Registreren en aanmelden met een SwissID-account instellen - Azure AD B2C

Artikel
11/08/2023

Voordat u begint, gebruikt u de selector Een beleidstype kiezen om het type beleid te kiezen dat u instelt. U kunt in Azure Active Directory B2C op twee manieren definiëren hoe gebruikers met uw toepassingen communiceren: via vooraf gedefinieerde gebruikersstromen of via volledig configureerbaar aangepast beleid. De stappen die in dit artikel zijn vereist, verschillen voor elke methode.

In dit artikel leert u hoe u klanten kunt registreren en aanmelden met SwissID-accounts in uw toepassingen met behulp van Azure Active Directory B2C (Azure AD B2C). U voegt de SwissID toe aan uw gebruikersstromen of aangepast beleid met behulp van het OpenID Verbinding maken-protocol. Zie SwissID Integration Guidelines – OpenID Verbinding maken voor meer informatie.

Vereisten

Maak een gebruikersstroom, zodat gebruikers zich bij uw toepassing kunnen registreren en aanmelden.
Registreer een web-app.

Voer de stappen in Aan de slag met aangepast beleid in Active Directory B2C uit.
Registreer een web-app.

Een SwissID-toepassing maken

Als u aanmelding wilt inschakelen voor gebruikers met een SwissID-account in Azure AD B2C, moet u een toepassing maken. Voer de volgende stappen uit om een SwissID-toepassing te maken:

Neem contact op met de ondersteuning van SwissID Business Partner.

Nadat u zich hebt aangemeld met SwissID, geeft u informatie op over uw Azure AD B2C-tenant:

Key	Notitie
Omleidings-URI	Geef de `https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp` URI op. Als u een aangepast domein gebruikt, voert u `https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp` in. Vervang `your-tenant-name` door uw de naam van uw tenant en `your-domain-name` door de van uw aangepaste domein.
Verificatiemethode voor tokeneindpunt	`client_secret_post`

Nadat de app is geregistreerd, worden de volgende gegevens verstrekt door de SwissID. Gebruik deze informatie om uw gebruikersstroom of aangepast beleid te configureren.

Key	Notitie
Environment	Het Bekende Configuratie-eindpunt van SwissID OpenId. Bijvoorbeeld `https://login.sandbox.pre.swissid.ch/idp/oauth2/.well-known/openid-configuration`.
Client-id	De SwissID-client-id. Bijvoorbeeld `11111111-2222-3333-4444-555555555555`.
Password	Het SwissID-clientgeheim.

SwissID configureren als id-provider

Als u toegang hebt tot meerdere tenants, selecteert u het pictogram Instellingen in het bovenste menu om over te schakelen naar uw Azure AD B2C-tenant in het menu Mappen en abonnementen.
Kies Alle services linksboven in de Azure Portal, zoek Azure AD B2C en selecteer deze.
Selecteer Id-providers en selecteer vervolgens Nieuwe OpenID Connect-provider.
Voer bij Naam een naam in. Voer bijvoorbeeld SwissID in.
Voer voor metagegevens-URL het bekende configuratie-eindpunt SwissID OpenId in. Bijvoorbeeld:
```
https://login.sandbox.pre.swissid.ch/idp/oauth2/.well-known/openid-configuration
```
Voer voor client-id de SwissID-client-id in.
Voer voor clientgeheim het SwissID-clientgeheim in.
Voer de openid profile email in voor Bereik.
Behoud de standaardwaarden voor Antwoordtype en Antwoordmodus.
Voer swissid.com in voor Domeinhint (optioneel). Raadpleeg Direct aanmelden met behulp van Azure Active Directory B2C instellen.
Selecteer onder Claimstoewijzing voor id-provider de volgende claims:
- Gebruikers-id: sub
- Voornaam: given_name
- Achternaam: family_name
- E-mail: e-mail
Selecteer Opslaan.

SwissID-id-provider toevoegen aan een gebruikersstroom

Op dit moment is de SwissID-id-provider ingesteld, maar deze is nog niet beschikbaar op een van de aanmeldingspagina's. De SwissID-id-provider toevoegen aan een gebruikersstroom:

Selecteer Gebruikersstromen in uw Azure AD B2C-tenant.
Klik op de gebruikersstroom die u wilt toevoegen aan de SwissID-id-provider.
Selecteer SwissID onder de id-providers voor sociale netwerken.
Selecteer Opslaan.
Selecteer Gebruikersstroom uitvoeren om uw beleid te testen.
Selecteer voor Toepassing de webtoepassing met de naam testapp1 die u eerder hebt geregistreerd. De antwoord-URL moet https://jwt.ms weergeven.
Klik op de knop Gebruikersstroom uitvoeren.
Selecteer Op de registratie- of aanmeldingspagina SwissID om u aan te melden met het SwissID-account .

Als het aanmeldingsproces is voltooid, wordt uw browser omgeleid naar https://jwt.ms, waar de inhoud van het door Azure AD B2C geretourneerde token wordt weergegeven.

Een beleidssleutel maken

U moet het clientgeheim opslaan dat u hebt ontvangen van SwissID in uw Azure AD B2C-tenant.

Meld u aan bij de Azure-portal.
Zorg ervoor dat u de map gebruikt die uw Azure AD B2C-tenant bevat. Selecteer het filter Map + abonnement in het bovenste menu en kies de map die uw tenant bevat.
Kies Alle services linksboven in de Azure Portal, zoek Azure AD B2C en selecteer deze.
Selecteer Identity Experience Framework op de overzichtspagina.
Selecteer Beleidssleutels en vervolgens Toevoegen.
Voor Opties kiest u Manual.
Voer een naam in voor de beleidssleutel. Bijvoorbeeld SwissIDSecret. Het voorvoegsel B2C_1A_ wordt automatisch toegevoegd aan de naam van uw sleutel.
Voer in geheim uw SwissID-clientgeheim in.
Selecteer voor Sleutelgebruik de optie Signature.
Klik op Create.

SwissID configureren als id-provider

Als u wilt dat gebruikers zich kunnen aanmelden met een SwissID-account, moet u het account definiëren als een claimprovider waarmee Azure AD B2C kan communiceren via een eindpunt. Het eindpunt biedt een set claims die worden gebruikt door Azure AD B2C om te controleren of een specifieke gebruiker is geverifieerd.

U kunt een SwissID-account definiëren als claimprovider door dit toe te voegen aan het element ClaimsProviders in het extensiebestand van uw beleid.

Open het bestand TrustFrameworkExtensions.xml.
Ga naar het element ClaimsProviders. Als dit niet voorkomt, voegt u het toe onder het hoofdelement.

Voeg als volgt een nieuwe ClaimsProvider toe:

<ClaimsProvider>
  <Domain>SwissID.com</Domain>
  <DisplayName>SwissID</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="SwissID-OpenIdConnect">
      <DisplayName>SwissID</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="METADATA">https://login.sandbox.pre.swissid.ch/idp/oauth2/.well-known/openid-configuration</Item>
        <Item Key="client_id">Your Swiss client ID</Item>
        <Item Key="response_types">code</Item>
        <Item Key="scope">openid profile email</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_SwissIDSecret" />
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="email" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
        <OutputClaimsTransformation ReferenceId="CreateDisplayName" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Stel client_id in op de SwissID-client-id.
Sla het bestand op.

Een gebruikerstraject toevoegen

Op dit punt is de id-provider ingesteld, maar is deze nog niet beschikbaar op een van de aanmeldingspagina's. Als u niet over een eigen aangepast gebruikerstraject beschikt, maakt u een duplicaat van een bestaand gebruikerstrajectsjabloon. In het andere geval gaat u verder met de volgende stap.

Open het bestand TrustFrameworkBase.xml vanuit het starterspakket.
Zoek en kopieer de volledige inhoud van het element UserJourney dat Id="SignUpOrSignIn" bevat.
Open het bestand TrustFrameworkExtensions.xml en ga naar het element UserJourneys. Als het element niet voorkomt, voegt u het toe.
Plak de volledige inhoud van het element UserJourney dat u hebt gekopieerd als een onderliggend element van het element UserJourneys.
Wijzig de naam van de id van het gebruikerstraject. Bijvoorbeeld Id="CustomSignUpSignIn".

De id-provider toevoegen aan een gebruikerstraject

Nu u over een gebruikerstraject beschikt, voegt u de nieuwe id-provider toe aan het gebruikerstraject. U voegt eerst een aanmeldingsknop toe en koppelt de knop aan een actie. De actie is het technische profiel dat u eerder hebt gemaakt.

Ga in het gebruikerstraject naar het element van de indelingsstap dat Type="CombinedSignInAndSignUp" of Type="ClaimsProviderSelection" bevat. Dit is doorgaans de eerste indelingsstap. Het element ClaimsProviderSelections bevat een lijst met id-providers waarmee een gebruiker zich kan aanmelden. De volgorde van de elementen bepaalt de volgorde van de aanmeldingsknoppen die aan de gebruiker worden gepresenteerd. Voeg een XML-element ClaimsProviderSelection toe. Stel de waarde van TargetClaimsExchangeId in op een beschrijvende naam.
Voeg in de volgende indelingsstap een element ClaimsExchange toe. Stel de id in op de waarde van de Exchange-id van de doelclaims. Werk de waarde van TechnicalProfileReferenceId bij naar de id van het technische profiel dat u eerder hebt gemaakt.

In de volgende XML ziet u de eerste twee indelingsstappen van een gebruikerstraject met de id-provider:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="SwissIDExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="SwissIDExchange" TechnicalProfileReferenceId="SwissID-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Het Relying Party-beleid configureren

Met het Relying Party-beleid, bijvoorbeeld SignUpSignIn.xml, wordt het gebruikerstraject opgegeven dat door Azure AD B2C wordt uitgevoerd. Ga naar het element DefaultUserJourney binnen de Relying Party. Werk de ReferenceId bij zodat deze overeenkomt met de gebruikerstraject-id, waarin u de id-provider hebt toegevoegd.

In het volgende voorbeeld is voor het CustomSignUpSignIn-gebruikerstraject de ReferenceId ingesteld op CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Het aangepaste beleid uploaden

Meld u aan bij de Azure-portal.
Selecteer het pictogram Map + Abonnement in de werkbalk van de portal en selecteer vervolgens de map die uw Azure AD B2C-tenant bevat.
Zoek en selecteer Azure AD B2C in de Azure-portal.
Selecteer onder Beleid de optie Identity Experience Framework.
Selecteer Aangepast beleid uploaden en upload vervolgens de twee beleidsbestanden die u hebt gewijzigd, in de volgende volgorde: het uitbreidingsbeleid, bijvoorbeeld TrustFrameworkExtensions.xml en vervolgens het Relying Party-beleid, zoals SignUpSignIn.xml.

Uw aangepaste beleid testen

Selecteer uw Relying Party-beleid, bijvoorbeeld B2C_1A_signup_signin.
Selecteer voor Toepassing een webtoepassing die u eerder hebt geregistreerd. De antwoord-URL moet https://jwt.ms weergeven.
Selecteer de knop Nu uitvoeren.
Selecteer Op de registratie- of aanmeldingspagina SwissID om u aan te melden met het SwissID-account .

Als het aanmeldingsproces is voltooid, wordt uw browser omgeleid naar https://jwt.ms, waar de inhoud van het door Azure AD B2C geretourneerde token wordt weergegeven.

Verplaatsen naar productie

SwissID IdP biedt preproductie- en productieomgevingen. De configuratie die in dit artikel wordt beschreven, maakt gebruik van de preproductieomgeving. Voer de volgende stappen uit om de productieomgeving te gebruiken:

Neem contact op met swissId-ondersteuning voor een productieomgeving.
Werk uw gebruikersstroom of aangepast beleid bij met de URI van het bekende configuratie-eindpunt.

Volgende stappen

Meer informatie over het doorgeven van het SwissID-token aan uw toepassing.

Delen via

Vereisten

Een SwissID-toepassing maken

SwissID configureren als id-provider

SwissID-id-provider toevoegen aan een gebruikersstroom

Een beleidssleutel maken

SwissID configureren als id-provider

Een gebruikerstraject toevoegen

De id-provider toevoegen aan een gebruikerstraject

Het Relying Party-beleid configureren

Het aangepaste beleid uploaden

Uw aangepaste beleid testen

Verplaatsen naar productie

Volgende stappen

Aanvullende resources

Delen via

Registreren en aanmelden met een SwissID-account instellen met behulp van Azure Active Directory B2C

Vereisten

Een SwissID-toepassing maken

SwissID configureren als id-provider

SwissID-id-provider toevoegen aan een gebruikersstroom

Een beleidssleutel maken

SwissID configureren als id-provider

Een gebruikerstraject toevoegen

De id-provider toevoegen aan een gebruikerstraject

Het Relying Party-beleid configureren

Het aangepaste beleid uploaden

Uw aangepaste beleid testen

Verplaatsen naar productie

Volgende stappen

Aanvullende resources