]
    public Data data { get; set; }
    public ResponseContent()
    {
        data = new Data();
    }
}

public class Data{
    [JsonProperty("@odata.type")]
    public string odatatype { get; set; }
    public List<Action> actions { get; set; }
    public Data()
    {
        odatatype = "microsoft.graph.onTokenIssuanceStartResponseData";
        actions = new List<Action>();
        actions.Add(new Action());
    }
}

public class Action{
    [JsonProperty("@odata.type")]
    public string odatatype { get; set; }
    public Claims claims { get; set; }
    public Action()
    {
        odatatype = "microsoft.graph.tokenIssuanceStart.provideClaimsForToken";
        claims = new Claims();
    }
}

public class Claims{
    [JsonProperty(NullValueHandling = NullValueHandling.Ignore)]
    public string CorrelationId { get; set; }
    [JsonProperty(NullValueHandling = NullValueHandling.Ignore)]
    public string DateOfBirth { get; set; }
    public string ApiVersion { get; set; }
    public List<string> CustomRoles { get; set; }
    public Claims()
    {
        CustomRoles = new List<string>();
    }
}

コードは、受信した JSON オブジェクトの読み取りから始まります。 Microsoft Entra ID は、JSON オブジェクトを API に送信します。この例では、関連付け ID の値を読み取ります。次に、コードから、元の関連付け ID、Azure 関数のバージョン、生年月日、Microsoft Entra ID に返されるカスタムロールなど、クレームのコレクションが返されます。

上部のメニューから [関数の URL の取得] を選んで、URL をコピーします。次のステップでは、この関数の URL を {Function_Url} として参照します。

手順 2: カスタム認証拡張機能を登録する

このステップでは、Microsoft Entra ID が Azure 関数を呼び出すために使用するカスタム認証拡張機能を構成します。カスタム認証拡張機能には、REST API エンドポイントに関する情報、REST API から解析するクレーム、REST API に対する認証方法が含まれています。次の手順のようにして、カスタム認証拡張機能を登録します。

Microsoft Entra 管理センター
Microsoft Graph

アプリケーション管理者および認証管理者以上の権限で Microsoft Entra 管理センターにサインインします。
ID>アプリケーション>エンタープライズアプリケーション を参照します。
[カスタム認証拡張機能] を選択して、[カスタム認証拡張機能の作成] を選択します。
[基本] で tokenIssuanceStart イベントを選んで、[次へ] を選びます。
[エンドポイントの構成] で、次のプロパティを入力します。
- [名前] - カスタム認証拡張機能の名前。例: "トークン発行イベント"。
- [ターゲット URL] - Azure 関数の URL の {Function_Url}。
- [説明] - カスタム認証拡張機能の説明。
[次へ] を選択します。
[API 認証] で [アプリの登録を新規作成する] オプションを選んで、"関数アプリ" を表すアプリ登録を作成します。
アプリの名前を指定します (例: Azure Functions 認証イベント API)。
[次へ] を選択します。
[要求] に、カスタム認証拡張機能で REST API から解析されてトークンにマージされる属性を入力します。次のクレームを追加します。
- dateOfBirth
- customRoles
- apiVersion
- correlationId
[次へ]、[作成] の順に選択します。これにより、カスタム認証拡張機能とそれに関連付けられているアプリケーションの登録が登録されます。

アプリケーションを登録して、Azure 関数に対してカスタム認証拡張機能の認証を行います。

ホームテナントがカスタム認証拡張機能を管理するテナントであるアカウントを使って、Graph エクスプローラーにサインインします。このアカウントには、テナントでアプリケーション登録を作成および管理するための特権が必要です。

次の要求を実行します。

POST https://graph.microsoft.com/v1.0/applications
Content-type: application/json

{
    "displayName": "authenticationeventsAPI"
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Models;

var requestBody = new Application
{
	DisplayName = "My application",
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications.PostAsync(requestBody);



import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-sdk-go/models"
	  //other-imports
)

graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


requestBody := graphmodels.NewApplication()
displayName := "My application"
requestBody.SetDisplayName(&displayName) 

applications, err := graphClient.Applications().Post(context.Background(), requestBody, nil)


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

Application application = new Application();
application.displayName = "My application";

graphClient.applications()
	.buildRequest()
	.post(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
  displayName: 'My application'
};

await client.api('/applications')
	.post(application);


Import-Module Microsoft.Graph.Applications

$params = @{
	displayName = "My application"
}

New-MgApplication -BodyParameter $params


# THE PYTHON SDK IS IN PREVIEW. FOR NON-PRODUCTION USE ONLY

graph_client = GraphServiceClient(credentials, scopes)

request_body = Application(
	display_name = "My application",
)

result = await graph_client.applications.post(request_body)

応答から、新しく作成されたアプリ登録の id と appId の値を記録します。これらの値は、この記事で {authenticationeventsAPI_ObjectId} と {authenticationeventsAPI_AppId} としてそれぞれ参照されます。

authenticationeventsAPI アプリ登録用のサービスプリンシパルをテナントに作成します。

引き続き Graph エクスプローラーで、次の要求を実行します。 {authenticationeventsAPI_AppId} を、前の手順で記録した appId の値に置き換えます。

POST https://graph.microsoft.com/v1.0/servicePrincipals
Content-type: application/json
    
{
    "appId": "{authenticationeventsAPI_AppId}"
}

アプリ ID URI、アクセストークンのバージョン、必要なリソースアクセスを設定する

新しく作成したアプリケーションを更新して、アプリケーション ID URI の値、アクセストークンのバージョン、必要なリソースアクセスを設定します。

Graph エクスプローラーで、次の要求を実行します。

identifierUris プロパティにアプリケーション ID URI の値を設定します。 {Function_Url_Hostname} を、前に記録した {Function_Url} のホスト名に置き換えます。
前に記録した appId で {authenticationeventsAPI_AppId} 値を設定します。
値の例は api://authenticationeventsAPI.azurewebsites.net/f4a70782-3191-45b4-b7e5-dd415885dd80 です。この値は、{functionApp_IdentifierUri} の代わりにこの記事の後半で使用するので、メモしておきます。

POST https://graph.microsoft.com/v1.0/applications/{authenticationeventsAPI_ObjectId}
Content-type: application/json

{
"identifierUris": [
    "api://{Function_Url_Hostname}/{authenticationeventsAPI_AppId}"
],    
"api": {
    "requestedAccessTokenVersion": 2,
    "acceptMappedClaims": null,
    "knownClientApplications": [],
    "oauth2PermissionScopes": [],
    "preAuthorizedApplications": []
},
"requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "214e810f-fda8-4fd7-a475-29461495eb00",
                "type": "Role"
            }
        ]
    }
]
}

カスタム認証拡張機能を登録する

次に、カスタム認証拡張機能を登録します。カスタム認証拡張機能を登録するには、それを Azure 関数のアプリ登録および Azure 関数エンドポイント {Function_Url} と関連付けます。

Graph エクスプローラーで、次の要求を実行します。 {Function_Url} を Azure 関数アプリのホスト名に置き換えます。 {functionApp_IdentifierUri} は、前のステップで使った identifierUri に置き換えます。

CustomAuthenticationExtension.ReadWrite.All の委任されたアクセス許可が必要です。

POST https://graph.microsoft.com/beta/identity/customAuthenticationExtensions
Content-type: application/json

{
    "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtension",
    "displayName": "onTokenIssuanceStartCustomExtension",
    "description": "Fetch additional claims from custom user store",
    "endpointConfiguration": {
        "@odata.type": "#microsoft.graph.httpRequestEndpoint",
        "targetUrl": "{Function_Url}"
    },
    "authenticationConfiguration": {
        "@odata.type": "#microsoft.graph.azureAdTokenAuthentication",
        "resourceId": "{functionApp_IdentifierUri}"
    },
    "claimsForTokenConfiguration": [
        {
            "claimIdInApiResponse": "DateOfBirth"
        },
        {
            "claimIdInApiResponse": "CustomRoles"
        }
    ]
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new OnTokenIssuanceStartCustomExtension
{
	OdataType = "#microsoft.graph.onTokenIssuanceStartCustomExtension",
	DisplayName = "onTokenIssuanceStartCustomExtension",
	Description = "Fetch additional claims from custom user store",
	EndpointConfiguration = new HttpRequestEndpoint
	{
		OdataType = "#microsoft.graph.httpRequestEndpoint",
		TargetUrl = "https://authenticationeventsAPI.contoso.com",
	},
	AuthenticationConfiguration = new AzureAdTokenAuthentication
	{
		OdataType = "#microsoft.graph.azureAdTokenAuthentication",
		ResourceId = "api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4",
	},
	ClientConfiguration = new CustomExtensionClientConfiguration
	{
		TimeoutInMilliseconds = 2000,
		MaximumRetries = 1,
	},
	ClaimsForTokenConfiguration = new List<OnTokenIssuanceStartReturnClaim>
	{
		new OnTokenIssuanceStartReturnClaim
		{
			ClaimIdInApiResponse = "DateOfBirth",
		},
		new OnTokenIssuanceStartReturnClaim
		{
			ClaimIdInApiResponse = "CustomRoles",
		},
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Identity.CustomAuthenticationExtensions.PostAsync(requestBody);



import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


requestBody := graphmodels.NewCustomAuthenticationExtension()
displayName := "onTokenIssuanceStartCustomExtension"
requestBody.SetDisplayName(&displayName) 
description := "Fetch additional claims from custom user store"
requestBody.SetDescription(&description) 
endpointConfiguration := graphmodels.NewHttpRequestEndpoint()
targetUrl := "https://authenticationeventsAPI.contoso.com"
endpointConfiguration.SetTargetUrl(&targetUrl) 
requestBody.SetEndpointConfiguration(endpointConfiguration)
authenticationConfiguration := graphmodels.NewAzureAdTokenAuthentication()
resourceId := "api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4"
authenticationConfiguration.SetResourceId(&resourceId) 
requestBody.SetAuthenticationConfiguration(authenticationConfiguration)
clientConfiguration := graphmodels.NewCustomExtensionClientConfiguration()
timeoutInMilliseconds := int32(2000)
clientConfiguration.SetTimeoutInMilliseconds(&timeoutInMilliseconds) 
maximumRetries := int32(1)
clientConfiguration.SetMaximumRetries(&maximumRetries) 
requestBody.SetClientConfiguration(clientConfiguration)


onTokenIssuanceStartReturnClaim := graphmodels.NewOnTokenIssuanceStartReturnClaim()
claimIdInApiResponse := "DateOfBirth"
onTokenIssuanceStartReturnClaim.SetClaimIdInApiResponse(&claimIdInApiResponse) 
onTokenIssuanceStartReturnClaim1 := graphmodels.NewOnTokenIssuanceStartReturnClaim()
claimIdInApiResponse := "CustomRoles"
onTokenIssuanceStartReturnClaim1.SetClaimIdInApiResponse(&claimIdInApiResponse) 

claimsForTokenConfiguration := []graphmodels.OnTokenIssuanceStartReturnClaimable {
	onTokenIssuanceStartReturnClaim,
	onTokenIssuanceStartReturnClaim1,
}
requestBody.SetClaimsForTokenConfiguration(claimsForTokenConfiguration)

customAuthenticationExtensions, err := graphClient.Identity().CustomAuthenticationExtensions().Post(context.Background(), requestBody, nil)


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

OnTokenIssuanceStartCustomExtension customAuthenticationExtension = new OnTokenIssuanceStartCustomExtension();
customAuthenticationExtension.displayName = "onTokenIssuanceStartCustomExtension";
customAuthenticationExtension.description = "Fetch additional claims from custom user store";
HttpRequestEndpoint endpointConfiguration = new HttpRequestEndpoint();
endpointConfiguration.targetUrl = "https://authenticationeventsAPI.contoso.com";
customAuthenticationExtension.endpointConfiguration = endpointConfiguration;
AzureAdTokenAuthentication authenticationConfiguration = new AzureAdTokenAuthentication();
authenticationConfiguration.resourceId = "api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4";
customAuthenticationExtension.authenticationConfiguration = authenticationConfiguration;
CustomExtensionClientConfiguration clientConfiguration = new CustomExtensionClientConfiguration();
clientConfiguration.timeoutInMilliseconds = 2000;
clientConfiguration.maximumRetries = 1;
customAuthenticationExtension.clientConfiguration = clientConfiguration;
LinkedList<OnTokenIssuanceStartReturnClaim> claimsForTokenConfigurationList = new LinkedList<OnTokenIssuanceStartReturnClaim>();
OnTokenIssuanceStartReturnClaim claimsForTokenConfiguration = new OnTokenIssuanceStartReturnClaim();
claimsForTokenConfiguration.claimIdInApiResponse = "DateOfBirth";
claimsForTokenConfigurationList.add(claimsForTokenConfiguration);
OnTokenIssuanceStartReturnClaim claimsForTokenConfiguration1 = new OnTokenIssuanceStartReturnClaim();
claimsForTokenConfiguration1.claimIdInApiResponse = "CustomRoles";
claimsForTokenConfigurationList.add(claimsForTokenConfiguration1);
customAuthenticationExtension.claimsForTokenConfiguration = claimsForTokenConfigurationList;

graphClient.identity().customAuthenticationExtensions()
	.buildRequest()
	.post(customAuthenticationExtension);


const options = {
	authProvider,
};

const client = Client.init(options);

const customAuthenticationExtension = {
    '@odata.type': '#microsoft.graph.onTokenIssuanceStartCustomExtension',
    displayName: 'onTokenIssuanceStartCustomExtension',
    description: 'Fetch additional claims from custom user store',
    endpointConfiguration: {
        '@odata.type': '#microsoft.graph.httpRequestEndpoint',
        targetUrl: 'https://authenticationeventsAPI.contoso.com'
    },
    authenticationConfiguration: {
        '@odata.type': '#microsoft.graph.azureAdTokenAuthentication',
        resourceId: 'api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4'
    },
    clientConfiguration: {
        timeoutInMilliseconds: 2000,
        maximumRetries: 1
    },
    claimsForTokenConfiguration: [
        {
            claimIdInApiResponse: 'DateOfBirth'
        },
        {
            claimIdInApiResponse: 'CustomRoles'
        }
    ]
};

await client.api('/identity/customAuthenticationExtensions')
	.version('beta')
	.post(customAuthenticationExtension);


<?php

// THIS SNIPPET IS A PREVIEW VERSION OF THE SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new OnTokenIssuanceStartCustomExtension();
$requestBody->setOdataType('#microsoft.graph.onTokenIssuanceStartCustomExtension');
$requestBody->setDisplayName('onTokenIssuanceStartCustomExtension');
$requestBody->setDescription('Fetch additional claims from custom user store');
$endpointConfiguration = new HttpRequestEndpoint();
$endpointConfiguration->setOdataType('#microsoft.graph.httpRequestEndpoint');
$endpointConfiguration->setTargetUrl('https://authenticationeventsAPI.contoso.com');
$requestBody->setEndpointConfiguration($endpointConfiguration);
$authenticationConfiguration = new AzureAdTokenAuthentication();
$authenticationConfiguration->setOdataType('#microsoft.graph.azureAdTokenAuthentication');
$authenticationConfiguration->setResourceId('api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4');
$requestBody->setAuthenticationConfiguration($authenticationConfiguration);
$clientConfiguration = new CustomExtensionClientConfiguration();
$clientConfiguration->setTimeoutInMilliseconds(2000);
$clientConfiguration->setMaximumRetries(1);
$requestBody->setClientConfiguration($clientConfiguration);
$claimsForTokenConfigurationOnTokenIssuanceStartReturnClaim1 = new OnTokenIssuanceStartReturnClaim();
$claimsForTokenConfigurationOnTokenIssuanceStartReturnClaim1->setClaimIdInApiResponse('DateOfBirth');
$claimsForTokenConfigurationArray []= $claimsForTokenConfigurationOnTokenIssuanceStartReturnClaim1;
$claimsForTokenConfigurationOnTokenIssuanceStartReturnClaim2 = new OnTokenIssuanceStartReturnClaim();
$claimsForTokenConfigurationOnTokenIssuanceStartReturnClaim2->setClaimIdInApiResponse('CustomRoles');
$claimsForTokenConfigurationArray []= $claimsForTokenConfigurationOnTokenIssuanceStartReturnClaim2;
$requestBody->setClaimsForTokenConfiguration($claimsForTokenConfigurationArray);


$result = $graphServiceClient->identity()->customAuthenticationExtensions()->post($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Identity.SignIns

$params = @{
	"@odata.type" = "#microsoft.graph.onTokenIssuanceStartCustomExtension"
	displayName = "onTokenIssuanceStartCustomExtension"
	description = "Fetch additional claims from custom user store"
	endpointConfiguration = @{
		"@odata.type" = "#microsoft.graph.httpRequestEndpoint"
		targetUrl = "https://authenticationeventsAPI.contoso.com"
	}
	authenticationConfiguration = @{
		"@odata.type" = "#microsoft.graph.azureAdTokenAuthentication"
		resourceId = "api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4"
	}
	clientConfiguration = @{
		timeoutInMilliseconds = 2000
		maximumRetries = 1
	}
	claimsForTokenConfiguration = @(
	)
}

New-MgBetaIdentityCustomAuthenticationExtension -BodyParameter $params


# THE PYTHON SDK IS IN PREVIEW. FOR NON-PRODUCTION USE ONLY

graph_client = GraphServiceClient(credentials, scopes)

request_body = OnTokenIssuanceStartCustomExtension(
	odata_type = "#microsoft.graph.onTokenIssuanceStartCustomExtension",
	display_name = "onTokenIssuanceStartCustomExtension",
	description = "Fetch additional claims from custom user store",
	endpoint_configuration = HttpRequestEndpoint(
		odata_type = "#microsoft.graph.httpRequestEndpoint",
		target_url = "https://authenticationeventsAPI.contoso.com",
	),
	authentication_configuration = AzureAdTokenAuthentication(
		odata_type = "#microsoft.graph.azureAdTokenAuthentication",
		resource_id = "api://authenticationeventsAPI.contoso.com/a13d0fc1-04ab-4ede-b215-63de0174cbb4",
	),
	client_configuration = CustomExtensionClientConfiguration(
		timeout_in_milliseconds = 2000,
		maximum_retries = 1,
	),
	claims_for_token_configuration = [
		OnTokenIssuanceStartReturnClaim(
			claim_id_in_api_response = "DateOfBirth",
		),
		OnTokenIssuanceStartReturnClaim(
			claim_id_in_api_response = "CustomRoles",
		),
	],
)

result = await graph_client.identity.custom_authentication_extensions.post(request_body)

作成されたカスタムクレームプロバイダーオブジェクトの ID の値を記録しておきます。この値は、このチュートリアルの後半で {customExtensionObjectId} の代わりに使います。

カスタム認証拡張機能が作成されると、新しいカスタム認証拡張機能の [概要] タブを開きます。

[概要] ページで、[アクセス許可の付与] ボタンを選んで、登録済みアプリに管理者の同意を付与します。これにより、カスタム認証拡張機能は API に対する認証を行えるようになります。カスタム認証拡張機能は、client_credentials を使い、Receive custom authentication extension HTTP requests アクセス許可を使って Azure Function App に対する認証を行います。

アクセス許可を付与する方法を示すスクリーンショットを次に示します。

手順 3: エンリッチされたトークンを受信するように OpenID Connect アプリを構成する

トークンを取得してカスタム認証拡張機能をテストするには、https://jwt.ms アプリを使用できます。これは Microsoft 所有の Web アプリケーションであり、トークンのデコードされた内容を表示します (トークンの内容がお使いのブラウザーの外に出ることはありません)。

次の手順のようにして、jwt.ms Web アプリケーションを登録します。

3.1 テスト Web アプリケーションを登録する

アプリケーション管理者以上の権限で Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[Application registrations] (アプリケーションの登録) を参照します。
[新規登録] を選択します。
アプリケーションの名前を入力します。例: マイテストアプリケーション。
[サポートされているアカウントの種類] で、 [この組織のディレクトリ内のアカウントのみ] を選択します。
[リダイレクト URI] の [プラットフォームの選択] ドロップダウンで [Web] を選び、[URL] テキストボックスに「https://jwt.ms」と入力します。
[登録] を選んで、アプリの登録を完了します。

次のスクリーンショットは、"マイテストアプリケーション" の登録方法を示したものです。

Screenshot that shows how to select the supported account type and redirect URI.

3.1 アプリケーション ID を取得する

アプリの登録の [概要] で、[アプリケーション (クライアント) ID] をコピーします。後の手順では、アプリ ID を {App_to_enrich_ID} として参照します。 Microsoft Graph では、appId プロパティによって参照されます。

Screenshot that shows how to copy the application ID.

3.2 暗黙的なフローを有効にする

jwt.ms テストアプリケーションでは、暗黙的なフローを使います。 "マイテストアプリケーション" の登録で暗黙的なフローを有効にします。

[管理] で、 [認証] を選択します。
[暗黙的な許可およびハイブリッドフロー] で、[ID トークン (暗黙的およびハイブリッドフローに使用)] チェックボックスをオンにします。
[保存] を選択します。

3.3 クレームマッピングポリシーに対してアプリを有効にする

カスタム認証拡張機能から返された属性から、トークンにマップされるものを選ぶには、クレームマッピングポリシーを使います。トークンを拡張できるようにするには、アプリケーション登録によるマップされたクレームの受け入れを明示的に有効にする必要があります。

"マイテストアプリケーション" の登録で、[管理] の [マニフェスト] を選びます。
マニフェストで acceptMappedClaims 属性を見つけて、値を true に設定します。
accessTokenAcceptedVersion を 2 に設定します。
[保存] を選択して変更を保存します。

次の JSON スニペットでは、これらのプロパティを構成する方法を示します。

{
  "acceptMappedClaims": true,
  "accessTokenAcceptedVersion": 2,
  "appId": "22222222-0000-0000-0000-000000000000",
}

警告

マルチテナントアプリでは acceptMappedClaims プロパティを true に設定しないでください。悪意のある者がアプリのクレームマッピングポリシーを作成することを許可してしまう場合があります。代わりに、カスタム署名キーを構成します。

手順 4: カスタムクレームプロバイダーをアプリに割り当てる

カスタム認証拡張機能から受け取ったクレームでトークンが発行されるようにするには、カスタムクレームプロバイダーをアプリケーションに割り当てる必要があります。これはトークンの対象ユーザーに基づいているため、ID トークンで要求を受け取るにはクライアントアプリケーションにプロバイダーを割り当て、アクセストークンで要求を受け取るにはリソースアプリケーションにプロバイダーを割り当てる必要があります。カスタムクレームプロバイダーは、トークン発行開始イベントリスナーで構成されたカスタム認証拡張機能に依存します。カスタムクレームプロバイダーからのクレームのすべてまたはサブセットのどちらを、トークンにマップするかを選択できます。

次の手順のようにして、マイテストアプリケーション とカスタム認証拡張機能を接続します。

Microsoft Entra 管理センター
Microsoft Graph

最初に、カスタム認証拡張機能をカスタムクレームプロバイダーソースとして割り当てます。

アプリケーション管理者以上の権限で Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[Application registrations] (アプリケーションの登録) を参照します。
[概要] ページの [ローカルディレクトリでのマネージドアプリケーション] で、マイテストアプリケーションを選びます。
[管理] で [シングルサインオン] を選びます。
[属性とクレーム] で、[編集] を選びます。
[詳細設定] メニューを展開します。
[Custom claims provider] (カスタムクレームプロバイダー) で [構成] を選びます。
[Custom claims provider] (カスタムクレームプロバイダー) ドロップダウンボックスを展開して、前に作成した "トークン発行イベント" を選びます。
[保存] を選択します。

次に、カスタムクレームプロバイダーから属性を割り当てます。これは、クレームとしてトークンに発行されている必要があります。

[新しクレームの追加] を選んで、新しいクレームを追加します。発行するクレームに名前を指定します (例: dateOfBirth)。
[ソース] で Attribute を選び、[ソース属性] ドロップダウンボックスから customClaimsProvider.DateOfBirth を選びます。
[保存] を選択します。
このプロセスを繰り返して、属性 customClaimsProvider.customRoles、customClaimsProvider.apiVersion、customClaimsProvider.correlationId を追加できます。

最初に、トークン発行開始イベントを使って My Test アプリケーション のカスタム認証拡張機能をトリガーするイベントリスナーを作成します。

ホームテナントがカスタム認証拡張機能を管理するテナントであるアカウントを使って、Graph エクスプローラーにサインインします。

次の要求を実行します。 {App_to_enrich_ID} を、前に記録した "マイテストアプリケーション" のアプリ ID に置き換えます。 {customExtensionObjectId} を、前に記録したカスタム認証拡張機能の ID に置き換えます。

EventListener.ReadWrite.All の委任されたアクセス許可が必要です。

POST https://graph.microsoft.com/beta/identity/authenticationEventListeners
Content-type: application/json

{
    "@odata.type": "#microsoft.graph.onTokenIssuanceStartListener",
    "conditions": {
        "applications": {
            "includeAllApplications": false,
            "includeApplications": [
                {
                    "appId": "{App_to_enrich_ID}"
                }
            ]
        }
    },
    "priority": 500,
    "handler": {
        "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler",
        "customExtension": {
            "id": "{customExtensionObjectId}"
        }
    }
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new OnTokenIssuanceStartListener
{
	OdataType = "#microsoft.graph.onTokenIssuanceStartListener",
	Conditions = new AuthenticationConditions
	{
		Applications = new AuthenticationConditionsApplications
		{
			IncludeAllApplications = false,
			IncludeApplications = new List<AuthenticationConditionApplication>
			{
				new AuthenticationConditionApplication
				{
					AppId = "a13d0fc1-04ab-4ede-b215-63de0174cbb4",
				},
			},
		},
	},
	Priority = 500,
	Handler = new OnTokenIssuanceStartCustomExtensionHandler
	{
		OdataType = "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler",
		CustomExtension = new OnTokenIssuanceStartCustomExtension
		{
			Id = "6fc5012e-7665-43d6-9708-4370863f4e6e",
		},
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Identity.AuthenticationEventListeners.PostAsync(requestBody);



import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


requestBody := graphmodels.NewAuthenticationEventListener()
conditions := graphmodels.NewAuthenticationConditions()
applications := graphmodels.NewAuthenticationConditionsApplications()
includeAllApplications := false
applications.SetIncludeAllApplications(&includeAllApplications) 


authenticationConditionApplication := graphmodels.NewAuthenticationConditionApplication()
appId := "a13d0fc1-04ab-4ede-b215-63de0174cbb4"
authenticationConditionApplication.SetAppId(&appId) 

includeApplications := []graphmodels.AuthenticationConditionApplicationable {
	authenticationConditionApplication,
}
applications.SetIncludeApplications(includeApplications)
conditions.SetApplications(applications)
requestBody.SetConditions(conditions)
priority := int32(500)
requestBody.SetPriority(&priority) 
handler := graphmodels.NewOnTokenIssuanceStartCustomExtensionHandler()
customExtension := graphmodels.NewOnTokenIssuanceStartCustomExtension()
id := "6fc5012e-7665-43d6-9708-4370863f4e6e"
customExtension.SetId(&id) 
handler.SetCustomExtension(customExtension)
requestBody.SetHandler(handler)

authenticationEventListeners, err := graphClient.Identity().AuthenticationEventListeners().Post(context.Background(), requestBody, nil)


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

OnTokenIssuanceStartListener authenticationEventListener = new OnTokenIssuanceStartListener();
AuthenticationConditions conditions = new AuthenticationConditions();
AuthenticationConditionsApplications applications = new AuthenticationConditionsApplications();
applications.includeAllApplications = false;
LinkedList<AuthenticationConditionApplication> includeApplicationsList = new LinkedList<AuthenticationConditionApplication>();
AuthenticationConditionApplication includeApplications = new AuthenticationConditionApplication();
includeApplications.appId = "a13d0fc1-04ab-4ede-b215-63de0174cbb4";
includeApplicationsList.add(includeApplications);
AuthenticationConditionApplicationCollectionResponse authenticationConditionApplicationCollectionResponse = new AuthenticationConditionApplicationCollectionResponse();
authenticationConditionApplicationCollectionResponse.value = includeApplicationsList;
AuthenticationConditionApplicationCollectionPage authenticationConditionApplicationCollectionPage = new AuthenticationConditionApplicationCollectionPage(authenticationConditionApplicationCollectionResponse, null);
applications.includeApplications = authenticationConditionApplicationCollectionPage;
conditions.applications = applications;
authenticationEventListener.conditions = conditions;
authenticationEventListener.priority = 500;
OnTokenIssuanceStartCustomExtensionHandler handler = new OnTokenIssuanceStartCustomExtensionHandler();
OnTokenIssuanceStartCustomExtension customExtension = new OnTokenIssuanceStartCustomExtension();
customExtension.id = "6fc5012e-7665-43d6-9708-4370863f4e6e";
handler.customExtension = customExtension;
authenticationEventListener.handler = handler;

graphClient.identity().authenticationEventListeners()
	.buildRequest()
	.post(authenticationEventListener);


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationEventListener = {
    '@odata.type': '#microsoft.graph.onTokenIssuanceStartListener',
    conditions: {
        applications: {
            includeAllApplications: false,
            includeApplications: [
                {
                    appId: 'a13d0fc1-04ab-4ede-b215-63de0174cbb4'
                }
            ]
        }
    },
    priority: 500,
    handler: {
        '@odata.type': '#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler',
        customExtension: {
            id: '6fc5012e-7665-43d6-9708-4370863f4e6e'
        }
    }
};

await client.api('/identity/authenticationEventListeners')
	.version('beta')
	.post(authenticationEventListener);


<?php

// THIS SNIPPET IS A PREVIEW VERSION OF THE SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new OnTokenIssuanceStartListener();
$requestBody->setOdataType('#microsoft.graph.onTokenIssuanceStartListener');
$conditions = new AuthenticationConditions();
$conditionsApplications = new AuthenticationConditionsApplications();
$conditionsApplications->setIncludeAllApplications(false);
$includeApplicationsAuthenticationConditionApplication1 = new AuthenticationConditionApplication();
$includeApplicationsAuthenticationConditionApplication1->setAppId('a13d0fc1-04ab-4ede-b215-63de0174cbb4');
$includeApplicationsArray []= $includeApplicationsAuthenticationConditionApplication1;
$conditionsApplications->setIncludeApplications($includeApplicationsArray);

$conditions->setApplications($conditionsApplications);
$requestBody->setConditions($conditions);
$requestBody->setPriority(500);
$handler = new OnTokenIssuanceStartCustomExtensionHandler();
$handler->setOdataType('#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler');
$handlerCustomExtension = new OnTokenIssuanceStartCustomExtension();
$handlerCustomExtension->setId('6fc5012e-7665-43d6-9708-4370863f4e6e');
$handler->setCustomExtension($handlerCustomExtension);
$requestBody->setHandler($handler);

$result = $graphServiceClient->identity()->authenticationEventListeners()->post($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Identity.SignIns

$params = @{
	"@odata.type" = "#microsoft.graph.onTokenIssuanceStartListener"
	conditions = @{
		applications = @{
			includeAllApplications = $false
			includeApplications = @(
				@{
					appId = "a13d0fc1-04ab-4ede-b215-63de0174cbb4"
				}
			)
		}
	}
	priority = 500
	handler = @{
		"@odata.type" = "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler"
	}
}

New-MgBetaIdentityAuthenticationEventListener -BodyParameter $params


# THE PYTHON SDK IS IN PREVIEW. FOR NON-PRODUCTION USE ONLY

graph_client = GraphServiceClient(credentials, scopes)

request_body = OnTokenIssuanceStartListener(
	odata_type = "#microsoft.graph.onTokenIssuanceStartListener",
	conditions = AuthenticationConditions(
		applications = AuthenticationConditionsApplications(
			include_all_applications = False,
			include_applications = [
				AuthenticationConditionApplication(
					app_id = "a13d0fc1-04ab-4ede-b215-63de0174cbb4",
				),
			],
		),
	),
	priority = 500,
	handler = OnTokenIssuanceStartCustomExtensionHandler(
		odata_type = "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler",
		custom_extension = OnTokenIssuanceStartCustomExtension(
			id = "6fc5012e-7665-43d6-9708-4370863f4e6e",
		),
	),
)

result = await graph_client.identity.authentication_event_listeners.post(request_body)

次に、カスタムクレームプロバイダーからアプリケーションに発行できるクレームが記述されているクレームマッピングポリシーを作成します。

引き続き Graph エクスプローラーで、次の要求を実行します。 Policy.ReadWrite.ApplicationConfiguration の委任されたアクセス許可が必要です。

POST https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies
Content-type: application/json

{
    "definition": [
        "{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\":[{\"Source\":\"CustomClaimsProvider\",\"ID\":\"DateOfBirth\",\"JwtClaimType\":\"dob\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CustomRoles\",\"JwtClaimType\":\"my_roles\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CorrelationId\",\"JwtClaimType\":\"correlationId\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"ApiVersion\",\"JwtClaimType\":\"apiVersion \"},{\"Value\":\"tokenaug_V2\",\"JwtClaimType\":\"policy_version\"}]}}"
    ],
    "displayName": "MyClaimsMappingPolicy",
    "isOrganizationDefault": false
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Models;

var requestBody = new ClaimsMappingPolicy
{
	Definition = new List<string>
	{
		"{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\": [{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier\"},{\"Source\":\"user\",\"ID\":\"givenname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname\"},{\"Source\":\"user\",\"ID\":\"displayname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name\"},{\"Source\":\"user\",\"ID\":\"surname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname\"},{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"username\"}],\"ClaimsTransformation\":[{\"ID\":\"CreateTermsOfService\",\"TransformationMethod\":\"CreateStringClaim\",\"InputParameters\": [{\"ID\":\"value\",\"DataType\":\"string\", \"Value\":\"sandbox\"}],\"OutputClaims\":[{\"ClaimTypeReferenceId\":\"TOS\",\"TransformationClaimType\":\"createdClaim\"}]}]}}",
	},
	DisplayName = "Test1234",
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Policies.ClaimsMappingPolicies.PostAsync(requestBody);



import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-sdk-go/models"
	  //other-imports
)

graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


requestBody := graphmodels.NewClaimsMappingPolicy()
definition := []string {
	"{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\": [{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier\"},{\"Source\":\"user\",\"ID\":\"givenname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname\"},{\"Source\":\"user\",\"ID\":\"displayname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name\"},{\"Source\":\"user\",\"ID\":\"surname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname\"},{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"username\"}],\"ClaimsTransformation\":[{\"ID\":\"CreateTermsOfService\",\"TransformationMethod\":\"CreateStringClaim\",\"InputParameters\": [{\"ID\":\"value\",\"DataType\":\"string\", \"Value\":\"sandbox\"}],\"OutputClaims\":[{\"ClaimTypeReferenceId\":\"TOS\",\"TransformationClaimType\":\"createdClaim\"}]}]}}",
}
requestBody.SetDefinition(definition)
displayName := "Test1234"
requestBody.SetDisplayName(&displayName) 

claimsMappingPolicies, err := graphClient.Policies().ClaimsMappingPolicies().Post(context.Background(), requestBody, nil)


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

ClaimsMappingPolicy claimsMappingPolicy = new ClaimsMappingPolicy();
LinkedList<String> definitionList = new LinkedList<String>();
definitionList.add("{"ClaimsMappingPolicy":{"Version":1,"IncludeBasicClaimSet":"true","ClaimsSchema": [{"Source":"user","ID":"userprincipalname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"},{"Source":"user","ID":"givenname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname"},{"Source":"user","ID":"displayname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"},{"Source":"user","ID":"surname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"},{"Source":"user","ID":"userprincipalname","SamlClaimType":"username"}],"ClaimsTransformation":[{"ID":"CreateTermsOfService","TransformationMethod":"CreateStringClaim","InputParameters": [{"ID":"value","DataType":"string", "Value":"sandbox"}],"OutputClaims":[{"ClaimTypeReferenceId":"TOS","TransformationClaimType":"createdClaim"}]}]}}");
claimsMappingPolicy.definition = definitionList;
claimsMappingPolicy.displayName = "Test1234";

graphClient.policies().claimsMappingPolicies()
	.buildRequest()
	.post(claimsMappingPolicy);


const options = {
	authProvider,
};

const client = Client.init(options);

const claimsMappingPolicy = {
    definition: [
        '{\"ClaimsMappingPolicy\':{\'Version\':1,\'IncludeBasicClaimSet\':\'true\",\"ClaimsSchema\': [{\'Source\':\'user\",\"ID\':\'userprincipalname\",\"SamlClaimType\':\'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier\"},{\"Source\':\'user\",\"ID\':\'givenname\",\"SamlClaimType\':\'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname\"},{\"Source\':\'user\",\"ID\':\'displayname\",\"SamlClaimType\':\'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name\"},{\"Source\':\'user\",\"ID\':\'surname\",\"SamlClaimType\':\'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname\"},{\"Source\':\'user\",\"ID\':\'userprincipalname\",\"SamlClaimType\':\'username\"}],\"ClaimsTransformation\':[{\'ID\':\'CreateTermsOfService\",\"TransformationMethod\':\'CreateStringClaim\",\"InputParameters\': [{\'ID\':\'value\",\"DataType\':\'string\", \"Value\':\'sandbox\"}],\"OutputClaims\':[{\'ClaimTypeReferenceId\':\'TOS\",\"TransformationClaimType\':\"createdClaim\"}]}]}}"
    ],
    displayName: 'Test1234'
};

await client.api('/policies/claimsMappingPolicies')
	.post(claimsMappingPolicy);


<?php

// THIS SNIPPET IS A PREVIEW VERSION OF THE SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new ClaimsMappingPolicy();
$requestBody->setDefinition(['{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\": [{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier\"},{\"Source\":\"user\",\"ID\":\"givenname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname\"},{\"Source\":\"user\",\"ID\":\"displayname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name\"},{\"Source\":\"user\",\"ID\":\"surname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname\"},{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"username\"}],\"ClaimsTransformation\":[{\"ID\":\"CreateTermsOfService\",\"TransformationMethod\":\"CreateStringClaim\",\"InputParameters\": [{\"ID\":\"value\",\"DataType\":\"string\", \"Value\":\"sandbox\"}],\"OutputClaims\":[{\"ClaimTypeReferenceId\":\"TOS\",\"TransformationClaimType\":\"createdClaim\"}]}]}}', 	]);
$requestBody->setDisplayName('Test1234');

$result = $graphServiceClient->policies()->claimsMappingPolicies()->post($requestBody)->wait();


Import-Module Microsoft.Graph.Identity.SignIns

$params = @{
	definition = @(
		'{"ClaimsMappingPolicy":{"Version":1,"IncludeBasicClaimSet":"true","ClaimsSchema": [{"Source":"user","ID":"userprincipalname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"},{"Source":"user","ID":"givenname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname"},{"Source":"user","ID":"displayname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"},{"Source":"user","ID":"surname","SamlClaimType":"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"},{"Source":"user","ID":"userprincipalname","SamlClaimType":"username"}],"ClaimsTransformation":[{"ID":"CreateTermsOfService","TransformationMethod":"CreateStringClaim","InputParameters": [{"ID":"value","DataType":"string", "Value":"sandbox"}],"OutputClaims":[{"ClaimTypeReferenceId":"TOS","TransformationClaimType":"createdClaim"}]}]}}'
	)
	displayName = "Test1234"
}

New-MgPolicyClaimMappingPolicy -BodyParameter $params


# THE PYTHON SDK IS IN PREVIEW. FOR NON-PRODUCTION USE ONLY

graph_client = GraphServiceClient(credentials, scopes)

request_body = ClaimsMappingPolicy(
	definition = [
		"{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\": [{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier\"},{\"Source\":\"user\",\"ID\":\"givenname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname\"},{\"Source\":\"user\",\"ID\":\"displayname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name\"},{\"Source\":\"user\",\"ID\":\"surname\",\"SamlClaimType\":\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname\"},{\"Source\":\"user\",\"ID\":\"userprincipalname\",\"SamlClaimType\":\"username\"}],\"ClaimsTransformation\":[{\"ID\":\"CreateTermsOfService\",\"TransformationMethod\":\"CreateStringClaim\",\"InputParameters\": [{\"ID\":\"value\",\"DataType\":\"string\", \"Value\":\"sandbox\"}],\"OutputClaims\":[{\"ClaimTypeReferenceId\":\"TOS\",\"TransformationClaimType\":\"createdClaim\"}]}]}}",
	],
	display_name = "Test1234",
)

result = await graph_client.policies.claims_mapping_policies.post(request_body)

応答で生成された ID を記録します。後で {claims_mapping_policy_ID} として参照します。

サービスプリンシパルオブジェクト ID を保存します:

Graph エクスプローラーで、次の要求を実行します。 {App_to_enrich_ID} を My Test Application の appId に置き換えます。
```
GET https://graph.microsoft.com/v1.0/servicePrincipals(appId='{App_to_enrich_ID}')
```

ID の値を記録します。

クレームマッピングポリシーを My Test Application のサービスプリンシパルに割り当てます。

Graph エクスプローラーで、次の要求を実行します。 Policy.ReadWrite.ApplicationConfiguration と Application.ReadWrite.All の委任されたアクセス許可が必要です。

POST https://graph.microsoft.com/v1.0/servicePrincipals/{test_App_Service_Principal_ObjectId}/claimsMappingPolicies/$ref
Content-type: application/json

{
    "@odata.id": "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/{claims_mapping_policy_ID}"
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Models;

var requestBody = new ReferenceCreate
{
	OdataId = "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9",
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
await graphClient.ServicePrincipals["{servicePrincipal-id}"].ClaimsMappingPolicies.Ref.PostAsync(requestBody);



import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-sdk-go/models"
	  //other-imports
)

graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


requestBody := graphmodels.NewReferenceCreate()
odataId := "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9"
requestBody.SetOdataId(&odataId) 

graphClient.ServicePrincipals().ByServicePrincipalId("servicePrincipal-id").ClaimsMappingPolicies().Ref().Post(context.Background(), requestBody, nil)


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

ClaimsMappingPolicy claimsMappingPolicy = new ClaimsMappingPolicy();
claimsMappingPolicy.additionalDataManager().put("@odata.id", new JsonPrimitive("https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9"));

graphClient.servicePrincipals("{id}").claimsMappingPolicies().references()
	.buildRequest()
	.post(claimsMappingPolicy);


const options = {
	authProvider,
};

const client = Client.init(options);

const claimsMappingPolicy = {
  '@odata.id':'https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9'
};

await client.api('/servicePrincipals/{id}/claimsMappingPolicies/$ref')
	.post(claimsMappingPolicy);


<?php

// THIS SNIPPET IS A PREVIEW VERSION OF THE SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new ReferenceCreate();
$requestBody->setOdataId('https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9');

$graphServiceClient->servicePrincipals()->byServicePrincipalId('servicePrincipal-id')->claimsMappingPolicies()->ref()->post($requestBody)->wait();


Import-Module Microsoft.Graph.Applications

$params = @{
	"@odata.id" = "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9"
}

New-MgServicePrincipalClaimMappingPolicyByRef -ServicePrincipalId $servicePrincipalId -BodyParameter $params


# THE PYTHON SDK IS IN PREVIEW. FOR NON-PRODUCTION USE ONLY

graph_client = GraphServiceClient(credentials, scopes)

request_body = ReferenceCreate(
	odata_id = "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/cd3d9b57-0aee-4f25-8ee3-ac74ef5986a9",
)

await graph_client.service_principals.by_service_principal_id('servicePrincipal-id').claims_mapping_policies.ref.post(request_body)

手順 5: Azure 関数を保護する

Microsoft Entra カスタム認証拡張機能は、サーバー間フローを使って、HTTP の Authorization ヘッダーで Azure 関数に送信されるアクセストークンを取得します。関数を Azure に発行するときは、特に運用環境では、Authorization ヘッダーで送信されるトークンを検証する必要があります。

Azure 関数を保護するには、受信したトークンを Azure Functions 認証イベント API アプリケーション登録で検証するため、次の手順のようにして Azure AD 認証を統合します。

Note

Azure 関数アプリが、カスタム認証拡張機能が登録されているテナントとは異なる Azure テナントでホストされている場合は、「OpenID Connect ID プロバイダーの使用」ステップに進んでください。

Azure portal にサインインします。
前に発行した関数アプリに移動して選択します。
左側のメニューで [認証] を選択します。
[ID プロバイダーの追加] を選びます。
ID プロバイダーとして [Microsoft] を選択します。
[アプリの登録] ->[アプリ登録の種類] で [このディレクトリ内の既存のアプリ登録を選択] を選び、カスタムクレームプロバイダーの登録時に前に作成した "Azure Functions 認証イベント API" アプリ登録を選びます。
[Unauthenticated requests] (認証されていない要求) で、ID プロバイダーとして [HTTP 401 認可されていない] を選びます。
[トークンストア] オプションをオフにします。
[追加] を選んで、Azure 関数に認証を追加します。

5.1 OpenID Connect ID プロバイダーの使用

Microsoft ID プロバイダーを構成した場合は、このステップをスキップします。そうではなく、カスタム認証拡張機能が登録されているテナントとは異なるテナントで Azure 関数がホストされている場合は、次の手順のようにして関数を保護します。

Azure portal にサインインしてから、前に発行した関数アプリに移動して選択します。
左側のメニューで [認証] を選択します。
[ID プロバイダーの追加] を選びます。
ID プロバイダーとして [OpenID Connect] を選びます。
Contoso Microsoft Entra ID などの名前を指定します。
[メタデータエントリ] で、[ドキュメントの URL] に次の URL を入力します。 {tenantId} を Microsoft Entra テナント ID に置き換えます。
```
https://login.microsoftonline.com/{tenantId}/v2.0/.well-known/openid-configuration
```
[アプリの登録] で、前に作成した "Azure Functions 認証イベント API" アプリ登録のアプリケーション ID (クライアント ID) を入力します。
Microsoft Entra 管理センターで次の手順を実行します。
1. 前に作成した "Azure Functions 認証イベント API" アプリの登録を選択します。
2. [証明書とシークレット]>[クライアントシークレット]>[新しいクライアントシークレット] の順に選択します。
3. クライアントシークレットの説明を追加します。
4. シークレットの有効期限を選択するか、カスタムの有効期間を指定します。
5. [追加] を選択します。
6. クライアントアプリケーションのコードで使用できるように、シークレットの値を記録しておきます。このページからの移動後は、このシークレットの値は "二度と表示されません"。
Azure 関数に戻り、[アプリの登録] で [クライアントシークレット] を入力します。
[トークンストア] オプションをオフにします。
[追加] を選んで、OpenID Connect ID プロバイダーを追加します。

手順 6: アプリケーションをテストする

カスタムクレームプロバイダーをテストするには、次の手順のようにします。

新しいプライベートブラウザーを開き、次の URL に移動してサインインします。

https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345

{tenant-id} は、テナント ID、テナント名、または検証済みドメイン名の 1 つに置き換えます。たとえば、「 contoso.onmicrosoft.com 」のように入力します。
{App_to_enrich_ID} は、マイテストアプリケーションの登録 ID に置き換えます。
ログインすると、https://jwt.ms でデコードされたトークンが表示されます。 Azure 関数からのクレームがデコードされたトークンで提示されていることを確認します (例: dateOfBirth)。

次の手順

外部ストアから供給されたクレームを含むトークンを受信するように、SAML アプリケーションを構成する方法を理解します。
カスタムクレームプロバイダーの詳細については、カスタムクレームプロバイダーのリファレンス記事を参照してください。
カスタム認証拡張機能 API のトラブルシューティングを行う方法を理解します。

カスタムクレームプロバイダーのトークン発行イベントを構成する (プレビュー)

前提条件

手順 1: Azure 関数アプリを作成する

1.1 HTTP トリガー関数を作成する

1.2 関数を編集する

手順 2: カスタム認証拡張機能を登録する

アプリ ID URI、アクセストークンのバージョン、必要なリソースアクセスを設定する

カスタム認証拡張機能を登録する

手順 3: エンリッチされたトークンを受信するように OpenID Connect アプリを構成する

3.1 テスト Web アプリケーションを登録する

3.1 アプリケーション ID を取得する

3.2 暗黙的なフローを有効にする

3.3 クレームマッピングポリシーに対してアプリを有効にする

手順 4: カスタムクレームプロバイダーをアプリに割り当てる

手順 5: Azure 関数を保護する

5.1 OpenID Connect ID プロバイダーの使用

手順 6: アプリケーションをテストする

次の手順

その他のリソース

その他のリソース

カスタム クレーム プロバイダーのトークン発行イベントを構成する (プレビュー)

前提条件

手順 1: Azure 関数アプリを作成する

1.1 HTTP トリガー関数を作成する

1.2 関数を編集する

手順 2: カスタム認証拡張機能を登録する

2.2 管理者の同意を付与する

手順 3: エンリッチされたトークンを受信するように OpenID Connect アプリを構成する

3.1 テスト Web アプリケーションを登録する

3.1 アプリケーション ID を取得する

3.2 暗黙的なフローを有効にする

3.3 クレーム マッピング ポリシーに対してアプリを有効にする

手順 4: カスタム クレーム プロバイダーをアプリに割り当てる

手順 5: Azure 関数を保護する

5.1 OpenID Connect ID プロバイダーの使用

手順 6: アプリケーションをテストする

次の手順

その他のリソース

その他のリソース

カスタムクレームプロバイダーのトークン発行イベントを構成する (プレビュー)

3.3 クレームマッピングポリシーに対してアプリを有効にする

手順 4: カスタムクレームプロバイダーをアプリに割り当てる