この参照を使用して、OpenID Connect (OIDC) の動作Microsoft ID プラットフォーム拡張するためにサポートされているすべての方法を見つけます。 各行は、このリポジトリの概念またはハウツー記事と、サーフェスをプログラムする Microsoft Graph API リソースにリンクしています。
拡張性とは、OIDC トークンMicrosoft Entra発行したり、所有しているアプリの OIDC 要求を処理したりする方法を変更することです。たとえば、外部ストアからの要求の追加、アプリごとのトークン コンテンツのカスタマイズ、外部ワークロード ID からのトークンの信頼などです。 サインインにMicrosoft Entraを使用するように既存の OIDC アプリ (GitHub、Salesforce、または別の SaaS アプリなど) を構成することは、拡張機能ではなく統合です。 アプリ統合ガイダンスについては、アプリケーション ギャラリー Microsoft Entra参照してください。
基になるエンドポイント コントラクトについては、Microsoft ID プラットフォームの OpenID Connect を参照してください。
拡張性サーフェスの概要
| 能力 | できること | 概念と使い方 | Microsoft Graph API |
|---|---|---|---|
| カスタム クレーム プロバイダー | トークンの発行中に外部 REST API を呼び出して、リモート ストアからの要求でトークンを強化します。 | カスタム クレーム プロバイダーの概要、 リファレンス | customAuthenticationExtension, onTokenIssuanceStartListener |
| トークン発行開始イベント | トークンの発行中にカスタム クレーム プロバイダーをトリガーするイベント リスナーを構成します。 | トークン発行開始イベントの設定、 構成 | onTokenIssuanceStartCustomExtension、 onTokenIssuanceStartHandler、 onTokenIssuanceStartReturnClaim |
| 選択可能な請求 | ID、アクセス、SAML トークンにMicrosoft Entraソース要求 (groups、idtyp、login_hintなど) を追加します。 |
省略可能な要求をアプリに提供する( リファレンス) | optionalClaim、 optionalClaims on application |
| カスタム要求ポリシー (アプリごと) | 変換を含む、特定のアプリに対して発行されたトークン内の要求にディレクトリ属性をマップします。 | JWT 要求のカスタマイズ、 SAML 要求のカスタマイズ、 カスタム要求ポリシー | customClaimsPolicy、 claimsMappingPolicy |
| トークンの有効期間ポリシー | アプリまたはテナントのアクセス、更新、ID トークンの有効期間を構成します。 | 構成可能なトークンの有効期間、 構成 | tokenLifetimePolicy |
| トークンの発行ポリシー | 発行時に SAML トークンの署名と暗号化の動作を構成します。 | SAML 要求のカスタマイズ | tokenIssuancePolicy |
| フェデレーテッド ID 資格情報 | クライアント シークレットまたは証明書を使用する代わりに、外部発行者 (GitHub、Kubernetes、その他のクラウド) からの信頼トークン。 | ワークロード ID フェデレーション | federatedIdentityCredential、 フェデレーション ID 資格情報の概要 |
| アプリケーション マニフェスト | リダイレクト URI、対象ユーザー、許可される許可の種類、トークン設定を宣言によって構成します。 | アプリケーション マニフェスト リファレンス | application, servicePrincipal |
| 委任された権限の付与 | ユーザーまたはテナントの委任されたスコープを承認します。 | アクセス許可と同意の概要 | oAuth2PermissionGrant |
| アプリ ロールの割り当て | トークン ベースの承認のために、ユーザー、グループ、またはサービス プリンシパルにアプリ ロールを割り当てます。 | アプリ ロールの概要 | appRoleAssignment |
| 継続的アクセス評価 (CAE) | ユーザーサインアウト、パスワード変更、リスク検出などのイベントに対して、ほぼリアルタイムでトークン失効を有効にします。 | 継続的アクセス評価 | conditionalAccessPolicy |
| 要求チャレンジ (ステップアップ) | セッションの途中で、より強力な認証または新しい要求を要求します。 | 要求チャレンジ、 要求の検証 | N/A (プロトコル レベル。 claims 要求パラメーターで通知) |
機能拡張サーフェイスの選択
次のガイダンスを使用して、シナリオに適合するサーフェスを決定します。
- Microsoft Entra IDから取得した要求を追加するには、省略可能な要求またはカスタム要求ポリシーを使用します。
- 外部システムからソース化された要求を追加するには、Azure Functions エンドポイントまたはその他の REST API によってサポートされるカスタム クレーム プロバイダーを使用します。
- クライアント シークレットまたは証明書を使用する代わりに 外部ワークロード ID を信頼 するには、 フェデレーション ID 資格情報を構成します。
- 既存 のトークンのセキュリティ イベント (取り消されたセッション、リスク変更、パスワードリセット) に対応するには、 継続的なアクセス評価を有効にします。
- セッション中 に新しい認証を要求 するには、 要求チャレンジを発行します。
プログラミング モデル
テーブル内のほとんどのサーフェスは、Microsoft Graph アプリケーションリソースと servicePrincipal リソースを介して、またはpoliciesエンドポイントを介して構成されます。 認証ライブラリでは、これらのサーフェスは構成されません。MICROSOFT GRAPH SDK、Microsoft Graph PowerShell SDK、または直接 REST 呼び出しを使用します。
カスタム認証拡張機能とトークン発行開始イベントを組み合わせたエンド ツー エンドの例については、「トークン発行開始イベントを 使用してカスタム要求プロバイダーを構成する」を参照してください。